设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [17003] 2021-07-08_针对Sodinokibi黑客组织供应链攻击K ...
返回列表 发新帖
查看: 1|回复: 0

[17003] 2021-07-08_针对Sodinokibi黑客组织供应链攻击KaseyaVSA的分析溯源

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-07-08_针对Sodinokibi黑客组织供应链攻击KaseyaVSA的分析溯源 针 对 S o d i n o k i b i 黑 客 组 织 供 应 链 攻 击 K a s e y a   V S A 的 分 析 溯 源 p a n d a z h e n g z h e n g   F r e e B u f   2 0 2 1 - 0 7 - 0 8 前 言 前 言 2 0 2 1 年 7 月 2 日 ， S o d i n o k i b i ( R E v i l ) 勒 索 病 毒 黑 客 组 织 疑 似 利 用 0 d a y 漏 洞 ， 通 过 K a s e y a   V S A 发 起 大 规 模 供 应 链 攻 击 行 动 ， 此 次 事 件 影 响 范 围 广 泛 ， 目 前 瑞 典 最 大 链 锁 超 市 之 一 的 C o o p 受 此 供 应 链 勒 索 攻 击 事 件 影 响 被 迫 关 闭 全 国 约 8 0 0 多 家 商 店 服 务 。 笔 者 此 前 发 布 了 相 关 的 安 全 事 件 报 告 。 国 内 微 步 在 线 也 对 此 次 事 件 进 行 了 相 关 分 析 报 道 ， 对 S o d i n o k i b i 勒 索 病 毒 以 及 这 次 攻 击 不 太 了 解 的 朋 友 ， 可 以 先 参 考 之 前 的 报 告 ， 事 实 上 此 次 的 供 应 链 攻 击 影 响 还 是 蛮 大 的 ， 攻 击 手 法 和 攻 击 技 术 也 是 非 常 完 整 的 ， K a s e y a   V S A 没 有 透 露 过 多 的 攻 击 细 节 和 漏 洞 细 节 ， 美 国 网 络 安 全 和 基 础 设 施 安 全 局 对 此 次 供 应 链 攻 击 事 件 已 经 界 入 调 查 。 分 析 溯 源 分 析 溯 源 此 次 S o d i n o k i b i ( R E v i l ) 勒 索 病 毒 黑 客 组 织 利 用 相 关 漏 洞 发 起 供 应 链 攻 击 ， 这 不 是 一 次 简 单 的 攻 击 行 动 ， 笔 者 没 有 机 会 也 没 有 办 法 去 参 与 到 这 次 的 勒 索 攻 击 溯 源 行 动 ， 只 能 根 据 国 外 某 安 全 厂 商 的 溯 源 报 告 以 及 其 他 一 些 渠 道 获 取 到 相 关 的 溯 源 信 息 ， 对 此 次 供 应 链 攻 击 行 动 进 行 部 分 的 分 析 还 原 ， 并 不 完 整 ， 更 多 的 攻 击 细 节 笔 者 因 为 没 有 拿 到 相 关 的 文 件 、 日 志 数 据 ， 也 没 办 法 进 行 更 深 入 的 分 析 溯 源 。 分 析 系 统 日 志 的 时 候 ， 发 现 了 一 个 A W S   I P 地 址 ： 1 8 [ . ] 2 2 3 . 1 9 9 . 2 3 4 发 送 P O S T 请 求 ， 如 下 所 示 ： 通 过 分 析 发 现 这 个 u s e r F i l t e r T a b l e R p t . a s p 中 包 含 大 量 潜 在 的 S Q L 注 入 漏 洞 ， 这 些 漏 洞 为 后 面 代 码 执 行 和 破 坏 V S A 服 务 器 提 供 了 基 础 条 件 。 同 时 我 们 在 请 求 日 志 中 还 发 现 d l . a s p 和 K U p l o a d . d l l 这 两 个 文 件 ， 通 过 分 析 发 现 d l . a s p 存 在 身 份 验 证 逻 辑 缺 陷 ， 这 种 存 在 缺 陷 的 身 份 验 证 可 以 绕 过 服 务 器 的 检 测 ， 授 予 用 户 有 效 会 话 , K U p l o a d . d l l 提 供 上 传 功 能 ， 并 将 日 志 记 录 到 文 件 K U p l o a d . l o g 文 件 。 根 据 分 析 ， 我 们 发 现 K U p l o a d . l o g 文 件 内 容 中 包 含 已 经 上 传 了 a g e n t . c r t 和 S c r e e n s h o t . j p g 文 件 到 V S A 服 务 器 ， a g e n t . c r t 通 过 V S A 的 解 密 机 制 ， 解 密 出 勒 索 病 毒 并 加 载 ， 但 是 S c r e e n s h o t . j p g 文 件 是 什 么 还 未 知 ， 安 全 研 究 人 员 也 在 向 外 界 寻 求 这 个 文 件 ， 相 关 日 志 记 录 ， 如 下 所 示 ：
从 上 面 的 分 析 ， 我 们 可 以 确 认 ， 此 次 的 攻 击 入 口 点 应 该 为 K a s e y a   V S A 的 W E B 应 用 ， 黑 客 组 织 通 过 使 用 身 份 验 证 漏 洞 绕 过 获 得 经 过 身 份 验 证 的 会 话 ， 上 传 原 始 有 效 负 载 ， 然 后 通 过 S Q L 注 入 漏 洞 执 行 命 令 。 国 外 安 全 研 究 人 员 ， 正 在 与 A W S 和 执 法 部 门 合 作 调 查   1 8 [ . ] 2 2 3 . 1 9 9 . 2 3 4   这 个 I P   地 址 ， 后 续 看 有 没 有 更 多 的 信 息 发 布 吧 。 此 次 供 应 链 攻 击 调 查 分 析 溯 源 第 一 阶 段 ， 如 下 所 示 ： 这 里 有 一 个 文 件 没 有 找 到 S c r e e n s h o t . j p g ， 不 确 定 这 个 文 件 是 做 什 么 的 ， 所 以 对 分 析 溯 源 更 多 的 信 息 会 有 一 些 影 响 。 a g e n t . c r t 被 上 传 到 了 V S A 服 务 器 上 ， 然 后 通 过 调 查 黑 客 组 织 利 用 P o w e r S h e l l 脚 本 执 行 相 关 的 命 令 行 ， 如 下 所 示 ： 1 . 测 试 网 络 C : W I N D O W S s y s t e m 3 2 c m d . e x e   / c   p i n g   1 2 7 . 0 . 0 . 1   - n   4 9 7 9   >   n u l l 2 . 关 闭 M i c r o s o f t   D e f e n d e r 提 供 的 核 心 恶 意 软 件 和 反 勒 索 软 件 保 护 C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e   S e t - M p P r e f e r e n c e   - D i s a b l e R e a l t i m e M o n i t o r i n g   $ t r u e   - D i s a b l e I n t r u s i o n P r e v e n t i o n S y s t e m   $ t r u e   - D i s a b l e I O A V P r o t e c t i o n   $ t r u e   - D i s a b l e S c r i p t S c a n n i n g   $ t r u e   - E n a b l e C o n t r o l l e d F o l d e r A c c e s s   D i s a b l e d   - E n a b l e N e t w o r k P r o t e c t i o n   A u d i t M o d e   - F o r c e   - M A P S R e p o r t i n g   D i s a b l e d   -
S u b m i t S a m p l e s C o n s e n t   N e v e r S e n d 3 . 拷 贝 c e r t u t i l . e x e 程 序 到 系 统 上 命 名 为 c e r t . e x e ， 然 后 使 用 c e r t . e x e 程 序 解 密 之 前 上 传 的 a g e n t . c r t 生 成 a g e n t . e x e c o p y   / Y   C : W i n d o w s S y s t e m 3 2 c e r t u t i l . e x e   C : W i n d o w s c e r t . e x e   &   e c h o   % R A N D O M %   > >   C : W i n d o w s c e r t . e x e   & C : W i n d o w s c e r t . e x e   - d e c o d e   c : k w o r k i n g a g e n t . c r t   c : k w o r k i n g a g e n t . e x e   &   d e l   / q   / f   c : k w o r k i n g a g e n t . c r t C : W i n d o w s c e r t . e x e   &   c : k w o r k i n g a g e n t . e x e 通 过 V S A 的 更 新 流 行 执 行 恶 意 更 新 程 序 a g e n t . e x e ， 释 放 勒 索 病 毒 p a y l o a d ， 利 用 W i n d o w   D e f e n d e r 程 序 加 载 执 行 ， 使 用 白 + 黑 的 方 式 。 此 次 供 应 链 攻 击 调 查 分 析 溯 源 第 二 阶 段 ， 如 下 所 示 ： 笔 者 没 有 机 会 参 加 这 次 勒 索 病 毒 的 溯 源 分 析 ， 也 没 有 办 法 拿 到 一 些 相 关 的 文 件 和 日 志 数 据 等 ， 仅 仅 从 国 外 相 关 厂 商 和 一 些 外 界 的 报 告 部 分 还 原 了 这 次 供 应 链 攻 击 的 一 些 过 程 ， 其 实 国 外 这 家 厂 商 也 并 没 有 完 整 的 还 原 整 个 攻 击 过 程 ， 因 为 还 有 部 分 的 文 件 并 没 有 拿 到 ， 可 能 是 被 黑 客 组 织 删 除 了 ， 笔 者 曾 应 急 处 理 过 很 多 包 含 勒 索 病 毒 以 及 其 他 恶 意 软 件 相 关 的 溯 源 分 析 工 作 ， 很 多 时 候 在 溯 源 分 析 过 程 中 ， 因 为 黑 客 组 织 删 除 了 系 统 或 产 品 的 一 些 日 志 以 及 恶 意 软 件 相 关 信 息 ， 导 致 无 法 溯 源 到 完 整 的 攻 击 过 程 ， 只 能 是 基 于 自 己 的 经 验 以 及 捕 获 到 的 现 有 的 日 志 数 据 和 恶 意 文 件 进 行 分 析 溯 源 ， 事 实 上 也 只 有 黑 客 组 织 才 真 正 清 楚 每 一 次 攻 击 的 完 整 过 程 ， 安 全 分 析 人 员 只 能 基 于 系 统 上 残 留 的 现 有 的 日 志 以 及 恶 意 文 件 去 分 析 溯 源 ， 还 原 攻 击 过 程 ， 做 好 相 应 的 应 急 响 应 、 检 测 、 防 御 等 工 作 ， 分 析 溯 源 本 身 是 一 件 很 复 杂 的 工 作 ， 依 懒 很 多 客 观 因 素 ， 同 时 也 需 要 更 多 的 相 关 日 志 ， 以 及 捕 获 到 对 应 的 恶 意 软 件 。 通 过 国 外 的 安 全 厂 商 的 分 析 溯 源 ， 可 以 看 出 这 次 S o d i n o k i b i ( R E v i l ) 勒 索 病 毒 发 起 的 供 应 链 攻 击 并 不 简 单 ， 里 面 不 仅 仅 可 能 利 用 一 些 0 d a y 漏 洞 ， 而 且 在 主 机 系 统 的 免 杀 方 面 也 做 了 很 多 工 作 ， 黑 客 组 织 对 K a s e y a   V S A 系 统 也 非 常 熟 悉 ， 做 了 很 多 前 期 的 相 关 研 究 工 作 ， 然 后 再 发 起 定 向 攻 击 ， 同 时 白 + 黑 也 是 A P T 攻 击 活 动 中 经 常 使 用 的 攻 击 手 法 ， 正 如 笔 者 之 前 提 到 的 勒 索 病 毒 黑 客 组 织 已 经 开 始 使 用 A P T 的 攻 击 手 法 进 行 完 整 的 定 向 攻 击 行 动 。 根 据 笔 者 应 急 处 理 的 很 多 勒 索 病 毒 相 关 案 例 ， 勒 索 病 毒 黑 客 组 织 往 往 都 喜 欢 在 周 五 的 时 候 发 起 大 规 模 的 勒 索 病 毒 攻 击 行 动 ， 难 道 是 为 了 对 应 “ 黑 色 星 期 五 ” 的 意 思 ？ 可 以 发 现 很 多 重 大 的 勒 索 病 毒 攻 击 事 件 都 是 发 生 在 周 五 。 最 后 S o d i n o k i b i ( R E v i l ) 勒 索 病 毒 黑 客 组 织 要 求 7 0 0 0 万 美 元 发 布 一 个 通 用 解 密 器 ， 能 够 解 锁 在 这 次 供 应 链 攻 击 过 程 中 所 有 被 攻 击 加 密 的 计 算 机 ， 并 在 他 们 在 暗 网 上 的 博 客 中 ， 声 称 在 事 件 期 间 阻 止 了 超 过 一 百 万 个 系 统 ， 如 下 所 示 ：
从 勒 索 赎 金 可 以 看 出 黑 客 组 织 应 该 是 为 这 次 供 应 链 攻 击 做 了 很 多 准 备 工 作 的 。 解 决 方 案 解 决 方 案 C I S A - F B I   针 对 受   K a s e y a   V S A   供 应 链 勒 索 软 件 攻 击 影 响 的   M S P   及 其 客 户 发 布 了 相 关 的 解 决 方 案 ， 链 接 如 下 ： h t t p s : / / u s - c e r t . c i s a . g o v / n c a s / c u r r e n t - a c t i v i t y / 2 0 2 1 / 0 7 / 0 4 / c i s a - f b i - g u i d a n c e - m s p s - a n d - t h e i r - c u s t o m e r s - a f f e c t e d - k a s e y a - v s a 解 决 方 案 中 K a s e y a   V S A 发 布 了 相 关 的 检 测 工 具 ， 如 下 所 示 ： 参 考 链 接 ： h t t p s : / / w w w . h u n t r e s s . c o m / b l o g / r a p i d - r e s p o n s e - k a s e y a - v s a - m a s s - m s p - r a n s o m w a r e - i n c i d e n t 总 结 总 结 勒 索 病 毒 黑 客 组 织 一 直 在 更 新 ， 从 来 没 有 停 止 过 发 起 新 的 攻 击 ， 寻 找 新 的 目 标 ， 未 来 几 年 勒 索 攻 击 仍 然 是 全 球 最 大 的 安 全 威 胁 。 现 在 安 全 事 件 真 的 是 太 多 了 ， 很 多 企 业 都 潜 伏 着 各 种 各 样 的 安 全 威 胁 ， 各 种 恶 意 软 件 更 是 无 处 不 在 ， 一 方 面 默 默 的 监 控 和 获 取 企 业 中 的 数 据 ， 另 一 方 面 又 给 勒 索 攻 击 提 供 了 载 体 ， 也 许 只 是 在 等 待 一 个 时 机 爆 发 ， 需 要 更 多 专 业 的 安 全 分 析 人 员 去 发 现 企 业 中 潜 在 的 安 全 威 胁 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:42 , Processed in 0.479766 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表