搜索

[17098] 2021-08-01_神秘APT组织锁定(IIS)Web服务器，擅长规避恶意软件检测

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2021-08-01_神秘APT组织锁定(IIS)Web服务器，擅长规避恶意软件检测 神 秘 A P T 组 织 锁 定 ( I I S ) W e b 服 务 器 ， 擅 长 规 避 恶 意 软 件 检 测 晶 颜 1 2 3   F r e e B u f   2 0 2 1 - 0 8 - 0 1 P r a y i n g M a n t i s （ 螳 螂 ） 很 可 能 是 一 个 使 用 自 定 义 恶 意 软 件 并 擅 长 躲 避 检 测 的 民 族 国 家 黑 客 组 织 。 近 日 研 究 人 员 发 现 ， 在 过 去 一 年 间 ， 一 个 复 杂 的 且 极 可 能 由 国 家 民 族 支 持 的 威 胁 行 为 者 一 直 在 利 用 面 向 公 众 的 A S P . N E T 应 用 程 序 中 的 反 序 列 漏 洞 来 部 署 无 文 件 恶 意 软 件 ， 从 而 危 害 一 些 主 要 的 公 共 和 私 营 组 织 。 事 件 响 应 公 司 S y g n i a 的 研 究 人 员 将 该 组 织 命 名 为 “ P r a y i n g   M a n t i s ” （ T G 1 0 2 1 ） 。 据 悉 ， 该 黑 客 组 织 通 过 使 用 专 为 I n t e r n e t 信 息 服 务   ( I I S )   W e b 服 务 器 构 建 的 自 定 义 恶 意 软 件 工 具 集 来 执 行 凭 据 收 集 、 侦 察 和 横 向 移 动 任 务 。 除 此 之 外 ， 该 组 织 还 在 规 避 恶 意 软 件 检 测 方 面 做 了 很 大 的 努 力 。 S y g n i a 研 究 人 员 在 一 份 详 细 报 告 中 称 ： “ 活 动 的 性 质 及 其 作 案 手 法 表 明 活 动 的 性 质 及 其 作 案 手 法 表 明 T G 1 0 2 1 是 一 位 经 验 丰 富 的 威 胁 组 织 ， 并 且 高 度 了 解 是 一 位 经 验 丰 富 的 威 胁 组 织 ， 并 且 高 度 了 解   O P S E C （ 操 作 安 （ 操 作 安 全 ） 。 全 ） 。 T G 1 0 2 1 使 用 的 恶 意 软 件 通 过 主 动 干 扰 日 志 记 录 机 制 、 成 功 规 避 商 业 E D R 以 及 静 默 等 待 传 入 连 接 ， 而 不 是 连 接 回 C 2 通 道 并 持 续 生 成 流 量 ， 显 示 了 其 在 避 免 检 测 方 面 做 出 的 重 大 努 力 。 此 外 ， 攻 击 者 在 使 用 后 主 动 删 除 了 所 有 磁 盘 驻 留 工 具 ， 有 效 地 放 弃 了 持 久 性 以 换 取 隐 匿 性 。 ” 新 旧 反 序 列 化 漏 洞 利 用 新 旧 反 序 列 化 漏 洞 利 用 在 编 程 中 ， 序 列 化 是 将 数 据 转 换 为 字 节 流 的 过 程 ， 通 常 通 过 网 络 传 输 。 反 序 列 化 即 该 过 程 的 逆 向 ， 就 像 软 件 中 的 大 多 数 数 据 解 析 操 作 一 样 ， 如 果 用 户 控 制 输 入 ， 它 可 能 成 为 漏 洞 的 来 源 。 不 安 全 的 反 序 列 化 漏 洞 多 年 来 一 直 困 扰 着 J a v a 应 用 程 序 ， 但 J a v a 并 不 是 唯 一 一 种 反 序 列 化 常 用 的 编 程 语 言 。 P r a y i n g   M a n t i s 利 用 的 漏 洞 就 是 针 对 A S P . N E T 中 的 反 序 列 化 实 现 ， A S P . N E T 是 一 种 用 于 开 发 托 管 在 W i n d o w s   I I S   W e b 服 务 器 上 的 W e b 应 用 程 序 的 开 源 框 架 。 A S P . N E T 有 一 种 称 为 “ V I E W S T A T E ” 的 机 制 ， 框 架 使 用 它 来 存 储 在 P O S T 请 求 期 间 发 送 到 客 户 端 时 网 页 的 状 态 和 控 件 。 它 被 存 储 成 名 为 “   _ V I E W S T A T E ” 的 隐 藏 输 入 字 段 。 当 客 户 端 执 行 P O S T 操 作 并 将 页 面 发 送 回 服 务 器 时 ， V I E W S T A T E 被 反 序 列 化 和 验 证 。 A S P . N E T 提 供 了 一 些 安 全 性 和 完 整 性 检 查 机 制 来 确 保 序 列 化 数 据 有 效 ， 但 它 们 的 正 确 使 用 需 要 归 结 于 开 发 人 员 的 实 现 。
研 究 人 员 发 现 ， P r a y i n g   M a n t i s 利 用 了 一 个 C h e c k b o x   S u r v e y 远 程 代 码 执 行 （ R C E ） 漏 洞 （ C V E - 2 0 2 1 - 2 7 8 5 2 ） ， C h e c k b o x 应 用 程 序 允 许 网 站 所 有 者 实 施 用 户 调 查 。 据 悉 ， 在 该 组 织 发 起 攻 击 时 ， 该 R C E 漏 洞 还 处 于 0 - d a y 状 态 ， 并 且 影 响 了 C h e c k b o x   V 6 及 更 早 版 本 。 尽 管   C h e c k b o x   V 7   自 2 0 1 9   年 开 始 可 用 且 不 受 影 响 ， 但 对 C h e c k b o x   V 6   的 官 方 支 持 直 到 7 月 1 日 才 结 束 。 C E R T / C C 的 分 析 师 在   5   月 份 的 一 份 咨 询 中 表 示 ： “ 在 7 . 0   版 本 之 前 ， C h e c k b o x   S u r v e y   通 过 接 受 一 个 _ V S T A T E   参 数 来 实 现 它 自 己 的 V I E W S T A T E   功 能 ， 然 后 使 用 L o s F o r m a t t e r 反 序 列 化 。 由 于 该 数 据 由 C h e c k b o x   S u r v e y 代 码 手 动 处 理 ， 因 此 服 务 器 上 的   A S P . N E T V I E W S T A T E   消 息 身 份 验 证 代 码 （ M A C ） 设 置 就 被 忽 略 了 。 没 有 M A C ， 攻 击 者 可 以 创 建 将 被 反 序 列 化 的 任 意 数 据 ， 从 而 导 致 任 意 代 码 执 行 。 ” P r a y i n g   M a n t i s 组 织 似 乎 对 反 序 列 漏 洞 有 着 非 常 深 刻 地 认 识 ， 他 们 在 攻 击 活 动 中 以 多 种 方 式 利 用 该 机 制 进 行 横 向 移 动 和 持 久 化 。 例 如 ， 即 使 新 版 本 的 A S P . N E T 支 持   V I E W S T A T E   完 整 性 检 查 和 加 密 ， 但 如 果 加 密 和 验 证 密 钥 被 盗 或 泄 露 ， 它 们 也 可 被 用 于 重 新 感 染 服 务 器 或 感 染 同 一 集 群 中 托 管 同 一 应 用 程 序 的 其 他 服 务 器 ， 因 为 密 钥 是 共 享 的 。 研 究 人 员 表 示 ， “ 在 S y g n i a 的 一 项 调 查 中 ， T G 1 0 2 1 利 用 被 盗 的 解 密 和 验 证 密 钥 来 利 用 I I S   W e b   服 务 器 。 V I E W S T A T E 反 序 列 化 漏 洞 利 用 的 流 程 几 乎 与 上 面 解 释 的 V S T A T E 漏 洞 相 同 ， 只 是 调 整 了 对 V I E W S T A T E 数 据 进 行 加 密 和 签 名 ， 而 不 是 对 其 进 行 压 缩 。 ” 该 小 组 还 利 用 了 依 赖 于 序 列 化 的 会 话 存 储 机 制 。 A S P . N E T 允 许 应 用 程 序 将 用 户 会 话 作 为 序 列 化 对 象 存 储 在 M S S Q L 数 据 库 中 ， 然 后 为 它 们 分 配 唯 一 的 c o o k i e 。 当 用 户 的 浏 览 器 再 次 访 问 应 用 程 序 并 保 存 了 其 中 一 些 c o o k i e 时 ， 应 用 程 序 将 从 数 据 库 中 加 载 相 应 的 会 话 对 象 并 将 其 反 序 列 化 。 攻 击 者 利 用 此 功 能 进 行 横 向 移 动 ， 方 法 是 使 用 对 I I S   W e b 服 务 器 （ 受 到 上 述 漏 洞 影 响 而 受 损 ） 的 访 问 权 限 ， 以 生 成 恶 意 会 话 对 象 和 关 联 的 c o o k i e ， 并 将 其 存 储 在 M i c r o s o f t   S Q L   数 据 库 中 。 然 后 ， 他 们 将 请 求 发 送 到 属 于 同 一 基 础 结 构 并 使 用 同 一 数 据 库 的 其 他 I I S 服 务 器 ， 并 在 请 求 中 包 含 恶 意 c o o k i e 。 这 迫 使 运 行 在 这 些 服 务 器 上 的 应 用 程 序 实 例 从 数 据 库 加 载 恶 意 制 作 的 会 话 对 象 并 将 其 反 序 列 化 ， 从 而 导 致 远 程 代 码 执 行 （ R C E ） 。 研 究 人 员 还 观 察 到 P r a y i n g   M a n t i s 利 用 其 他 应 用 程 序 中 的 反 序 列 化 漏 洞 ， 例 如   C V E - 2 0 1 9 - 1 8 9 3 5 ， 这 也 是 一 个   R C E   漏 洞 ， 源 于 J S O N 解 析 中 的 不 安 全 反 序 列 化 ， 并 影 响 名 为   T e l e r i k   U I   f o r   A S P . N E T   A J A X   的 产 品 。 T e l e r i k 是 一 套 广 泛 用 于 W e b 应 用 程 序 的 用 户 界 面 组 件 。 此 外 ， 该 组 织 还 使 用 了 另 外 一 个 影 响 T e l e r i k 的 较 旧 的 任 意 文 件 上 传 漏 洞 （ C V E - 2 0 1 7 - 1 1 3 1 7 ） 。 为 为 I I S 量 身 定 制 的 恶 意 软 件 框 架 量 身 定 制 的 恶 意 软 件 框 架 黑 客 利 用 这 些 R C E 漏 洞 反 射 性 地 将 恶 意 D L L 加 载 到 易 受 攻 击 的 W e b 服 务 器 的 内 存 中 。 然 后 ， 这 个 D L L 又 反 射 性 地 加 载 了 一 个 恶 意 软 件 组 件 。 反 射 加 载 是 一 种 将 恶 意 D L L 注 入 现 有 进 程 并 H o o k 其 功 能 的 技 术 。 这 种 技 术 的 好 处 是 某 些 W i n d o w s 机 制 （ 例 如 在 运 行 时 将 D L L 注 册 为 模 块 ） 被 绕 过 ， 并 且 文 件 实 际 上 并 未 写 入 磁 盘 ； 缺 点 是 感 染 缺 乏 持 久 性 ， 由 于 流 氓 D L L 仅 存 在 于 R A M 中 ， 因 此 如 果 重 新 启 动 其 父 进 程 （ p a r e n t   p r o c e s s ） ， 它 将 消 失 。 由 于 这 种 网 络 服 务 器 的 正 常 运 行 时 间 很 长 ， 因 此 用 持 久 性 换 取 隐 匿 性 是 一 种 有 效 的 手 段 。 除 了 反 射 D L L 加 载 器 ， P r a y i n g   M a n t i s 有 时 还 使 用 w e b   s h e l l 来 加 载   N o d e I I S W e b 。 当 该 组 织 利 用 C V E - 2 0 1 7 - 1 1 3 1 7 等 文 件 上 传 漏 洞 而 非 基 于 反 序 列 化 的 远 程 代 码 执 行 漏 洞 时 ， 这 种 情 况 更 为 常 见 ， 因 为 w e b   s h e l l 本 质 上 是 上 传 到 服 务 器 文 件 系 统 的 恶 意 w e b   脚 本 / 应 用 程 序 ， 可 通 过 H T T P 远 程 访 问 。 P r a y i n g   M a n t i s 的 w e b   s h e l l 通 常 是 短 暂 存 在 的 ， 在 部 署 N o d e I I S W e b 后 ， 该 组 织 会 立 即 删 除 它 们 。 N o d e I I S W e b 恶 意 软 件 与 I I S   输 入 验 证 功 能 挂 钩 ， 可 以 读 取 所 有 传 入 服 务 器 的 H T T P 流 量 ， 这 为 攻 击 者 提 供 了 一 种 控 制 恶 意 软 件 的 方 法 。 由 于 攻 击 者 可 以 通 过 这 种 H T T P 机 制 发 送 指 令 ， 因 此 N o d e I I S W e b 不 会 生 成 传 往 可 能 被 流 量 监 控 解 决 方 案 检 测 到 的 命 令 和 控 制 服 务 器 的 传 出 连 接 。 也 就 是 说 ， 恶 意 软 件 程 序 为 T C P 、 H T T P   和 S Q L 实 现 了 多 种 流 量 转 发 方 法 ， 允 许 其 作 为 代 理 或 命 令 和 控 制 通 道 本 身 ， 用 于 运 行 在 同 一 网 络 内 受 感 染 服 务 器 上 的 其 他 恶 意 软 件 实 例 ， 而 这 些 实 例 可 能 不 是 直 接 暴 露 在 互 联 网 上 。 它 还 可 以 执
行 J S c r i p t 负 载 并 加 载 扩 展 其 功 能 的 其 他 D L L 模 块 。 N o d e I I S W e b 通 常 用 于 部 署 另 一 个 名 为 “ E x t D L L . d l l ” 的 自 定 义 W i n d o w s   后 门 ， 该 后 门 可 用 于 操 作 文 件 和 目 录 、 收 集 系 统 信 息 、 加 载 和 执 行 D L L 并 实 施 各 种 攻 击 技 术 ， 例 如 代 码 注 入 和 令 牌 操 作 。 该 组 件 还 h o o k 并 操 纵 系 统 上 存 在 的 各 种 安 全 功 能 以 隐 藏 其 活 动 ， 包 括 防 病 毒 扫 描 功 能 、 事 件 日 志 报 告 功 能 、 . N E T 代 码 信 任 检 查 和 P o w e r S h e l l 相 关 的 注 册 表 项 。 N o d e I I S W e b 和 E x t D L L . d l l 加 载 的 附 加 D L L 模 块 之 一 称 为 “ P S R u n n e r . d l l ” ， 它 允 许 在 主 机 上 运 行 P o w e r S h e l l 脚 本 ， 而 无 需 生 成 P o w e r S h e l l 进 程 。 另 一 个 称 为 “ F o r w a r d . d l l ” ， 可 以 实 现 H T T P 流 量 转 发 功 能 。 “ P o t a t o E x . d l l ” 是 权 限 提 升 工 具 和 A c t i v e   D i r e c t o r y 映 射 工 具 ， 而 “ E . d l l ” 是 生 成 自 定 义 H T T P 响 应 的 组 件 ， 允 许 攻 击 者 验 证 漏 洞 是 否 已 在 目 标 I I S 服 务 器 上 成 功 执 行 。 P r a y i n g   M a n t i s 利 用 其 对 受 感 染 I I S 服 务 器 的 访 问 权 限 ， 来 修 改 现 有 应 用 程 序 的 登 录 页 面 ， 以 捕 获 用 户 凭 据 ， 并 将 其 保 存 在 单 独 的 文 件 中 ， 还 部 署 了 公 开 可 用 的 攻 击 性 安 全 工 具 ， 包 括 直 接 加 载 到 内 存 中 而 不 留 痕 迹 的 S h a r p H o u n d 和 P o w e r S p l o i t 。 该 组 织 还 被 发 现 使 用 泄 露 的 域 凭 据 通 过 S M B 访 问 内 部 服 务 器 上 的 共 享 文 件 夹 。 P r a y i n g   M a n t i s 检 测 和 预 防 检 测 和 预 防 由 于 其 内 存 驻 留 恶 意 软 件 的 易 失 性 ， 以 及 该 组 织 对 操 作 安 全 的 深 刻 认 识 ， 想 要 检 测 P r a y i n g   M a n t i s 的 活 动 并 不 容 易 。 S y g n i a   研 究 人 员 建 议 修 补 . N E T 反 序 列 化 漏 洞 ， 搜 索 报 告 中 发 布 的 危 害 指 标 ， 使 用 旨 在 检 测 该 组 织 工 具 的 Y A R A 规 则 扫 描 面 向 I n t e r n e t 的 I I S 服 务 器 ， 并 积 极 寻 找 I I S 环 境 中 的 可 疑 活 动 。 验 证 A S P . N E T   V I E W S T A T E 的 使 用 或 相 同 机 制 的 自 定 义 实 现 （ 如   C h e c k b o x   S u r v e y 中 的 压 缩   V S T A T E ） 对 于 保 护 A S P . N E T 应 用 程 序 免 受 V I E W S T A T E 反 序 列 化 漏 洞 影 响 至 关 重 要 。 I I S 配 置 中 的 e n a b l e V i e w S t a t e M a c 变 量 应 设 置 为 “ T r u e ” ， 而 a s p n e t : A l l o w I n s e c u r e D e s e r i a l i z a t i o n 变 量 应 设 置 为 “ F a l s e ” 。 注 册 表 项 A s p N e t E n f o r c e V i e w S t a t e M a c 应 设 置 为 “ 1 ” ， 并 应 小 心 处 理 加 密 和 验 证 键 。 服 务 器 应 使 用 自 动 生 成 的 密 钥 或 者 I I S 服 务 器 上 的 机 器 密 钥 应 定 期 更 换 ， 以 减 少 因 密 钥 被 盗 或 泄 露 而 被 滥 用 的 可 能 性 。 研 究 人 员 表 示 ， “ 如 果 您 的   W e b   应 用 程 序 使 用 A S P . N E T 会 话 状 态 ， 请 确 保 只 能 从 合 法 的 网 络 位 置 访 问 数 据 库 。 尽 可 能 在 不 同 的 I I S 服 务 器 / W e b 应 用 程 序 之 间 分 离 会 话 状 态 M S S Q L 数 据 库 ， 或 者 使 用 适 当 的 最 小 C R U D 权 限 创 建 不 同 的 S Q L 用 户 。 确 保 您 的 . N E T   W e b 应 用 程 序 使 用 指 定 的 应 用 程 序 池 标 识 以 尽 可 能 低 的 权 限 运 行 。 这 可 以 增 加 T G 1 0 2 1 组 织 的 攻 击 难 度 。 ” 除 了 S y g n i a 发 布 的 报 告 外 ， 2 0 2 0 年 6 月 ， A C S C 也 发 布 了 一 份 报 告 ， 详 细 介 绍 了 以 澳 大 利 亚 公 共 和 私 营 部 门 组 织 为 目 标 的 国 家 支 持 的 威 胁 组 织 “ C o p y - P a s t e ” 的 策 略 、 技 术 和 程 序 。 报 告 中 称 C o p y - P a s t e 使 用 了 各 种 反 序 列 化 的 利 用 ， 特 别 是 M i c r o s o f t   I I S 服 务 器 中 的 T e l e r i k   U I 漏 洞 和 V I E W S T A T E 处 理 。 这 与 S y g n i a 观 察 到 的 P r a y i n g   M a n t i s 活 动 存 在 部 分 重 叠 的 妥 协 和 攻 击 技 术 指 标 。 两 者 是 否 存 在 联 系 ， 暂 未 可 知 。 来 源 ： 来 源 ： c s o o n l i n e 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理