设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21898] 2021-04-22_恶意样本分析手册–溯源篇 ...
返回列表 发新帖
查看: 0|回复: 0

[21898] 2021-04-22_恶意样本分析手册–溯源篇

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-22_恶意样本分析手册–溯源篇 恶 意 样 本 分 析 手 册 – 溯 源 篇 L e m o n S e c   2 0 2 1 - 0 4 - 2 2 本 篇 是 样 本 分 析 手 册 的 最 终 篇 章 ， 前 面 的 几 大 篇 章 主 要 侧 重 于 基 础 调 试 技 巧 和 样 本 分 析 方 法 ， 而 溯 源 篇 是 在 掌 握 之 前 技 能 的 基 础 上 ， 进 行 能 力 进 一 步 提 升 ， 可 以 说 掌 握 了 常 规 的 溯 源 方 法 ， 才 算 是 一 名 合 格 的 恶 意 样 本 分 析 人 员 单 就 从 “ 恶 意 样 本 分 析 人 员 ” 这 个 职 位 名 称 来 看 ， 可 以 拆 分 为 ： “ 恶 意 ”   +   “ 样 本 ”   + “ 分 析 ”   +   “ 人 员 ” 其 中 ： 样 本 是 我 们 关 注 的 重 点 ， 也 是 最 初 的 原 材 料 （ 巧 妇 难 为 无 米 之 炊 ） ， 有 了 样 本 才 能 够 进 行 下 一 步 分 析 。 分 析 是 通 过 掌 握 的 知 识 技 能 去 了 解 样 本 的 功 能 （ 做 饭 的 技 法 ） 以 及 样 本 制 造 者 的 创 造 性 思 维 。 人 员 当 然 意 指 分 析 人 员 （ 一 千 个 读 者 就 有 一 千 个 哈 姆 雷 特 ） ， 一 份 样 本 分 析 报 告 的 质 量 ， 视 分 析 人 员 的 能 力 水 平 而 定 。 恶 意 样 本 溯 源 追 踪 主 要 去 了 解 攻 击 者 或 者 团 队 的 意 图 ； （ 有 因 才 有 果 ， 这 里 主 要 是 通 过 分 析 结 果 ， 去 了 解 攻 击 者 的 意 图 ， 比 如 ： 政 治 ， 私 怨 ， 业 务 ， 经 济 等 ） 。 了 解 攻 击 链 恶 意 攻 击 的 活 动 大 概 有 如 下 7 步 骤 ： R e c o n n a i s s a n c e ： 侦 查 ， 充 分 的 社 会 工 程 学 了 解 目 标 。 W e a p o n i z a t i o n ： 定 向 的 攻 击 工 具 的 制 作 。 常 见 的 工 具 交 付 形 态 是 带 有 恶 意 代 码 的 p d f 文 件 或 o f f i c e 文 件 。 D e l i v e r y ： 把 攻 击 工 具 输 送 到 目 标 系 统 上 。 A P T 攻 击 者 最 常 用 这 三 种 来 传 送 攻 击 工 具 ， 包 括 邮 件 的 附 件 、 网 站 （ 挂 马 ） 、 U S B 等 移 动 存 储 。 E x p l o i t a t i o n ： 攻 击 代 码 在 目 标 系 统 触 发 ， 利 用 目 标 系 统 的 应 用 或 操 作 系 统 漏 洞 控 制 目 标 。 I n s t a l l a t i o n ： 远 程 控 制 程 序 的 安 装 。 使 得 攻 击 者 可 以 长 期 潜 伏 在 目 标 系 统 中 。 C o m m a n d   a n d   C o n t r o l   ( C 2 )   ： 被 攻 破 的 主 机 一 般 会 与 互 联 网 控 制 器 服 务 器 建 立 一 个 C 2 信 道 ， 即 与 C 2 服 务 器 建 立 连 接 。 A c t i o n s   o n   O b j e c t i v e s ： 经 过 前 面 六 个 过 程 ， 攻 击 者 后 面 主 要 的 行 为 包 括 ： 偷 取 目 标 系 统 的 信 息 ， 破 坏 信 息 的 完 整 性 及 可 用 性 等 。
进 一 步 以 控 制 的 机 器 为 跳 转 攻 击 其 它 机 器 ， 扩 大 战 果 。 追 踪 溯 源 方 法 恶 意 样 本 的 追 踪 溯 源 需 要 以 当 前 的 恶 意 样 本 为 中 心 ， 通 过 对 静 态 特 征 和 动 态 行 为 的 分 析 ， 解 决 如 下 问 题 ： 谁 发 动 的 攻 击 ？ 攻 击 背 景 是 什 么 ？ 攻 击 的 意 图 是 什 么 ？ 谁 编 写 的 样 本 ？ 样 本 使 用 了 哪 些 攻 击 技 术 ？ 攻 击 过 程 中 使 用 了 那 些 攻 击 工 具 ？ 整 个 攻 击 过 程 路 径 是 怎 样 的 ？ 恶 意 样 本 追 踪 溯 源 可 以 采 取 如 下 方 法 ： 域 名 / I P 这 种 溯 源 方 法 是 最 基 本 的 方 法 ， 通 过 对 攻 击 者 使 用 的 域 名 和 I P 地 址 进 行 分 析 ， 挖 掘 攻 击 源 头 。 查 询 域 名 的 w h o i s 信 息 ， 可 以 关 联 到 攻 击 者 部 分 信 息 ， 注 册 名 ， 注 册 邮 箱 ， 注 册 地 址 ， 电 话 ， 注 册 时 间 ， 服 务 商 等 。 下 面 是 通 过 样 本 分 析 对 域 名 进 行 溯 源 分 析 的 典 型 案 例 ： 案 例 1 ： C h e c k p o i n t 经 过 细 致 分 析 后 ， 最 终 归 纳 出 一 个 首 要 嫌 疑 犯 ， 即 昵 称 为 “ N e x x u s   Z e t a ” 的 一 个 犯 罪 分 子 ， 原 因 在 于 攻 击 者 在 注 册 僵 尸 网 络 的 某 个 C & C
域 名 （ n e x u s i o t s o l u t i o n s . n e t ） 时 ， 所 使 用 的 邮 箱 地 址 包 含 相 关 信 息 。 该 邮 件 地 址 （ n e x u s z e t a 1 3 3 7 @ g m a i l . c o m ） 与 C & C 域 名 有 一 些 交 集 ， 因 此 怀 疑 这 个 地 址 并 不 是 一 次 性 邮 件 地 址 ， 可 以 根 据 该 地 址 来 揭 晓 攻 击 者 的 真 实 身 份 。 当 搜 索 N e x u s   Z e t a   1 3 3 7 时 ， 在 H a c k F o r u m s 上 找 到 了 一 个 活 跃 的 成 员 ， 该 成 员 的 用 户 昵 称 为 “ N e x u s   Z e t a ” ， 自 2 0 1 5 年 8 月 起 已 经 是 H a c k F o r u m s 的 一 份 子 。 虽 然 这 个 人 在 这 种 论 坛 上 活 跃 度 很 低 ， 但 他 发 表 了 几 篇 帖 子 ， 从 这 些 帖 子 中 并 没 有 发 现 他 的 专 业 水 平 有 多 高 。 不 过 有 趣 的 是 ， 他 最 近 关 注 的 是 如 何 建 立 起 类 似 M i r a i 的 I o T 僵 尸 网 络 。 “ N e x u s Z e t a ” 在 社 交 媒 体 上 也 颇 为 活 跃 ， 主 要 是 在 T w i t t e r 以 及 G i t h u b 上 ， 他 在 这 两 个 平 台 上 都 公 布 了 自 己 的 I o T 僵 尸 网 络 项 目 。 实 际 上 ， 这 个 人 还 将 其 G i t h u b 账 户 关 联 到 前 面 提 到 的 某 个 恶 意 域 名 （ n e x u s i o t s o l u t i o n s . n e t ） 。 分 析 人 员 也 找 到 了 他 所 使 用 的 S k y p e 以 及 S o u n d C l o u d 账 户 ， 使 用 人 名 为 C a l e b W i l s o n （ c a l e b . w i l s o n 3 7   /   C a l e b   W i l s o n   3 7 ） ， 然 而 无 法 确 定 这 个 名 字 是 否 就 是 其 真 实 姓 名 。 样 本 分 析 及 详 细 的 溯 源 分 析 内 容 可 参 考 链 接 ： h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / g o o d - z e r o - d a y - s k i d d i e /   。 案 例 2 ： 样 本 分 析 过 程 中 ， 通 过 网 络 抓 包 ， 获 取 到 攻 击 者 的 控 制 域 名 信 息 ： 域 名 信 息 关 联 后 ， 如 下 图 所 示 ：
这 里 点 到 为 止 ， 对 上 述 信 息 进 行 进 一 步 分 析 后 ， 最 终 可 定 位 到 攻 击 者 本 人 ， 并 且 最 终 成 功 接 管 攻 击 控 制 的 域 名 。 案 例 3 ： 通 过 分 析 获 取 到 的 样 本 ， 该 样 本 为 d o w n l o a d e r 程 序 ， 主 要 通 过 下 载 恶 意 软 件 之 后 运 行 ， 下 载 的 I P 地 址 如 下 所 示 ： 对 该 I P 进 行 渗 透 测 试 ， 最 终 获 取 到 主 机 权 限 ， 通 过 对 攻 击 者 掌 握 的 主 机 进 行 深 入 分 析 ， 最 终 定 位 到 攻 击 者 相 关 信 息 。 入 侵 日 志 这 种 溯 源 分 析 方 法 偏 向 于 主 机 取 证 分 析 ， 攻 击 者 在 入 侵 到 主 机 后 的 行 为 分 析 。 对 攻 击 者 留 下 的 大 量 操 作 日 志 进 行 分 析 后 ， 可 以 提 取 相 关 攻 击 者 的 信 息 。 1 .   连 接 服 务 器 使 用 V P S 信 息 。
2 .   登 陆 主 机 后 ， 一 般 为 了 维 持 对 主 机 的 访 问 权 限 ， 会 尝 试 创 建 自 己 的 账 号 及 密 码 。 3 .   攻 击 者 为 了 偷 取 数 据 ， 使 用 的 f t p 或 者 数 据 服 务 器 信 息 。 4 .   通 过 对 攻 击 者 的 登 陆 时 间 进 行 分 析 ， 可 以 基 本 定 位 所 在 大 区 域 （ 北 半 球 ， 南 半 球 ） 。 5 .   登 陆 主 机 后 的 操 作 模 型 ， 不 同 的 攻 击 者 ， 入 侵 成 功 后 进 行 的 行 为 有 差 异 ， 每 个 人 都 有 自 己 的 行 为 指 纹 特 征 。 简 单 举 个 例 子 ， 不 少 攻 击 者 习 惯 使 用 自 动 化 的 工 具 ， 去 提 取 主 机 上 的 敏 感 信 息 （ 网 站 ， 邮 箱 ， 比 特 币 ， 网 银 等 账 号 密 码 ） ， 入 侵 成 功 后 （ 钓 鱼 ， 社 工 ， 水 坑 攻 击 等 ） ， 会 在 受 害 者 机 器 上 安 装 间 谍 软 件 ， 进 行 主 机 行 为 监 控 ， 并 且 定 时 将 截 获 的 敏 感 信 息 上 传 到 服 务 上 。 大 多 使 用 三 种 通 信 方 式 窃 取 敏 感 信 息 ： f t p ， s m t p ， h t t p 。 案 例 1 ： 通 过 分 析 入 侵 日 志 ， 最 终 分 析 其 留 的 监 控 程 序 ， 溯 源 分 析 的 案 例 ， 该 样 本 中 攻 击 者 使 用 加 密 的 s m t p 服 务 器 窃 取 敏 感 信 息 ， 在 样 本 分 析 过 程 中 可 以 获 取 到 邮 箱 的 用 户 名 与 密 码 ： 利 用 获 取 到 的 登 陆 凭 证 可 成 功 登 陆 攻 击 者 邮 箱 ： 在 邮 件 内 容 中 ， 发 现 了 攻 击 者 的 真 实 邮 箱 ， 之 后 通 过 进 一 步 溯 源 分 析 ， 定 位 到 了 攻 击 者 。 下 图 是 攻 击 者 真 实 的 t w i t t e r 账 号 ：
案 例 2 ： 攻 击 者 在 入 侵 成 功 后 ， 留 下 的 启 动 脚 本 中 包 含 了 攻 击 者 的 个 人 网 络 i d ， 通 过 对 该 网 络 I D 及 Q Q 号 码 进 行 溯 源 分 析 ， 最 终 也 成 功 定 位 到 攻 击 者 。 Q Q :   2 2 2 8 6 6 8 5 6 4 I D :   i c n a n k e r s h a d o w : i c n a n k e r : $ 6 $ E I Z w h n A X $ m / I c l C q h s F O B a Z E g T 2 m V C Y F y 5 b K H 7 5 r J 8 R l h / h w G s 7 D e R 5 A o v m h r L S . V 3 n a L 6 o i z n 6 F C V i w q K n 6 k 9 g q m o Y N h s 0 : 1 6 8 6 6 : 0 : 9 9 9 9 9 : 7 : : : 全 流 量 分 析 某 些 攻 击 者 或 者 组 织 的 反 跟 踪 意 识 非 常 强 ， 基 本 上 不 会 留 下 任 何 痕 迹 ， 在 达 成 入 侵 目 的 之 后 （ 窃 取 数 据 ） ， 会 完 全 清 除 入 侵 痕 迹 ， 或 者 干 脆 销 毁 主 机 硬 盘 。 例 如 ： 2 0 1 5 年 乌 克 兰 电 厂 遭 受 攻 击 之 后 ， 攻 击 者 利 用 k i l l d i s k 组 件 销 毁 了 全 部 数 据 。 当 然 有 些 也 不 会 留 下 在 主 机 上 的 任 何 操 作 痕 迹 ， 部 分 勒 索 软 件 也 是 通 过 同 样 的 手 段 进 行 痕 迹 擦 除 。 这 类 案 例 也 非 常 多 ， 基 本 上 在 受 害 者 机 器 上 找 不 到 任 何 痕 迹 ， 这 时 进 行 全 流 量 分 析 溯 源 就 相 当 有 效 了 。 例 如 ： 以 2 0 1 7 年 F l a r e o n   4 t h 逆 向 挑 战 赛 最 后 一 题 为 例 ：
描 述 了 一 个 A P T 攻 击 场 景 ， 需 要 通 过 分 析 数 据 包 及 P E 文 件 ， 还 原 整 个 攻 击 过 程 。 从 网 络 下 载 加 密 的 恶 意 代 码 在 本 地 进 行 解 密 ： 解 密 后 的 内 容 为 一 个 远 控 端 ， 其 和 主 控 端 的 通 讯 流 量 通 过 了 全 加 密 ， 网 络 传 输 数 据 格 式 如 下 ： 相 关 的 加 解 密 及 功 能 模 块 如 下 ：
通 过 流 量 分 析 发 现 攻 击 者 入 侵 行 为 如 下 ： 1 .   黑 客 入 侵 到 1 6 8 . 2 2 1 . 9 1 后 ， 先 获 取 了 屏 幕 截 图 （ 内 容 包 含 了 一 个 密 码 ） 。 2 .   查 看 c : w o r k F l a r e O n 2 0 1 7 C h a l l e n g e _ 1 0 T O D O . t x t ， 发 现 l a r r y 相 关 提 示 （ 根 据 前 期 信 息 收 集 结 果 ， 可 以 知 道 j o h n s o n 主 机 名 ） 。 3 .   通 过 p i n g 命 令 获 取 到 内 网 j o h n s o n 主 机 I P 地 址 （ 1 9 2 . 1 6 8 . 2 2 1 . 1 0 5 ） 。 4 .   使 用 p s e x e c 在 j o h n s o n 的 主 机 上 安 装 后 门 s r v 2 . e x e （ 监 听 本 地 1 6 4 5 2 端 口 ） 。 5 .   之 后 通 过 内 网 代 理 连 接 该 后 门 ， 通 过 代 理 插 件 上 传 加 密 模 块 到 了 j o h n s o n 的 主 机 上 c : s t a g i n g c f . e x e 。 6 .   利 用 加 密 程 序 （ e x e ） 对 l a b 1 0 的 文 件 进 行 加 密 ， 之 后 将 原 始 文 件 删 除 ， 并 且 通 过 代 理 传 到 了 黑 客 手 里 。 该 案 例 中 仅 通 过 全 流 量 分 析 ， 最 终 还 原 整 个 入 侵 过 程 、 黑 客 攻 击 行 为 以 及 窃 取 的 内 容 ， 而 在 真 实 的 环 境 中 需 要 结 合 入 侵 日 志 进 一 步 对 恶 意 样 本 攻 击 进 行 追 踪 溯 源 。 同 源 分 析 该 方 法 主 要 为 在 获 取 到 恶 意 样 本 后 ， 很 难 第 一 时 间 关 联 到 攻 击 者 或 者 恶 意 样 本 提 供 者 的 信 息 ， 但 是 可 以 通 过 和 历 史 恶 意 代 码 进 行 相 似 度 分 析 ， 获 得 历 史 攻 击 事 件 ， 从 而 关 联 到 相 应 的 组 织 或 团 体 。 这 种 溯 源 方 法 多 用 于 定 位 A P T 组 织 或 者 某 些 知 名 的 黑 客 团 体 （ 方 程 式 ） 的 行 动 ， 需 要 投 入 大 量 的 人 力 ， 时 间 去 完 成 溯 源 跟 踪 分 析 。 A P T 组 织 或 者 知 名 黑 客 团 队 ， 一 般 都 有 各 自 的 工 具 定 制 开 发 部 门 ， 负 责 各 类 工 具 的 开 发 ， 以 及 漏 洞 利 用 工 具 的 量 产 （ 从 今 年 4 月 份 泄 露 的 方 程 式 组 织 内 部 的 工 具 以 及 C I A 泄 露 的 部 分 文 档 就 可 以 看 出 端 倪 ） 。 其 部 分 划 分 组 织 架 构 都 非 常 清 晰 ， 有 专 门 负 责 工 具 开 发 的 部 门 ， 例 如 ： 远 控 开 发 部 门 ， 硬 件 研 究 部 门 ， 漏 洞 挖 掘 部 门 ， 漏 洞 利 用 工 具 编 写 的 部 门 等 。 设 计 思 路 每 个 程 序 员 在 软 件 实 现 的 时 候 ， 会 使 用 自 己 比 较 熟 悉 的 一 套 代 码 风 格 和 实 现 算 法 ， 每 个 团 伙 或 者 组 织 在 攻 击 目 标 时 也 会 有 一 套 自 己 特 有 的 攻 击 方 法 ， 针 对 恶 意 样 本 可 以 通 过 行 为 日 志 的 相 似 度 、 代 码 混 淆 风 格 以 及 相 关 的 实 现 算 法 进 行 同 源 判 定 。 例 如 ： 利 用 “ 破 壳 ” 漏 洞 投 放 的 6 个 B o t 具 有 同 源 性 。 图 片 来 源 ： h t t p : / / w w w . a n t i y . c o m / r e s p o n s e / A n a l y s i s _ R e p o r t _ o n _ S a m p l e _ S e t _ o f _ B a s h _ S h e l l s h o c k . h t m l 编 码 特 征 程 序 员 在 开 发 过 程 中 ， 经 常 会 复 用 部 分 现 有 代 码 （ 加 密 算 法 ， 功 能 模 块 ） ， 以 提 高 开 发 效 率 。
样 本 分 析 人 员 通 过 跟 踪 分 析 某 组 织 的 大 量 攻 击 样 本 后 ， 对 其 工 具 开 发 人 员 的 编 码 风 格 （ 函 数 变 量 命 名 习 惯 ， 语 种 信 息 等 ） ， 编 程 习 惯 有 了 深 入 了 解 。 在 此 基 础 上 ， 就 能 够 通 过 编 码 风 格 准 确 溯 源 到 相 关 组 织 。 下 面 是 今 年 5 月 份 爆 发 的 w a n n c r y 蠕 虫 的 溯 源 分 析 的 案 例 ： h t t p s : / / b l o g . c o m a e . i o / w a n n a c r y - l i n k s - t o - l a z a r u s - g r o u p - d c e a 7 2 c 9 9 d 2 d G o o g l e 研 究 者 N e e l   M e h t a 在 T w i t t e r 率 先 发 布 消 息 称 ， 早 期 的 W a n n a C r y 样 本 与 L a z a r u s 团 伙 使 用 的 一 款 后 门 程 序 C o n t o p e e 存 在 较 高 相 似 度 。 稍 后 卡 巴 斯 基 和 赛 门 铁 克 研 究 者 基 于 此 发 布 了 更 多 分 析 结 果 。 并 且 给 出 了 代 码 相 似 度 对 比 的 图 ， 以 证 明 其 推 论 ： 通 讯 协 议 每 个 恶 意 样 本 为 了 和 之 前 的 版 本 通 讯 协 议 进 行 兼 容 ， 一 般 会 复 用 之 前 的 通 讯 协 议 代 码 ， 通 过 跟 踪 分 析 通 讯 数 据 的 格 式 特 征 进 行 同 源 判 定 。
B i l l g a t e s 上 线 数 据 格 式 X i t e l e 上 线 数 据 包 格 式 通 过 对 比 上 面 两 个 恶 意 样 本 上 线 包 数 据 格 式 特 征 可 以 判 定 其 为 同 源 样 本 。 数 字 证 书 数 字 证 书 是 一 个 经 证 书 授 权 中 心 数 字 签 名 的 包 含 公 开 密 钥 拥 有 者 信 息 以 及 公 开 密 钥 的 文 件 。 最 简 单 的 证 书 包 含 一 个 公 开 密 钥 、 名 称 以 及 证 书 授 权 中 心 的 数 字 签 名 。 数 字 证 书 还 有 一 个 重 要 的 特 征 就 是 只 在 特 定 的 时 间 段 内 有 效 。 数 字 证 书 是 一 种 权 威 性 的 电 子 文 档 ， 可 以 由 权 威 公 正 的 第 三 方 机 构 ， 即 C A 中 心 签 发 的 证 书 ， 也 可 以 由 企 业 级 C A 系 统 进 行 签 发 。 恶 意 软 件 为 了 躲 避 安 全 软 件 的 检 测 ， 会 使 用 数 字 证 书 对 代 码 进 行 签 名 ， 而 签 名 证 书 中 的 颁 发 给 部 分 包 含 了 软 件 的 开 发 商 的 相 关 信 息 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:25 , Processed in 0.668188 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表