搜索

[26896] 2020-01-10_游荡于中巴两国的魅影——响尾蛇(SideWinder)APT组织针对巴基斯坦最近的活动以及2019年该组织的活动总结

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-01-10_游荡于中巴两国的魅影——响尾蛇(SideWinder)APT组织针对巴基斯坦最近的活动以及2019年该组织的活动总结 游 荡 于 中 巴 两 国 的 魅 影 — — 响 尾 蛇 ( S i d e W i n d e r )   A P T 组 织 针 对 巴 基 斯 坦 最 近 的 活 动 以 及 2 0 1 9 年 该 组 织 的 活 动 总 结 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 1 - 1 0 以 下 文 章 来 源 于 G c o w 安 全 团 队   ， 作 者 追 影 小 组 一 ． 前 一 ． 前 言 ： 言 ： G c o w 安 全 团 队 追 影 小 组 于 2 0 1 9 年 1 1 月 份 捕 获 到 名 为 S i d e W i n d e r ( 响 尾 蛇 ) 组 织 针 对 巴 基 斯 坦 的 活 动 , 介 于 该 组 织 主 要 针 对 巴 基 斯 坦 和 中 国 以 及 其 他 东 南 亚 国 家 , 且 其 于 1 0 月 份 时 候 针 对 中 国 部 分 国 防 重 要 行 业 进 行 类 似 手 法 的 攻 击 活 动 , 为 了 更 好 了 解 对 手 的 攻 击 手 段 以 及 加 以 防 范 , 团 队 将 以 最 近 的 样 本 为 契 机 来 总 结 该 组 织 为 期 一 年 的 攻 击 活 动 . 响 尾 蛇 （ 又 称 S i d e W i n d e r 、 T - A P T - 0 4 ） 是 一 个 背 景 可 能 来 源 于 印 度 的 A P T 组 织 , 该 组 织 此 前 已 对 巴 基 斯 坦 和 东 南 亚 各 国 发 起 过 多 次 攻 击 ,   该 组 织 以 窃 取 政 府 ， 能 源 ， 军 事 ， 矿 产 等 领 域 的 机 密 信 息 为 主 要 目 的 。 此 次 的 攻 击 事 件 以 虚 假 邮 件 为 诱 饵 ， 利 用 O f f i c e 远 程 代 码 执 行 漏 洞 （ c v e - 2 0 1 7 - 1 1 8 8 2 ） 或 者 通 过 远 程 模 板 注 入 技 术 加 载 远 程 U R L 上 的 漏 洞 文 件 . 在 针 对 于 巴 基 斯 坦 的 攻 击 中 我 们 发 现 了 L n k 文 件 的 载 荷 , 其 主 要 驱 动 是 m s h t a . e x e ， 攻 击 者 通 过 各 种 方 式 以 达 到 伪 装 的 目 的 在 我 们 的 样 本 捕 获 中 , 我 们 发 现 了 该 组 织 在 这 一 年 之 间 的 变 化 , 其 攻 击 的 手 段 越 来 越 先 进 , 这 对 我 国 的 军 事 部 门 当 然 是 一 个 不 容 小 觑 的 威 胁 , 所 以 我 们 追 影 小 组 将 带 领 各 位 读 者 来 回 顾 该 组 织 的 攻 击 手 法 , 以 及 其 技 术 的 更 迭 。   二 二 . 样 本 分 析 样 本 分 析 : 为 了 方 便 于 各 位 读 者 的 理 解 , 笔 者 画 了 一 张 关 于 该 组 织 攻 击 的 流 程 图 G c o w 安 全 团 队 安 全 团 队   . G c o w 是 当 前 国 内 为 数 不 多 的 民 间 网 络 信 息 安 全 研 究 团 队 之 一 。 本 着 “ 低 调 发 展 ， 自 信 创 新 ， 技 术 至 上 ” 理 念 ， 团 队 主 要 研 究 范 围 “ A P T 捕 获 分 析 、 渗 透 测 试 、 代 码 审 计 、 病 毒 样 本 分 析 、 R e d T e a m 、 红 蓝 对 抗 、 程 序 开 发 ”
如 下 :   在 2 0 1 9 下 半 年 , 该 组 织 经 常 使 用 该 流 程 针 对 巴 基 斯 坦 和 中 国 的 目 标 进 行 攻 击   A D V O C A T E . d o c x   利 用 远 程 模 板 注 入 技 术 加 载 含 有 漏 洞 的 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 R T F 文 档 ， 使 用 的 这 样 加 载 方 式 可 以 绕 过 防 病 毒 网 关 ， 增 加 成 功 率 。 当 成 功 加 载 m a i n . f i l e . r t f 文 件 后 ， 释 放 1 . a   到 T e m p 目 录 下 ， 触 发 漏 洞 s h e l l c o d e 执 行 1 . a ， 1 . a 是 一 个 混 淆 后 的 J s c r i p t 脚 本 文 件 ， 再 次 释 放 D u s e r . d l l 文 件   t m p 文 件 ， 并 拷 贝 r e k e y w i z . e x e 到   C : P r o g r a m D a t a D n s F i l e s 目 录 下 , 并 执 行 r e k e y w i z . e x e 文 件 ， 带 起 D u s e r . d l l ， D u s e r . d l l 加 载 t m p 文 件 . 1 . 诱 饵 文 档 诱 饵 文 档 1 ) . 样 本 信 息 :   样 本 M D 5 9 b 1 d 0 5 3 7 d 0 7 3 4 f 1 d d b 5 3 c 5 5 6 7 f 5 d 7 a b 5 样 本 S H A - 1 e 1 2 7 a 7 8 3 8 7 0 7 0 1 c d d 2 0 a 7 f c 7 5 0 c a d 4 d a e 7 7 5 d 3 6 2 样 本 S H A - 2 5 6 f 1 c d d 4 7 f 7 a 2 5 0 2 9 0 2 d 1 5 a d f 3 a c 7 9 c 0 f 8 6 3 4 8 b a 0 9 f 4 a 4 8 2 a b 9 1 0 8 a d 9 8 2 5 8 e d b 5 5 样 本 类 型 O f f i c e   O p e n   X M L   文 件 样 本 名 称 A D V O C A T E . d o c x 文 件 大 小 9 . 0 2   K B   ( 9 2 3 2   b y t e s )   2 ) . 分 析  
打 开 A D V O C A T E . d o c x 样 本 后 ， 利 用 远 程 模 板 注 入 技 术 远 程 加 载 远 程 模 板 :   h t t p s : / / w w w . s d 1 - b i n . n e t / i m a g e s / 2 B 7 1 7 E 9 8 / - 1 / 1 2 5 7 1 / 4 C 7 9 4 7 E C / m a i n . f i l e . r t f   成 功 打 开 后 显 示 , 用 掩 饰 目 的 文 档 ， 如 下 图 ：   2 . 漏 洞 文 档 漏 洞 文 档 :     1 ) 样 本 信 息 : 样 本 M D 5 3 e e 3 0 a 5 c a c 2 b e f 0 3 4 7 6 7 e 1 5 9 8 6 5 6 8 3 d f 样 本 S H A - 1 c 2 9 a 1 f d 5 4 f 9 f 9 6 1 2 1 1 e 9 c d 9 8 7 f 9 0 b d 8 e b 0 9 3 2 e 4 5 样 本 S H A - 2 5 6 f 0 8 c c c 0 4 0 c 8 d 8 d b 6 0 f 3 0 a 6 d 1 0 2 6 a a 6 5 2 3 e 9 7 c 6 c f 5 2 b 1 b 3 0 f 0 8 3 a 8 3 0 a 0 a 6 5 a 3 a 9 样 本 类 型 富 文 本 文 件
样 本 名 称 m a i n . f i l e . r t f 文 件 大 小 1 . 7 2   M B   ( 1 8 0 4 0 3 8   b y t e s )   2 ) . 分 析 : 当 m a i n . f i l e . r t f 加 载 成 功 后 ， 会 将 1 . A 文 件 释 放 到 当 前 用 户 t e m p 文 件 夹 下 面 1 . a 是 嵌 入 到 r t f 文 档 中 的 O L E   O b j e c t , 如 下 图 :   通 过 分 析 r t f 也 可 以 看 到   默 认 释 放 到   t e m p 文 件 夹 中 , 如 下 图 :
  1 . a 文 件 通 过 S h e l l c o d e 加 载 起 来 ( 1 ) . S h e l l c o d e 分 析 分 析 s h e l l c o d e   代 码   如 下 图 : 直 接 在 0 0 4 1 1 8 7 4   处 下 断 点   此 处 为   r e t 处 ， 也 就 是 将 通 过 覆 盖 r e t 返 回 地 址 ， 达 到 任 意 代 码 执 行 目 的 , 如 下 图 :   可 以 看 到 e s p   值 已 经 被 覆 盖 为 0 x 1 8 f 3 5 4 ， 这 个 就 是 s h e l l c o d e 入 口 地 址 ， 如 下 图 :  
也 可 以 在 r t f   文 件 中 找 到 s h e l l c o d e ， 如 下 图 :   S h e l l c o d e 通 过 获 取 R u n H T M L A p p l i c a t i o n 来 加 载 恶 意 j s  
对 异 或 后 的 j s 代 码 进 行 解 密 , 秘 钥 是 1 2   将 执 行 j s 的 命 令 行 替 换 其 原 来 的 命 令 行   恶 意 j s 如 下 : （ 读 取 1 . a 文 件 的 所 有 内 容 并 且 用 e v a l 执 行 ）  
  ( 2 ) . 1 . a 分 析 分 析 i . 样 本 信 息 样 本 信 息 样 本 M D 5 4 5 1 3 f 6 5 b d f 6 9 7 6 e 9 3 a a 3 1 b 7 a 3 7 d b b 8 b 6 样 本 S H A - 1 7 3 a e 6 c d 3 9 1 3 b c f b 1 1 d 9 e 8 4 7 7 0 f 5 3 2 f 2 4 9 0 d d e f 6 c 样 本 S H A - 2 5 6 0 5 4 a 0 2 9 b 3 7 8 b 8 b b f 5 e a 3 f 8 1 4 a 7 3 7 e 9 c 3 b 4 3 e 1 2 4 9 9 5 d 0 5 d 7 d a c 4 5 a 8 7 5 0 2 b f 2 f 6 2 样 本 类 型 J s 脚 本 文 件 样 本 名 称 1 . a 文 件 大 小 8 7 8 . 9 1   K B   ( 9 0 0 0 0 0   b y t e s ) i i . 分 析 分 析   通 过 分 析 ， 1 . a 是 一 个 通 过 D o t N e t T o J S c r i p t 成 生 的 J s c r i p t 文 件 ， 并 且 经 过 混 淆 过 ， 但 是 还 原 后 还 可 以 看 出 来 如 下 图 ：  
    其 主 要 逻 辑 即 为 将 内 置 的 c #   d l l 解 密 后 内 存 加 载 其 W o r k 函 数 传 入 三 个 参 数 第 一 个 参 数 是 黑 d l l 的 数 据 , 第 二 个 参 数 是 同 目 录 下 的 t m p 文 件 数 据 , 第 二 个 参 数 是 混 淆 的 C 2 地 址 通 过 调 试 解 密 出 内 置 d l l 文 件 的 b a s e 6 4 编 码
  B a s e 6 4 解 密 后   删 除 前 面 加 载 部 分 然 后 保 存 为 d l l 文 件  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理