搜索

[3988] 2017-07-01_网络间谍组织“海莲花”打造全新MacOS后门程序

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-07-01_网络间谍组织“海莲花”打造全新MacOS后门程序 网 络 间 谍 组 织 “ 海 莲 花 ” 打 造 全 新 M a c O S 后 门 程 序 原 创   6   E 安 全   2 0 1 7 - 0 7 - 0 1 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 7 月 1 日 讯 ， 最 近 ， 国 外 安 全 公 司 P a l o   A l t o   N e t w o r k s 在 其 云 分 析 平 台 当 中 发 现 了 一 种 最 新 版 本 的 M a c   O S 后 门 程 序 ， 该 后 门 程 序 由 网 络 间 谍 组 织 “ 海 莲 花 ” （ O c e a n L o t u s ， 也 称 为 A P T 3 2 ， 该 组 织 自 2 0 1 2 年 4 月 起 针 对 中 国 政 府 的 海 事 机 构 、 海 域 建 设 部 门 、 科 研 院 所 和 航 运 企 业 , 展 开 了 精 密 组 织 的 网 络 攻 击 ） 所 开 发 利 用 ， 这 很 可 能 是 迄 今 为 止 所 见 到 过 的 最 为 先 进 的 M a c   O S 后 门 程 序 。 以 下 为 E 安 全 译 制 的 P a l o   A l t o   N e t w o r k s 的 分 析 报 告 。 网 络 间 谍 组 织 “ 海 莲 花 ” 最 新 版 本 的 M a c   O S 后 门 程 序 主 要 用 于 攻 击 越 南 国 内 的 受 害 目 标 ， 而 且 在 距 离 首 次 被 发 现 近 一 年 后 的 今 天 ， 大 多 数 反 病 毒 检 测 仍 然 无 法 发 现 这 款 后 门 。 而 且 后 门 的 活 跃 度 似 乎 相 当 惊 人 。 在 分 析 过 程 当 中 ， 我 们 仍 然 能 够 与 2 0 1 7 年 6 月 初 建 立 的 C & C ( 远 程 命 令 和 控 制 服 务 器 ) 进 行 直 接 通 信 。 虽 然 此 次 发 现 的 版 本 似 乎 与 2 0 1 5 年 5 月 曝 光 的 海 莲 花 样 本 存 在 相 似 之 处 ， 但 新 版 本 确 实 利 用 这 两 年 时 间 完 成 了 一 系 列 改 进 。 这 些 改 进 具 体 包 括 利 用 诱 饵 文 档 、 不 再 使 用 命 令 行 工 具 、 强 大 的 字 符 串 编 码 机 制 、 具 备 加 密 功 能 的 定 制 化 二 进 制 协 议 流 量 以 及 一 套 模 块 化 后 门 。 感 染 向 量 这 款 新 的 海 莲 花 后 门 通 过 z i p 格 式 文 件 进 行 传 播 。 尽 管 尚 无 直 接 证 据 可 证 明 其 初 始 感 染 向 量 ， 但 我 们 认 为 可 能 性 最 高 的 途 径 是 借 助 电 子 邮 件 附 件 作 为 载 体 。 一 旦 用 户 解 压 该 z i p 文 件 ， 即 会 看 到 一 个 包 含 有 微 软 W o r d 文 档 图 标 的 文 件 目 录 。 该 文 件 实 际 上 属 于 一 个 应 用 程 序 包 ， 其 中 包 含 可 执 行 代 码 （ 见 图 一 ） 。 在 用 户 双 击 该 所 谓 的 W o r d 文 档 之 后 ， 木 马 执 行 后 将 启 动 W o r d 并 显 示 一 份 假 冒 的 诱 饵 文 档 。 该 恶 意 软 件 利 用 此 诱 饵 文 档 掩 盖 恶 意 软 件 的 执 行 。 这 种 技 术 在 W i n d o w s 平 台 上 的 各 类 恶 意 软 件 中 可 谓 屡 见 不 鲜 ， 但 在 M a c   O S 平 台 当 中 却 相 当 罕 见 。 为 了 实 现 这 种 误 导 ， 该 恶 意 软 件 作 者 需 要 欺 骗 操 作 系 统 ， 即 将 这 个 拥 有 . d o c x 后 缀 名 称 的 文 件 夹 视 为 应 用 程 序 包 。 从 传 统 角 度 来
看 ， 不 少 M a c   O S 恶 意 软 件 已 经 能 够 成 功 冒 充 合 法 的 应 用 安 装 程 序 — — 例 如 A d o b e   F l a s h ， 而 海 莲 花 在 其 早 期 版 本 中 也 采 用 过 这 种 打 包 方 式 。 图 一 ： 上 下 文 菜 单 与 文 件 列 表 一 旦 该 应 用 程 序 包 启 动 ， 其 就 会 打 开 包 内 R e s o u r c e s 文 件 夹 中 一 个 名 为 . C F U s e r E n c o d i n g 的 隐 藏 文 件 — — 此 文 件 属 于 受 密 码 保 护 的 W o r d 文 档 （ 见 图 二 ） 。 另 外 ， 其 还 会 将 此 文 件 复 制 到 可 执 行 路 径 ， 而 后 对 原 有 应 用 程 序 包 进 行 替 换 。 如 此 一 来 ， 受 害 目 标 不 会 察 觉 到 任 何 异 状 ， 毕 竟 预 想 当 中 的 W o r d 文 档 已 经 顺 利 打 开 。 在 本 案 例 中 ， 该 W o r d 文 件 的 名 称 为 “ N o i   d u n g   c h i   t i e t . d o c x ” ， 这 一 表 达 正 是 越 南 语 中 的 “ D e t a i l s ( 细 节 信 息 ) ” 之 意 。 图 二 ： 诱 饵 文 档 提 示 输 入 密 码 以 打 开 该 文 件 驻 留 机 制 相 较 于 该 后 门 的 早 期 版 本 ， 新 版 本 的 驻 留 机 制 基 本 保 持 不 变 。 新 版 本 会 创 建 一 个 L a u n c h   A g e n t ， 其 在 受 害 目 标 主 机 启 动 时 开 始 运 行 — — 这 一 点 不 同 于 原 有 版 本 在 用 户 登 录 时 方 开 始 运 行 的 方 式 。 另 外 ， 新 版 本 后 门 会 根 据 运 行 应 用 程 序 之 用 户 的 具 体 U I D 将 自 身 以 不 同 文 件 名 复 制 到 不 同 位 置 。 对 于 未 进 行 系 统 引 导 的 用 户 ， 该 后 门 则 提 取 由 g e t p w u i d ( ) 返 回 的 M D 5 哈 希 结 构 ， 并 将 该 哈 希 拆 分 成 〈 前 8 位 哈 希 值 字 符 〉 - 〈 1 6 位 哈 希 值 字
符 〉 以 及 〈 后 8 位 哈 希 值 字 符 〉 的 形 式 。 这 些 经 过 拆 分 的 M D 5 哈 希 值 会 在 前 面 被 加 上 “ 0 0 0 0 - ” ， 而 后 作 为 ~ / L i b r a r y / O p e n S S L /   下 的 一 个 目 录 用 于 存 储 该 可 执 行 文 件 （ 详 见 图 三 ） 。 当 该 用 户 进 行 系 统 引 导 时 ， 该 可 执 行 文 件 即 会 被 存 储 在 系 统 的 / L i b r a r y / T i m e M a c h i n e / b i n / m t m f s 系 统 级 库 目 录 当 中 。 值 得 一 提 的 是 ， 该 可 执 行 文 件 以 及 p l i s t 位 置 从 表 面 上 看 与 其 它 合 法 应 用 程 序 无 异 。 图 三 ： 根 据 用 户 U I D 生 成 的 p l i s t 与 可 执 行 文 件 名 称 及 位 置 一 旦 该 恶 意 软 件 的 驻 留 机 制 设 置 完 成 ， 其 即 会 从 可 执 行 文 件 路 径 内 删 除 原 本 的 应 用 程 序 包 而 只 留 下 诱 饵 文 档 ， 并 立 足 新 位 置 将 自 身 作 为 服 务 进 行 启 动 。 取 消 命 令 行 工 具 关 于 此 后 门 的 最 新 版 本 ， 我 们 首 先 发 现 的 特 征 在 于 其 缺 少 其 它 恶 意 软 件 通 常 会 在 受 害 目 标 主 机 上 用 于 提 供 上 下 文 信 息 的 可 疑 文 本 。 在 大 多 数 M a c   O S 恶 意 软 件 当 中 ， 调 用 s y s t e m （ ） 或 e x e c （ ） 函 数 可 以 运 行 其 他 脚 本 。 但 在 本 案 例 当 中 ， 我 们 没 有 发 现 任 何 此 类 调 用 或 者 其 它 可 轻 松 判 断 应 用 程 序 恶 意 意 图 的 命 令 行 工 具 字 符 串 。 与 大 量 从 互 联 网 中 获 取 并 粘 贴 现 成 脚 本 的 其 他 攻 击 者 相 比 ， 这 款 后 门 程 序 的 作 者 显 然 对 于 M a c   O S 平 台 拥 有 更 为 深 入 的 理 解 。 这 种 字 符 串 的 缺 失 可 能 属 于 一 种 反 分 析 技 术 ， 旨 在 令 该 恶 意 软 件 看 起 来 更 为 正 常 ， 特 别 是 能 够 很 好 地 避 免 被 静 态 分 析 所 发 现 。 字 符 串 解 码 由 于 明 文 中 似 乎 并 不 存 在 明 显 可 疑 的 字 符 串 ， 因 此 我 们 转 而 考 虑 后 门 作 者 使 用 字 符 串 编 码 或 者 混 淆 机 制 的 可 能 性 。 此 后 门 中 的 字 符 串 解 码 方 式 对 原 有 版 本 进 行 了 升 级 ， 其 中 字 符 串 进 行 X O R 编 码 ， 同 时 利 用 “ V a r i a b l e ” 一 词 作 为 键 。 该 字 符 串 的 解 码 过 程 由 b i t 位 移 与 X O R 运 算 共 同 组 成 ， 其 中 V a r i a b l e 键 取 决 于 需 要 进 行 编 码 处 理 的 字 符 串 长 度 。 如 果 变 量 X O R 键 的 计 算 结 果 为 0 ， 则 使 用 0 x 1 B 这 一 默 认 X O R 键 。 图 四 所 示 即 为 该 解 码 功 能 的 P y t h o n 实 现 方 案 。
图 四 ： 此 恶 意 软 件 字 符 串 解 码 功 能 的 P y t h o n 实 现 方 案 在 对 字 符 串 进 行 解 码 之 后 （ 详 见 图 五 ） ， 我 们 即 可 了 解 该 恶 意 软 件 如 何 实 现 持 久 驻 留 、 调 查 受 害 目 标 计 算 机 ， 并 将 相 关 信 息 发 送 回 C & C 服 务 器 。 到 这 里 ， 该 恶 意 软 件 中 所 包 含 的 后 门 功 能 仍 未 得 到 明 确 体 现 。
图 五 ： 解 码 字 符 串 列 表 定 制 化 二 进 制 协 议 与 加 密 流 量 就 目 前 来 看 ， 编 写 此 恶 意 软 件 的 作 者 似 乎 投 入 了 大 量 精 力 以 开 发 自 己 的 定 制 化 通 信 协 议 。 他 们 并 没 有 简 单 使 用 现 成 的 W e b 服 务 器 充 当 其 C & C 服 务 器 ， 这 显 然 与 常 见 作 法 有 所 区 别 。 相 反 ， 他 们 构 建 起 仅 属 于 自 己 的 C & C 机 制 。 此 后 门 在 T C P 端 口 4 4 3 上 采 用 一 项 定 制 化 二 进 制 协 议 — — 由 于 该 端 口 使 用 H T T P S 连 接 ， 因 此 传 统 防 火 墙 一 般 不 会 将 其 屏 蔽 。 如 图 六 所 示 的 数 据 包 利 用 b i t 位 移 （ 见 图 七 ） 与 X O R 配 合 0 x 1 B 键 共 同 进 行 编 码 。 在 执 行 X O R 运 算 之 前 ， 这 些 b i t 总 是 向 左 旋 转 三 次 。 相 较 于 原 本 仅 利 用 0 x 1 B 键 进 行 X O R 编 码 的 作 法 ， 新 版 本 对 于 数 据 包 的 处 理 显 然 经 过 了 改 进 。
图 六 ： 由 客 户 端 发 送 至 服 务 器 的 初 始 数 据 包 图 七 ： 用 于 对 网 络 数 据 包 进 行 编 码 / 解 码 的 b i t 位 移 功 能 在 对 数 据 包 进 行 解 码 之 后 ， 我 们 即 可 看 到 其 中 的 具 体 字 段 。 图 八 所 示 为 客 户 端 发 送 至 服 务 器 的 初 始 数 据 包 。 除 了 “ m a g i c ” 字 节 ， 我 们 还 可 以 发 现 数 据 长 度 与 通 信 类 型 。 图 八 ： 由 客 户 端 发 送 至 服 务 器 的 初 始 数 据 包 （ 已 解 码 ） 取 决 于 服 务 器 所 发 出 的 具 体 命 令 响 应 ， 数 据 包 的 大 小 可 能 超 过 0 x 5 2 字 节 。 超 出 0 x 5 2 字 节 的 数 据 会 进 行 z l i b 压 缩 ， 而 后 利 用 A E S 以 C B C 模 式 进 行 加 密 — — 其 中 使 用 一 个 n u l l 初 始 化 向 量 （ 简 称 I V ） ， 而 由 服 务 器 发 出 的 密 钥 则 被 填 充 为 3 2 字 节 。
我 们 从 服 务 器 处 捕 获 到 实 时 流 量 ， 并 发 现 由 服 务 器 发 出 的 加 密 密 钥 往 往 属 于 临 时 性 密 钥 。 这 意 味 着 每 个 接 入 服 务 器 的 新 会 话 都 会 被 赋 予 一 个 不 同 密 钥 ， 用 以 对 该 会 话 当 中 的 往 来 数 据 进 行 加 密 。 与 仅 利 用 单 字 节 密 钥 对 X O R 编 码 进 行 加 密 的 以 往 版 本 相 比 ， 这 种 作 法 无 疑 是 一 大 显 著 改 进 。 在 对 由 服 务 器 发 出 的 数 据 包 进 行 解 码 之 后 ， 该 后 门 会 验 证 “ m a g i c ” 字 节 等 特 定 字 段 ， 同 时 确 保 所 接 收 到 数 据 的 长 度 不 会 超 过 特 定 值 。 在 该 程 序 的 整 个 执 行 过 程 中 ， 其 还 会 检 查 并 处 理 一 切 可 能 发 生 的 错 误 。 C & C 通 信 命 令 与 控 制 服 务 器 通 信 顺 序 具 体 如 下 ： 1 .   客 户 端 通 过 在 命 令 字 段 内 配 合 0 x 2 1 7 0 2 7 2 发 送 数 据 包 以 初 始 化 接 入 服 务 器 的 会 话 。 2 .   服 务 器 随 后 会 返 回 一 条 临 时 加 密 密 钥 与 一 条 命 令 。 3 .   客 户 端 会 检 查 该 接 收 自 服 务 器 的 数 据 包 是 否 有 效 。 4 .   客 户 端 执 行 由 服 务 器 发 出 的 命 令 ， 对 结 果 进 行 z l i b 压 缩 与 A E S 加 密 ， 而 后 将 其 发 送 回 服 务 器 端 。 与 可 轻 松 从 字 符 串 当 中 捕 获 具 体 命 令 的 海 莲 花 后 门 以 往 版 本 不 同 ， 该 程 序 的 作 者 利 用 常 量 值 对 各 函 数 进 行 了 混 淆 。 我 们 对 以 下 可 用 命 令 进 行 了 解 码 ， 具 体 如 图 九 所 示 。
图 九 ： 可 用 命 令 列 表 命 令 命 令 0 x 2 1 7 0 2 7 2 当 该 后 门 被 启 动 后 ， 其 会 在 / L i b r a r y / P r e f e r e n c e s / . f i l e s   或 者 ~ / L i b r a r y / P r e f e r e n c e s / . f i l e s   当 中 创 建 一 个 文 件 ， 具 体 取 决 于 受 害 目 标 的 用 户 I D 。 此 文 件 （ 详 见 图 十 ） 包 含 一 个 时 间 戳 以 及 与 设 备 序 列 号 相 关 联 的 受 害 目 标 名 称 ， 其 随 后 会 利 用 M D 5 进 行 两 次 散 列 处 理 。 此 结 果 随 后 会 被 复 制 至 长 度 为 0 x 1 1 0 字 节 的 缓 冲 区 ， 并 由 A E S 以 C B C 模 式 利 用 一 条 空 I V 与 一 个 “ p t h ” 键 进 行 加 密 。 加 密 后 的 结 果 将 被 保 存 在 该 文 件 当 中 。 时 间 戳   +   M D 5 ( M D 5 ( < 受 害 目 标 名 称   +   设 备 序 列 号 > ) ) 在 此 文 件 创 建 完 成 之 后 ， 客 户 端 会 向 服 务 器 发 送 首 个 数 据 包 ， 并 在 命 令 字 段 当 中 填 入 0 x 2 1 7 0 2 7 2 。 服 务 器 使 用 同 样 的 命 令 进 行 确 认 与 响 应 ， 而 客 户 端 随 后 验 证 此 文 件 是 否 已 经 确 实 创 建 完 成 。
图 十 ：   ~ / L i b r a r y / P r e f e r e n c e s / . f i l e s 下 的 解 密 内 容 命 令 命 令 0 x 1 8 3 2 0 E 0 在 0 x 2 1 7 0 2 7 2 命 令 发 出 后 ， 服 务 器 接 下 来 利 用 临 时 性 密 钥 发 送 命 令 0 x 1 8 3 2 0 E 0 。 如 图 十 一 所 示 ， 客 户 端 将 收 集 全 部 数 据 ， 利 用 服 务 器 提 供 的 密 钥 对 其 进 行 加 密 ， 而 后 将 结 果 发 回 。 这 里 需 要 强 调 的 是 ， 此 数 据 包 所 发 送 的 为 B a s e 6 4 字 符 串 。 该 字 符 串 在 二 进 制 文 件 内 以 静 态 形 式 存 在 且 不 会 变 更 ， 这 可 能 代 表 着 其 负 责 对 活 动 或 者 版 本 标 识 进 行 标 记 。
图 十 一 ： 由 客 户 端 发 送 至 服 务 器 的 数 据 包 内 的 解 密 内 容 尽 管 没 有 在 图 十 一 中 以 高 亮 形 式 显 示 ， 但 此 数 据 包 中 确 实 包 含 有 内 核 引 导 时 间 。 C & C 服 务 器 可 以 利 用 内 核 引 导 时 间 来 确 定 后 门 是 否 运 行 在 沙 箱 环 境 当 中 。 命 令 命 令 0 x 2 5 D 5 0 8 2 、 、 0 x 1 B 2 5 5 0 3 与 与 0 x 1 5 3 2 E 6 5 这 些 命 令 利 用 d l o p e n ( ) 加 载 一 套 动 态 库 ， 同 时 包 含 一 项 函 数 指 针 以 利 用 d l s y m ( ) 在 该 共 享 库 内 实 现 执 行 。 遗 憾 的 是 ， 我 们 尚 不 清 楚 各 命 令 当 中 所 使 用 的 具 体 动 态 库 或 者 函 数 ， 这 是 因 为 上 述 命 令 由 服 务 器 提 供 ， 而 我 们 无 法 捕 获 到 任 何 使 用 这 些 命 令 的 通 信 内 容 。 不 过 ， 我 们 可 以 作 出 这 样 的 假 设 ： 由 于 各 函 数 的 参 数 拥 有 同 样 的 参 数 值 ， 且 各 命 令 常 量 的 开 头 部 分 非 常 相 似 （ 详 见 图 十 二 ） ， 而 此 后 门 又 具 备 一 项 用 于 接 收 文 件 的 函 数 ， 因 此 这 些 函 数 很 有 可 能 对 应 着 一 套 服 务 器 上 传 至 受 害 目 标 主 机 上 的 共 享 库 。 这 意 味 着 攻 击 者 可 以 通 过 C & C 服 务 器 将 更 多 模 块 直 接 上 传 至 后 门 程 序 内 以 实 现 功 能 添 加 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理