搜索

[26932] 2020-03-11_刺向巴勒斯坦的致命毒针——双尾蝎APT组织的攻击活动分析与总结

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-03-11_刺向巴勒斯坦的致命毒针——双尾蝎APT组织的攻击活动分析与总结 刺 向 巴 勒 斯 坦 的 致 命 毒 针 — — 双 尾 蝎   A P T   组 织 的 攻 击 活 动 分 析 与 总 结 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 3 - 1 1 以 下 文 章 来 源 于 G c o w 安 全 团 队   ， 作 者 追 影 小 组 刺 向 巴 勒 斯 坦 的 致 命 毒 针 刺 向 巴 勒 斯 坦 的 致 命 毒 针 — — 双 尾 蝎 双 尾 蝎   A P T   组 织 的 攻 击 活 动 分 析 与 总 结 组 织 的 攻 击 活 动 分 析 与 总 结 封 面 - p i c 1 G c o w 安 全 团 队 安 全 团 队   . G c o w 是 当 前 国 内 为 数 不 多 的 民 间 网 络 信 息 安 全 研 究 团 队 之 一 。 本 着 “ 低 调 发 展 ， 自 信 创 新 ， 技 术 至 上 ” 理 念 ， 团 队 主 要 研 究 范 围 “ A P T 捕 获 分 析 、 渗 透 测 试 、 代 码 审 计 、 病 毒 样 本 分 析 、 R e d T e a m 、 红 蓝 对 抗 、 程 序 开 发 ”
一 一 . 前 言 前 言 双 尾 蝎 双 尾 蝎 A P T 组 织 ( 又 名 : ) , 该 组 织 从   2 0 1 6   年   5   月 开 始 就 一 直 对 巴 勒 斯 坦 教 育 机 构 、 军 事 机 构 等 重 要 领 域 展 开 了 有 组 织 、 有 计 划 、 有 针 对 性 的 长 时 间 不 间 断 攻 击 . 其 在 2 0 1 7 年 的 时 候 其 攻 击 活 动 被 3 6 0 企 业 安 全 进 行 了 披 露 , 并 且 其 主 要 的 攻 击 区 域 为 中 东 , 其 中 以 色 列 与 巴 勒 斯 坦 更 受 该 组 织 的 青 睐 。 攻 击 平 台 主 要 包 括     与 : 其 中 针 对 的 平 台 , 其 比 较 常 见 的 手 法 有 投 放 带 有 " " 或 " " 文 件 后 缀 的 释 放 者 释 放 者 文 件 , 在 目 标 用 户 打 开 后 释 放 对 应 的 诱 饵 文 档 , 并 且 释 放 下 一 步 的 侦 查 者 侦 查 者 ( R e c o n ) . 持 久 存 在 的 方 式 也 不 唯 一 , 一 般 通 过 写 入 注 册 表 启 动 项 以 及 释 放 指 向 持 久 化 远 控 的 快 捷 方 式 到 自 启 动 文 件 夹 下 . 其 侦 查 者 会 收 集 当 前 机 器 的 相 关 信 息 包 含 ( 系 统 系 统 版 本 版 本 , 计 算 名 计 算 名 , 杀 毒 软 件 信 息 杀 毒 软 件 信 息 , 当 前 文 件 所 在 路 径 当 前 文 件 所 在 路 径 , 恶 意 软 件 当 前 版 本 恶 意 软 件 当 前 版 本 ) , 以 及 其 解 析 的 回 显 指 令 , 并 执 行 . 比 如 : 远 程 远 程 s h e l l , 截 屏 和 文 件 下 载 截 屏 和 文 件 下 载 。 同 时 根 据 别 的 安 全 厂 商 的 报 告 , 我 们 也 得 知 该 组 织 拥 有 于 攻 击 平 台 的 组 件 , 拥 有 定 位 、 短 信 拦 截 、 电 话 录 音 等 ， 并 且 还 会 收 集 文 档 、 图 片 、 联 系 人 、 短 信 等 情 报 信 息 ； 定 位 、 短 信 拦 截 、 电 话 录 音 等 ， 并 且 还 会 收 集 文 档 、 图 片 、 联 系 人 、 短 信 等 情 报 信 息 ； P C   端 后 门 程 序 功 端 后 门 程 序 功 能 包 括 收 集 用 户 信 息 上 传 到 指 定 服 务 器 能 包 括 收 集 用 户 信 息 上 传 到 指 定 服 务 器 的 功 能 、 远 程 下 载 文 件 能 力 . 近 日 安 全 厂 商 披 露 了 该 组 织 自 导 自 演 , 给 以 色 列 士 兵 手 上 安 装 恶 意 软 件 的 攻 击 活 动 . 可 以 从 中 看 出 该 团 伙 的 攻 击 设 计 之 巧 妙 , 准 备 之 充 分 。 但 最 后 结 果 还 是 被 以 色 列 给 反 制 了 一 波 . . . . . . . . . . . . G c o w 安 全 团 队 追 影 小 组 追 影 小 组 于 月 初 开 始 监 测 到 了 双 尾 蝎 双 尾 蝎 A P T 组 织 通 过 投 递 带 有 诱 饵 文 件 的 相 关 可 执 行 文 件 针 对 巴 勒 斯 坦 巴 勒 斯 坦 的 部 门   进 行 了 相 应 的 攻 击 活 动 , 这 些 诱 饵 文 件 涉 及 教 育 , 科 技 , 政 治 等 方 面 的 内 容 , 其 攻 击 活 动 一 直 持 续 到 了 月 底 . 追 影 小 组 追 影 小 组 对 该 组 织 进 行 了 一 定 时 间 的 追 踪 . 遂 写 成 此 报 告 还 请 各 位 看 官 欣 赏 . 二 二 . 样 本 信 息 介 绍 以 及 分 析 样 本 信 息 介 绍 以 及 分 析 1 . 样 本 信 息 介 绍 样 本 信 息 介 绍 在 本 次 双 尾 蝎 双 尾 蝎 A P T 组 织 针 对 巴 勒 斯 坦 巴 勒 斯 坦 的 活 动 中 , G c o w 安 全 团 队 追 影 小 组 追 影 小 组 一 共 捕 获 了 个 样 本 , 均 为 A P T - C - 2 3 W i n d o w s A n d r o i d w i n d o w s * . e x e * . s c r C 2 A n d r o i d c h e c k   p o i n t 2 0 1 9 . 1 2 2 0 2 0 . 2 1 4 w i n d o w s
样 本 , 其 中 个 样 本 是 释 放 诱 饵 文 档 的 可 执 行 文 件 , 个 样 本 是 带 有 恶 意 宏 的 诱 饵 文 档 2 0 1 9 . 1 2 — — 2 0 2 0 . 2 双 尾 蝎 A P T 组 织 针 对 巴 勒 斯 坦 所 投 放 样 本 的 样 本 类 型 占 比 图 - p i c 2 在 这 个 可 执 行 文 件 样 本 中 , 有 个 样 本 伪 装 成 文 档 文 件 , 有 个 样 本 伪 装 为 文 档 文 件 , 有 个 样 本 伪 装 为 压 缩 文 件 . 有 个 样 本 伪 装 成 , w i n d o w s 1 2 2 1 2 7 p d f 1 w o r d 2 r a r 2 m p 3 m p 4
音 频 文 件 2 0 1 9 . 1 2 — — 2 0 2 0 . 2 双 尾 蝎 A P T 组 织 针 对 巴 勒 斯 坦 所 投 放 可 执 行 文 件 样 本 的 样 本 类 型 占 比 图 - p i c 3 在 这 个 恶 意 样 本 中 , 其 诱 饵 文 档 的 题 材 , 政 治 类 的 样 本 数 量 有 个 , 教 育 类 的 样 本 数 量 有 个 , 科 研 类 的 样 本 数 量 有 个 , 未 知 类 的 样 本 数 量 有 个 ( 注 意 注 意 : 未 知 指 得 是 其 诱 饵 文 档 出 现 错 误 无 法 打 开 或 者 其 内 容 属 于 无 关 内 容 未 知 指 得 是 其 诱 饵 文 档 出 现 错 误 无 法 打 开 或 者 其 内 容 属 于 无 关 内 容 ) 1 4 W i n d o w s 9 1 1 3
2 0 1 9 . 1 2 — — 2 0 2 0 . 2 双 尾 蝎 A P T 组 织 针 对 巴 勒 斯 坦 所 投 放 的 样 本 题 材 占 比 图 - p i c 4 现 在 各 位 看 官 应 该 对 这 批 双 尾 蝎 双 尾 蝎 组 织 针 对 巴 勒 斯 坦 巴 勒 斯 坦 的 攻 击 活 动 有 了 一 个 大 概 的 认 识 , 但 是 由 于 这 批 样 本 之 中 有 一 些 话 题 是 以 色 列 和 巴 勒 斯 坦 共 有 的 , 这 里 安 全 团 队 追 影 小 组 追 影 小 组 持 该 组 织 主 要 是 攻 击 巴 勒 斯 坦 巴 勒 斯 坦 的 观 点 , 若 各 位 看 官 有 更 多 的 证 据 , 欢 迎 联 系 我 们 团 队 . 注 意 注 意 : 这 里 只 是 一 家 之 言 这 里 只 是 一 家 之 言 , 还 请 各 位 看 官 须 知 还 请 各 位 看 官 须 知 。 那 下 面 追 影 小 组 追 影 小 组 将 以 一 个 恶 意 样 本 进 行 详 细 分 析 , 其 他 样 本 采 取 略 写 的 形 式 向 各 位 看 官 描 述 此 次 攻 击 活 动 。 注 意 注 意 : 因 为 其 他 样 本 因 为 其 他 样 本 的 主 要 逻 辑 是 相 同 的 的 主 要 逻 辑 是 相 同 的 , 所 以 没 有 必 要 枉 费 笔 墨 所 以 没 有 必 要 枉 费 笔 墨 2 . 样 本 分 析 样 本 分 析 ( 1 ) . D e f i n e   t h e   I n t e r n e t   i n   g o v e r n m e n t   i n s t i t u t i o n s a . 样 本 信 息 样 本 信 息 G c o w
样 本 D e f i n e   t h e   I n t e r n e t   i n   g o v e r n m e n t   i n s t i t u t i o n s _ p d f . e x e 文 件 信 息 ( 表 格 ) - p i c 5 样 本 D e f i n e   t h e   I n t e r n e t   i n   g o v e r n m e n t   i n s t i t u t i o n s _ p d f . e x e 文 件 信 息 ( 图 片 ) - p i c 6 b . 样 本 分 析 样 本 分 析 通 过 对 样 本 的 分 析 我 们 得 知 了 该 样 本 是 兼 具 释 放 者 释 放 者 ( D r o p p e r ) 与 下 载 者 下 载 者 ( D o w n l o a d e r ) 的 功 能 , 其 释 放 者 释 放 者 ( D r o p p e r ) 主 要 是 用 以 释 放 诱 饵
文 档 加 以 伪 装 以 及 将 自 身 拷 贝 到 % P r o g r a m D a t a % 目 录 下 , 并 且 生 成 执 行 该 文 件 的 快 捷 方 式 并 且 释 放 于 自 启 动 文 件 夹 下 , 而 下 载 下 载 者 者 ( D o w n l o a d e r ) 部 分 主 要 是 通 过 进 行 信 息 收 集 以 及 等 待 C 2 给 予 的 回 显 , 主 要 功 能 有 : 远 程 远 程 s h e l l , 文 件 下 载 文 件 下 载 , 屏 幕 截 屏 屏 幕 截 屏 i . 释 放 者 释 放 者 ( D r o p p e r ) 部 分 部 分 : 通 过 函 数 查 找 名 称 为 : M y D a t a 的 资 源 F i n d R e s o u r c e 函 数 查 找 M y D a t a 资 源 - p i c 7 通 过 函 数 加 载 该 资 源 F i n d R e s o u r c e L o a d R e s o u r c e
L o a d R e s o u r c e 函 数 加 载 资 源 - p i c 8 通 过 函 数 锁 定 资 源 并 且 获 取 资 源 在 内 存 的 地 址 L o c k R e s o u r c e 函 数 锁 定 资 源 - p i c 9 通 过 函 数 通 过 获 取 资 源 的 地 址 计 算 该 资 源 的 长 度 L o c k R e s o u r c e S i z e O f R e s o u r c e
S i z e O f R e s o u r c e 函 数 获 取 资 源 长 度 - p i c 1 0 通 过 函 数 在 % t e m p % 目 录 下 释 放 诱 饵 P D F 文 档 D e f i n e   t h e   I n t e r n e t   i n   g o v e r n m e n t   i n s t i t u t i o n s . p d f C r e a t e F i l e 函 数 创 造 诱 饵 P D F 文 档 - p i c 1 1 通 过 函 数 将 P D F 源 数 据 写 入 创 建 的 诱 饵 文 档 内 C r e a t e F i l e W r i t e F i l e
诱 饵 P D F 文 档 源 数 据 - p i c 1 2 W r i t e F i l e 函 数 将 P D F 文 档 源 数 据 写 入 诱 饵 P D F 文 档 中 - p i c 1 3 通 过 函 数 打 开 P D F 诱 饵 文 档 , 以 免 引 起 目 标 怀 疑 S h e l l E x e c u t e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理