搜索

[28158] 2020-02-13_专为美国公司量身定制的新伊朗战役使用了更新的工具集

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-02-13_专为美国公司量身定制的新伊朗战役使用了更新的工具集 专 为 美 国 公 司 量 身 定 制 的 新 伊 朗 战 役 使 用 了 更 新 的 工 具 集 O t s 安 全   2 0 2 0 - 0 2 - 1 3 介 绍 介 绍 我 们 的 研 究 人 员 P a u l   L i t v a k 和 M i c h a e l   K a j i l o l t i 发 现 了 A P T 3 4 使 用 更 新 的 工 具 集 进 行 的 一 项 新 活 动 。 根 据 未 发 现 的 网 络 钓 鱼 文 件 ， 我 们 认 为 这 位 伊 朗 演 员 正 在 将 W e s t a t 员 工 或   雇 用 W e s t a t 服 务 的 美 国 组 织 作 为 攻 击 目 标 。 W e s t a t     是 一 家 总 部 位 于 美 国 的 公 司 ， “ 为 美 国 政 府 机 构 以 及 企 业 ， 基 金 会 以 及 州 和 地 方 政 府 提 供 研 究 服 务 ” 。 W e s t a t 提 供 的 服 务 示 例 之 一 是   针 对 联 邦 工 作 人 员 的 一 项 调 查 ， 这 使 我 们 相 信 这 次 攻 击 可 能 针 对 W e s t a t 客 户 。 W e s t a t 的 官 方 回 复 ： “   W e s t a t 了 解 到 ， 在 确 定 威 胁 和 恶 意 软 件 的 过 程 中 ， I n t e z e r 已 经 识 别 出 使 用 W e s t a t 名 称 和 徽 标 的 恶 意 文 件 。 该 文 件 不 是 由 W e s t a t 创 建 ， 托 管 或 发 送 的 ， 很 可 能 是 由 于 坏 演 员 偷 走 W e s t a t 品 牌 名 称 和 徽 标 而 导 致 的 。 我 们 的 网 络 安 全 团 队 正 在 与 I n t e z e r 及 其 他 人 合 作 ， 以 充 分 了 解 本 报 告 的 性 质 。 我 们 将 继 续 监 视 局 势 并 作 出 相 应 回 应 。 ” A P T 3 4 背 景 背 景 A P T 3 4     （ 也 称 为 O i l R i g 或 H e l i x   K i t t e n ） 是 由 伊 朗 政 府 支 持 的 网 络 间 谍 活 动 的 集 群 ， 自 2 0 1 4 年 以 来 一 直 活 跃 。 该 组 织 的 目 标 群 体 是 各 种 国 际 组 织 ， 主 要 是 中 东 地 区 。 他 们 的 目 标 行 业 包 括 政 府 机 构 ， 金 融 服 务 ， 能 源 和 公 用 事 业 ， 电 信 以 及 石 油 和 天 然 气 。 2 0 1 9 年 4 月 ， 该 小 组 的 更 多 情 况 得 到 了   揭 露 ， 化 名 “   L a b   D o o k h t e g a n ” 的 一 名 神 秘 人 士 泄 漏 了 该 物 品 。 该 个 人 暴 露 了 属 于 该 组 受 害 者 的 数 据 ， 以 及 黑 客 工 具 的 源 代 码 和 有 关 先 前 A P T 3 4 操 作 的 数 据 ； 包 括 该 小 组 托 管 与 过 去 操 作 相 关 的 W e b   S h e l l 的 I P 地 址 和 域 。 最 近 ， F i r e E y e     暴 露 了 由 A P T 3 4 进 行 的 鱼 叉 式 网 络 钓 鱼 操 作 ， 由 于 两 次 活 动 所 采 用 的 技 术 和 工 具 相 似 ， 因 此 使 我 们 能 够 将 此 操 作 与 该 伊 朗 演 员 联 系 起 来 。 初 始 向 量 初 始 向 量 在 2 0 2 0 年 1 月 下 旬 ， 我 们 发 现 了 一 个 名 为 s u r v e y . x l s 的 文 件 ， 该 文 件   看 起 来 像 是 针 对 W e s t a t 员 工 或 W e s t a t 客 户 量 身 定 制 的 员 工 满 意 度 调 查 。 最 初 ， 电 子 表 格 似 乎 是 空 白 的 。 仅 当 受 害 者 启 用 宏 后 ， 调 查 才 会 显 示 给 用 户 ， 并 且 恶 意 V B A 代 码 开 始 执 行 。
嵌 入 式 V B A 代 码 将 一 个 z i p 文 件 解 压 缩 到 一 个 临 时 文 件 夹 中 ， 提 取 一 个 “   C l i e n t   u p d a t e . e x e ” 可 执 行 文 件 并 将 其 安 装 到 “   C ： U s e r s < U s e r >   v a l s C l i e n t   u p d a t e . e x e ” 。 “   C l i e n t   u p d a t e . e x e ” 实 际 上 是 T O N E D E A F 恶 意 软 件 的 高 度 修 改 版 本 ， 我 们 将 其 命 名 为 T O N E D E A F   2 . 0 。 最 后 ， c r t t     函 数 创 建 一 个 计 划 任 务 “   C h e c k U p d a t e ” ， 该 任 务 在 被 解 压 缩 的 可 执 行 文 件 感 染 后 五 分 钟 运 行 ， 并 在 以 后 登 录 时 运 行 。 S u r v e y . x l s   V B A 代 码 提 取 的 V B A 代 码 和 该 代 码 的 功 能 都 类 似 于 F i r e E y e 报 告 中 分 析 的 代 码 ：
F i r e E y e 报 告 中 的 A P T 3 4   V B A 代 码 此 外 ， 我 们 找 到 了 一 个 类 似 的 文 档 ， 标 记 为 “   E m p l o y e e 满 意 度 调 查 . x l s ” ， 其 中 包 含 与 先 前 文 档 相 同 的 调 查 。
员 工 满 意 度 调 查 但 是 ， 重 要 的 是 要 突 出 显 示 此 文 档 的 代 码 页 字 段 为 阿 拉 伯 语 ， 这 在 检 查 其 文 件 元 数 据 时 可 以 看 到 ， 表 示 在 文 档 作 者 的 M i c r o s o f t   E x c e l 版 本 上 安 装 的 首 选 语 言 ： 员 工 满 意 度 调 查 . x l s 元 数 据 通 音 通 音 2 . 0 “   C l i e n t   u p d a t e . e x e ” 似 乎 是 一 种 全 新 的 后 门 恶 意 软 件 。 但 是 ， 进 一 步 检 查 发 现 ， 它 很 可 能 是 先 前 看 到 的 T O N E D E A F 后 门 的 高 度 修 改 版 本 。 T O N E D E A F 是 一 个 后 门 ， 可 以 通 过 H T T P 与 它 的 C o m m a n d   a n d   C o n t r o l 服 务 器 进 行 通 信 ， 以 便 接 收 和 执 行 命 令 。 F i r e E y e 在 最 近 的 一 份 报 告 中 提 到 该 组 正 在 进 行 的 A P T 3 4 操 作 是 该 组 的 自 定 义 工 具 之 一 。 我 们 将 新 变 种 命 名 为 T O N E D E A F 2 . 0 。 T O N E D E A F   2 . 0 是 T O N E D E A F 的 高 级 版 本 ， 具 有 与 原 始 版 本 相 同 的 目 的 ， 但 具 有 经 过 改 进 的 C 2 通 信 协 议 和 经 过 实 质 性 修 改 的 代 码 库 。 与 原 始 的 T O N E D E A F 相 比 ， T O N E D E A F   2 . 0 仅 包 含 任 意 S h e l l 执 行 功 能 ， 并 且 不 支 持 任 何 预 定 义 命 令 。 它 也 更 隐 蔽 ， 并 且 包 含 诸 如 动 态 导 入 ， 字 符 串 解 码 和 受 害 者 欺 骗 方 法 之 类 的 新 技 巧 。 新 技 巧 新 技 巧 执 行 后 门 后 ， 将 检 查 后 门 是 否 以 “ … ” 作 为   参 数 执 行 ， 这 是 将 其 配 置 为 由 计 划 任 务 执 行 的 方 式 ， 作 为 适 当 感 染 链 的 一 部 分 。
如 果 执 行 时 没 有 正 确 的 参 数 ， 例 如 通 过 双 击 启 动 它 ， 它 将 向 用 户 显 示 空 白 的 G U I 窗 口 。 这 很 可 能 是 一 种 欺 骗 方 法 ， 以 使 恶 意 软 件 看 起 来 像 标 题 为 “   B e e ” 的 合 法 （ a l i b i e t 损 坏 ） 应 用 程 序 。 用 于 欺 骗 的 G U I 窗 口 通 过 隐 藏 它 使 用 的 许 多 有 趣 的 A P I 导 入 ， T O N E D E A F   2 . 0 还 试 图 比 其 前 身 更 加 隐 秘 。 这 些 A P I 的 名 称 以 及 包 含 它 们 的 D L L 被 存 储 为 编 码 字 符 串 ， 并 在 运 行 时 根 据 需 要 进 行 解 码 和 解 析 。 解 码 和 解 析 A P I 函 数 C 2 通 信 通 信 后 门 使 用 H T T P 进 行 C 2 通 信 ， 并 具 有 自 定 义 编 码 和 握 手 机 制 。 后 门 发 送 的 消 息 始 终 包 含 H T T P 查 询 参 数 “   ？ s e r   =   < 6   d i g i t s >   ” 作 为 标 识 符 。 前 三 位 是 < s e r v e r _ i d >     ， 后 三 位 是 < c l i e n t _ i d > 。 后 门 将 使 用 以 下 两 个 消 息 之 一 ： 1 .   G E T   /   d o w ？ s e r   =   < 服 务 器 I D >   < 客 户 端 I D >     – 请 求 消 息 ， 用 于 获 取 要 从 服 务 器 执 行 的 命 令 。 2 .   P O S T   /   u p l ？ s e r   = =   < 服 务 器 I D >   < 客 户 端 I D >       – 回 复 命 令 消 息 ， 用 于 将 已 执 行 命 令 的 输 出 发 送 到 服 务 器 。 在 执 行 第 一 个 请 求 之 前 ， 恶 意 软 件 将   使 用 自 定 义 公 式 生 成   从 环 境 变 量 ％ H O M E P A T H ％     和 ％ C O M P U T E R N A M E ％ 派 生 的 < c l i e n t _ i d > 。 然 后 ， 它 将 使 用 该 I D 向 C 2 发 送 初 始 G E T 消 息 。 C 2 要 求 关 于 通 信 的 一 个 奇 怪 的 因 素 是     H T T P 消 息 中 W i n d o w s   P h o n e   用 户 代 理 值 的 使 用 。 在 我 们 的 分 析 过 程 中 ， C 2 处 于 活 动 状 态 ， 但 不 断 向 我 们 的 请 求 回 复 4 0 3   F o r b i d d e n   H T T P 错 误 代 码 。 C 2 可 能 正 在 过 滤 目 标 ， 因 为 此 后 门 是 目 标 操 作 的 一 部 分 ， 并 且 我 们 的 c l i e n t _ i d     参 数 与 目 标 受 害 者 之 一 的 参 数 不 匹 配 。
如 果 C 2 接 受 I D ， 它 将 使 用 包 含 < s e r v e r _ i d >     和 后 门 需 要 执 行 的 命 令 的 编 码 消 息 进 行 回 复 。 该 恶 意 软 件 通 过 在 响 应 中 查 找 带 有 特 殊 类 名 的 H T T P   d i v 元 素 来 提 取 命 令 。 解 析 C 2 响 应 然 后 ， 恶 意 软 件 将 在 命 令 前 添 加 “   c m d   U   c ” 来 执 行 命 令 ， 并 使 用 P O S T 回 复 消 息 （ 2 ） 将 命 令 的 输 出 发 送 回 C 2   。 通 过 浏 览 器 进 入 C 2 时 ， 该 站 点 尝 试 模 仿 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / ， 尽 管 由 于 C S S 配 置 错 误 ， 它 无 法 正 确 显 示 它 ， 如 在 控 制 台 中 所 见 ：
m a n y g o o d n e w s   [ . ]   c o m   C 2 页 面 我 们 还 观 察 到 最 近 已 生 成 与 C 2 的 域 匹 配 的 S S L 证 书 。   过 去 一 个 月 颁 发 的 C 2 域 的 S S L 证 书 这 些 发 现 可 能 表 明 ， 攻 击 者 正 在 过 渡 到 用 于 C 2 通 信 的 H T T P S ， 以 试 图 提 高 其 O P S E C 功 能 并 避 免 检 测 。 原 始 原 始 T O N E D E A F 的 痕 迹 的 痕 迹 通 过 所 有 更 改 和 新 添 加 ， 仍 然 有 足 够 的 相 似 之 处 将 T O N E D E A F   2 . 0 与 原 始 链 接 在 一 起 。 虽 然 大 部 分 代 码 已 被 修 改 ， 但 总 体 流 程 和 功 能 是 相 似 的 。 C 2 通 信 是 不 同 的 ， 但 仍 然 与 其 前 身 相 似 ， 例 如 对 受 害 者 和 服 务 器 使 用 三 位 数 字 标 识 符 。 但 是 ， 最 值 得 注 意 的 是 ， 代 码 中 有 几 个 地 方 最 相 似 。 一 个 这 样 的 地 方 就 是 两 种 变 体 中 都 存 在 的 功 能 ， 这 奇 怪 地 在 W i n d o w s 状 态 栏 中 创
建 了 一 个 通 知 图 标 。 唯 一 值 得 注 意 的 变 化 是 动 态 的 A P I 分 辨 率 的 使 用 和 通 知 消 息 从 缩 短 “ 更 新 ”     到 “ 向 上 ” 。 特 定 功 能 比 较 另 一 个 实 例 是 设 置 程 序 工 作 目 录 的 代 码 。 每 个 变 体 在 不 同 的 阶 段 出 现 ， 但 完 全 相 同 ： 相 似 的 代 码 片 段 V A L U E V A U L T   2 . 0 我 们 无 法 下 载 其 他 模 块 ， 但 是 ， 我 们 认 为 此 操 作 还 包 括 使 用 V A L U E V A U L T 植 入 物 。 V A L U E V A U L T 是 G o l a n g 中 内 置 的 浏 览 器 凭 证 盗 窃 工 具 ， 是 F i r e E y e 在 上 述 A P T 3 4 操 作 分 析 中 发 现 的 。 我 们 发 现   ， 使 用 同 一 用 户 从 黎 巴 嫩 上 载 的 V A L U E V A U L T 实 例 和 T O N E D E A F   2 . 0 实 例 上 载 到 V i r u s T o t a l   的 S u r v e y . x l s 文 件 仅 相 隔 几 分 钟 。 这 可 能 表 明 这 些 恶 意 软 件 是 作 为 同 一 攻 击 的 一 部 分 一 起 提 供 的 。 与 以 前 的 版 本 相 比 ， 此 V A L U E V A U L T 采 用 了 更 为 简 化 的 方 法 。 从 新 二 进 制 文 件 中 剥 离 了 许 多 功 能 和 字 符 串 ， 以 降 低 其 噪 音 。 现 在 仅 支 持 C h r o m e 密 码 转 储 ， 尽 管 有 趣 的 是 ， 文 件 “   f s o c i e t y . d a t ” 作 为 “   A p p D a t a     R o a m i n g ” 目 录 下 的 密 码 数 据 存 储 的 使 用 保 持 不 变 。
V A L U E V A U L T   2 . 0 编 译 路 径 V A L U E V A U L T   1 . 0 编 译 路 径 此 外 ， V A L U E V A U L T   2 . 0 是 6 4 位 二 进 制 文 件 ， 而 V A L U E V A U L T   1 . 0 是 3 2 位 二 进 制 文 件 。 这 些 相 对 较 小 的 变 化 足 以 创 建 一 个 完 全 未 被 发 现 的 植 入 物 。 结 论 结 论 上 个 月 A P T 3 4 的 最 后 一 次 操 作 是 由 F i r e E y e 揭 露 的 ， 从 我 们 目 前 的 调 查 结 果 来 看 ， 我 们 可 以 自 信 地 说 ， 该 小 组 自 此 发 展 了 业 务 。 对 新 恶 意 软 件 变 种 的 技 术 分 析 显 示 ， 该 伊 朗 政 府 支 持 的 组 织 已 投 入 大 量 精 力 来 升 级 其 工 具 集 ， 以 逃 避 将 来 的 检 测 。 这 些 新 恶 意 软 件 样 本 中 的 二 进 制 代 码 现 在 已 在 我 们 的 遗 传 恶 意 软 件 分 析 平 台 I n t e z e r   A n a l y z e 中 建 立 了 索 引 。 我 们 鼓 励 您 使 用 我 们 的 免 费 社 区 版     来 检 测 和 分 类 与 A P T 3 4 恶 意 软 件 共 享 代 码 的 威 胁 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理