搜索

[19669] 2020-11-06_美人鱼(Infy)APT组织的归来——使用最新的Foudre后门进行分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-11-06_美人鱼(Infy)APT组织的归来——使用最新的Foudre后门进行分析 美 人 鱼 ( I n f y ) A P T 组 织 的 归 来 — — 使 用 最 新 的 F o u d r e 后 门 进 行 分 析 i 春 秋   2 0 2 0 - 1 1 - 0 6 以 下 文 章 来 源 于 G c o w 安 全 团 队   ， 作 者 追 影 小 组 美 人 鱼 美 人 鱼 ( I n f y ) A P T 组 织 的 归 来 组 织 的 归 来 — — 使 用 最 新 的 使 用 最 新 的 F o u d r e 后 门 进 行 分 析 后 门 进 行 分 析 封 面 0 x 0 0 . 前 言 前 言 美 人 鱼 美 人 鱼 ( 又 称 , , ) A P T 组 织 其 主 要 针 对 政 府 机 构 进 行 攻 击 活 动 ， 由 u n i t 4 2 以 及 3 6 0 威 胁 情 报 中 心 首 先 于 2 0 1 6 年 5 月 进 行 披 露 ， 其 最 早 的 攻 击 活 动 可 以 追 溯 到 2 0 1 0 年 ， 并 且 期 间 一 直 没 有 长 时 间 的 间 断 。 该 组 织 背 后 的 来 源 为 中 东 地 区 ， 其 使 用 的 后 门 由 于 G c o w 安 全 团 队 安 全 团 队   . G c o w 是 当 前 国 内 为 数 不 多 的 民 间 网 络 信 息 安 全 研 究 团 队 之 一 。 本 着 “ 低 调 发 展 ， 自 信 创 新 ， 技 术 至 上 ” 理 念 ， 团 队 主 要 研 究 范 围 “ A P T 捕 获 分 析 、 渗 透 测 试 、 代 码 审 计 、 病 毒 样 本 分 析 、 R e d T e a m 、 红 蓝 对 抗 、 程 序 开 发 ” 本 文 一 共 4 1 2 7 字 , 5 6 张 图 预 计 阅 读 时 间 1 3 分 钟 i n f y P r i n c e   o f   P e r s i a F o u d r e
其 C 2 的 请 求 中 带 有 的 路 径 ， 故 此 被 名 为 i n f y 后 门 后 门 ， 在 2 0 1 7 年 ， u n i t 4 2 发 布 报 告 披 露 了 其 使 用 了 更 新 的 后 门 ， 名 为 F o u d r e 。 不 过 其 单 独 披 露 了 版 本 版 本 1 和 版 本 和 版 本 2 的 后 门 。 在 2 0 1 8 年 , I n t e z e r l a b 发 布 报 告 披 露 了 关 于 F o u d r e 后 门 的 第 八 版 本 第 八 版 本 。 在 本 次 的 攻 击 活 动 中 ， 我 们 发 现 了 其 使 用 的 第 第 2 1 版 本 版 本 与 第 第 2 2 版 本 。 版 本 。 本 次 发 现 的 攻 击 活 动 中 ， G c o w 安 全 团 队 追 影 小 组 安 全 团 队 追 影 小 组 以 及 微 步 情 报 局 微 步 情 报 局 共 同 发 现 并 且 分 析 了 该 活 动 ， 其 使 用 了 带 有 恶 意 宏 的 文 档 并 且 使 用 了 新 版 本 的 F o u d r e 后 门 后 门 ， 其 更 新 了 后 门 的 一 些 操 作 。 同 时 保 留 了 相 关 的 域 生 成 算 法 保 留 了 相 关 的 域 生 成 算 法 以 及 部 分 部 分 C 2 的 请 求 参 数 具 有 一 定 的 重 合 度 的 请 求 参 数 具 有 一 定 的 重 合 度 ， 并 且 介 于 其 一 直 通 过 在 文 档 中 嵌 入 在 文 档 中 嵌 入 o l e 对 象 通 过 社 工 的 方 式 诱 导 受 害 者 运 对 象 通 过 社 工 的 方 式 诱 导 受 害 者 运 行 行 到 使 用 带 有 恶 意 宏 提 取 嵌 入 的 使 用 带 有 恶 意 宏 提 取 嵌 入 的 o l e 对 象 并 且 执 行 对 象 并 且 执 行 的 方 式 释 放 并 运 行 其 打 包 文 档 以 执 行 相 应 的 F o u d r e 后 门 后 门 ， 故 此 撰 写 本 报 告 以 便 于 看 官 对 该 组 织 更 加 的 了 解 。 根 据 样 本 的 针 对 性 我 们 判 断 其 很 可 能 属 于 中 东 的 威 胁 演 员 ， 并 且 很 大 概 率 属 于 伊 朗 。 0 x 0 1 . 样 本 分 析 样 本 分 析 样 本 为 d o c 文 档 ， 诱 饵 文 档 中 的 内 容 由 波 斯 语 的 图 片 组 成 ， 带 有 宏 代 码 ， 运 行 后 进 程 链 无 其 他 新 进 程 产 生 。 i n f y W i n S F X
图 片 1   文 档 内 容 截 图 图 片 2   文 字 内 容 截 图 图 片 3   文 字 内 容 翻 译 文 档 中 插 入 了 几 张 的 图 片 I n l i n e S h a p e
图 片 4   嵌 入 的 I n l i n e S h a p e 的 图 片 宏 代 码 运 行 时 ， 遍 历 插 入 的 几 张 图 片 ， 遍 历 到 T y p e 属 性 ， 为 “ w d I n l i n e S h a p e E m b e d d e d O L E O b j e c t ” 的 图 片 。 图 片 5   宏 代 码 提 取 相 应 属 性 图 片 拼 接 出 路 径 ， 根 据 版 本 不 同 释 放 到 " " 或 " " ， 并 将 后 缀 修 改 为 图 片 6   根 据 不 同 版 本 释 放 恶 意 o l e 对 象 并 且 修 改 其 后 缀 利 用 r a n g e . c o p y 将 图 片 拷 贝 到 剪 贴 板 ， 利 用 S h e l l . A p p l o c a t i o n 执 行 ， 在 文 档 关 闭 时 ， 样 本 会 使 用 策 略 绕 过 执 行 文 件 ， 然 后 清 除 掉 粘 贴 板 中 的 内 容 。 C : U s e r s s a m A p p D a t a L o c a l T e m p u p x u p p o s f w u p d a t e . t m p C : U s e r s s a m A p p D a t a L o c a l T e m p f w u p d a t e . t m p . t m p . t e m p A v a s t
图 片 7   使 用 s h e l l 执 行 释 放 的 恶 意 o l e 对 象 f w u p d a t e . t m p f w u p d a t e . t m p 为 一 个 自 解 压 程 序 ， 压 缩 包 大 小 仅 为 9 0 0 K ， 解 压 后 的 文 件 2 0 0 M B + ， 文 件 内 容 中 含 有 大 量 重 复 内 容 。 压 缩 包 调 用 加 载 图 片 8   自 解 压 命 令 c o n f 4 3 8 9 . d l l 从 1 - 1 1 0 数 字 中 取 随 机 数 ， 取 出 后 根 据 随 机 数 随 机 取 出 一 个 D L L 名 称 。 图 片 9   取 随 机 数 并 且 获 取 d l l 名 称 D L L 名 称 由 样 本 写 在 内 存 中 ： 图 片 1 0   d l l 文 件 名 称 列 表 共 计 1 1 0 行 ， 全 部 取 出 后 整 理 得 下 表 ， 全 都 为 系 统 白 d l l 名 称 。 r u n d l l 3 2 d l l " A c t i v a t i o n M a n a g e r " " A c t i v e S y n c P r o v i d e r "
" A c t i v e S y n c P r o v i d e r " " A d a p t i v e C a r d s " " A C P B a c k g r o u n d M a n a g e r P o l i c y " " A P H o s t S e r v i c e " " A p i S e t H o s t . A p p E x e c u t i o n A l i a s " " A p p i d P o l i c y C o n v e r t e r " " A p p I d P o l i c y E n g i n e A p i " " A p p l i c a t i o n C o n t r o l C S P " " A p p l i c a t i o n F r a m e " " A p p l i c a t i o n F r a m e H o s t " " A p p l y S e t t i n g s T e m p l a t e C a t a l o g " " A p p M a n a g e m e n t C o n f i g u r a t i o n " " A p p o i n t m e n t A c t i v a t i o n " " A p p o i n t m e n t A p i s " " A p p v C l i e n t E v e n t L o g " " A p p V E n t S t r e a m i n g M a n a g e r " " A p p V E n t S u b s y s t e m s 6 4 " " A p p V E n t V i r t u a l i z a t i o n " " A p p V F i l e S y s t e m M e t a d a t a " " A p p V I n t e g r a t i o n " " A p p V M a n i f e s t " " A p p V S e n t i n e l " " A p p V S t r e a m i n g U X " " A p p V S t r e a m M a p " " A p p x A p p l i c a b i l i t y E n g i n e " " A p p X D e p l o y m e n t C l i e n t " " A p p x P a c k a g i n g " " A s s i g n e d A c c e s s M a n a g e r " " A s s i g n e d A c c e s s R u n t i m e " " A u d i t P o l i c y G P I n t e r o p " " A u t h F W S n a p i n " " A z u r e S e t t i n g S y n c P r o v i d e r " " B a c k g r o u n d M e d i a P o l i c y " " B t h A v r c p A p p S v c " " B t h M t p C o n t e x t H a n d l e r " " B W C o n t e x t H a n d l e r " " C a p a b i l i t y A c c e s s H a n d l e r s " " C a p a b i l i t y A c c e s s M a n a g e r " " C a p a b i l i t y A c c e s s M a n a g e r C l i e n t " " C a s h D r a w e r P r o t o c o l P r o v i d e r " " C l o u d E x p e r i e n c e H o s t " " C l o u d E x p e r i e n c e H o s t B r o k e r " " C l o u d E x p e r i e n c e H o s t C o m m o n " " C l o u d E x p e r i e n c e H o s t U s e r " " C o m p o s e r F r a m e w o r k " " C o m p u t e S t o r a g e " " C o n f i g u r e E x p a n d e d S t o r a g e " " C o n s e n t E x p e r i e n c e C o m m o n " " C o r e S h e l l E x t F r a m e w o r k " " C o r e U I C o m p o n e n t s " " C o u r t e s y E n g i n e " " D a t a U s a g e H a n d l e r s " " D a v S y n c P r o v i d e r " " D d c C o m I m p l e m e n t a t i o n s D e s k t o p " " D e v e l o p e r O p t i o n s S e t t i n g s H a n d l e r s " " D e v i c e C r e d e n t i a l " " D e v i c e D i r e c t o r y C l i e n t " " D e v i c e F l o w s . D a t a M o d e l " " D e v i c e M e t a d a t a R e t r i e v a l C l i e n t " " D e v i c e P a i r i n g E x p e r i e n c e M E M " " D e v i c e S e t u p S t a t u s P r o v i d e r " " D e v i c e s F l o w B r o k e r " " D i a g n o s t i c s H u b . P a c k a g i n g " " D i c t a t i o n M a n a g e r " " D i s p B r o k e r . D e s k t o p " " D m A p i S e t E x t I m p l D e s k t o p " " D o c k i n g . V i r t u a l I n p u t " " E A M P r o g r e s s H a n d l e r "
本 次 生 成 的 是 A u t h F W S n a p i n . d l l ， 在 运 行 的 时 候 其 会 从 中 随 机 抽 选 。 将 一 同 释 放 出 的 移 动 到 目 录 下 命 名 为 " A u t h F W S n a p i n . d l l " 并 设 置 为 " N O R M A L " 属 性 。 " E A M P r o g r e s s H a n d l e r " " E a s P o l i c y M a n a g e r B r o k e r P S " " E d i t i o n U p g r a d e M a n a g e r O b j " " E n t e r p r i s e A p p M g m t S v c " " E n t e r p r i s e A p p M g m t C l i e n t " " E n t e r p r i s e D e s k t o p A p p M g m t C S P " " E n t e r p r i s e M o d e r n A p p M g m t C S P " " E T W C o r e U I C o m p o n e n t s R e s o u r c e s " " F a c e B o o t s t r a p A d a p t e r " " F l a s h U t i l _ A c t i v e X " " G e n e r i c P r o v i d e r " " H o l o g r a p h i c E x t e n s i o n s " " H o l o g r a p h i c R u n t i m e s " " I n d e x e d D b L e g a c y " " I p N a t H l p C l i e n t " " K e y w o r d D e t e c t o r M s f t S i d A d a p t e r " " L a n g C l e a n u p S y s p r e p A c t i o n " " L a n g u a g e C o m p o n e n t s I n s t a l l e r " " L a n g u a g e O v e r l a y S e r v e r " " L a n g u a g e O v e r l a y U t i l " " L a n g u a g e P a c k D i s k C l e a n u p " " L i c e n s i n g W i n R T " " L i c e n s i n g D i a g S p p " " L o c a t i o n F r a m e w o r k I n t e r n a l P S " " M a p C o n t r o l S t r i n g s R e s " " M a p s M i g P l u g i n " " M C C S E n g i n e S h a r e d " " M e d i a F o u n d a t i o n . D e f a u l t P e r c e p t i o n P r o v i d e r " " M e s s a g i n g D a t a M o d e l 2 " " M e t r o I n t e l G e n e r i c U I F r a m e w o r k " " M F C a p t u r e E n g i n e " " M i r a c a s t I n p u t M g r " " M i t i g a t i o n C o n f i g u r a t i o n " " M i x e d R e a l i t y C a p t u r e . P i p e l i n e " " M i x e d R e a l i t y R u n t i m e " " M S A P r o f i l e N o t i f i c a t i o n H a n d l e r " " M s S p e l l C h e c k i n g F a c i l i t y " " M T F S p e l l c h e c k D S " " N e t C e l l c o r e C e l l M a n a g e r P r o v i d e r R e s o u r c e s " " N e t E v e n t P a c k e t C a p t u r e " " N e t w o r k B i n d i n g E n g i n e M i g P l u g i n " " N F C P r o v i s i o n i n g P l u g i n " d 4 8 8 C : P r o g r a m D a t a
图 片 1 1   移 动 d 4 8 8 创 建 计 划 任 务 ， 在 每 次 登 陆 时 运 行 。 图 片 1 2   初 始 化 计 划 任 务 x m l 图 片 1 3   使 用 s c h t a s k 加 载 x m l 注 册 服 务 A u t h F W S n a p i n . d l l 通 过 利 用 加 载 ， 在 D L L 中 m a i n 函 数 内 再 利 用 R u n d l l 3 2 . e x e 加 载 运 行 “ ” 导 出 函 数 。 图 片 1 4   使 用 r u n d l l 3 2 . e x e 加 载 导 出 函 数 f 8 7 5 7 检 测 窗 口 " N R V 3 B 1 9 " 图 片 1 5   检 测 窗 口 N R V 3 B 1 9 R u n d l l 3 2 . e x e S h e l l 3 2 . d l l f 8 7 5 7
样 本 中 还 会 将 一 串 U N I C O D E 字 符 串 拷 贝 到 变 量 中 ， 但 在 执 行 过 程 中 不 知 道 有 何 用 处 。 图 片 1 6   拷 贝 一 串 字 符 串 到 变 量 图 片 1 7   这 段 u n i c o d e 字 符 的 翻 译 从 注 册 表 " " 下 A P P D A T A 查 询 到 路 径 图 片 1 8   通 过 注 册 表 获 取 A p p D a t a 的 路 径 - 1 图 片 1 9   通 过 注 册 表 获 取 A p p D a t a 路 径 - 2 检 查 是 否 存 在 ， 不 存 在 则 创 建 ， 然 后 在 下 拼 接 出 样 本 要 释 放 的 文 件 路 径 。 图 片 2 0   检 查 A p p D a t a 是 否 存 在 以 及 拼 接 路 径 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r S h e l l F o l d e r s % A P P D A T A % % A P P D A T A % % A P P D A T A %
获 取 A P I 地 址 图 片 2 1   获 取 A P I 地 址 遍 历 进 程 ， 查 询 进 程 “ d f s e r v . e x e ” 图 片 2 2   查 询 进 程 d f s e r v . e x e 注 册 了 一 个 窗 口 类 ， 类 名 为 “ N R V 3 B 9 1 ” ， 并 创 建 一 个 窗 口 " " ， 使 用 名 为 " " 的 窗 口 进 行 键 盘 记 录 。 图 片 2 3   注 册 窗 口 类 N R V 3 B 9 1 F o r m 1 0 0 0 2 2 F o r m 1 0 0 0 2 2
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理