搜索

[4145] 2017-08-07_银行大盗Carbanak“武器库”新后门“Bateleur”

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2017-08-07_银行大盗Carbanak“武器库”新后门“Bateleur” 银 行 大 盗 C a r b a n a k “ 武 器 库 ” 新 后 门 : “ B a t e l e u r ” 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 8 - 0 7 关 注 E 安 全   关 注 网 络 安 全 一 手 资 讯 E 安 全 8 月 7 日 讯   安 全 公 司 P r o o f p o i n t 的 安 全 研 究 人 员 表 示 ， 臭 名 昭 著 的 网 络 犯 罪 团 伙 C a r b a n a k （ 又 名 F I N 7 ） 携 新 J s c r i p t 后 门 “ B a t e l e u r ” ， 并 使 用 更 新 的 宏 卷 土 重 来 ， 瞄 准 新 目 标 。   C a r b a n a k 犯 罪 团 伙 种 种 劣 迹 卡 巴 斯 基 实 验 室 2 0 1 5 年 首 次 发 现 C a r b a n a k 犯 罪 团 伙 。 该 团 伙 已 窃 取 了 1 0 0 家 金 融 机 构 超 过 3 亿 美 元 。 2 0 1 6 年 年 初 ， C a r b a n a k 主 要 针 对 美 国 和 中 东 的 银 行 和 金 融 机 构 发 起 攻 击 。 2 0 1 6 年 1 1 月 ， T r u s t w a v e 专 家 发 现 该 组 织 针 对 酒 店 行 业 的 组 织 机 构 发 起 新 一 轮 攻 击 。 今 年 一 月 ， C a r b a n a k 开 始 利 用 G o o g l e 服 务 进 行 命 令 与 控 制 （ C & C ） 通 信 。 该 团 伙 使 用 “ g g l d r ” 脚 本 发 送 并 接 收 G o o g l e   A p p s   S c r i p 、 G o o g l e   S h e e t s 和 G o o g l e   F o r m s 服 务 的 收 、 发 命 令 。 这 群 黑 客 曾 为 每 个 被 感 染 的 用 户 创 建 唯 一 的 G o o g l e   S h e e t s   电 子 表 格 ， 以 此 避 免 检 测 。
今 年 5 月 ， T r u s t w a v e 研 究 人 员 发 现 该 团 伙 使 用 新 的 社 会 工 程 和 网 络 钓 鱼 攻 击 技 术 ， 包 括 使 用 隐 藏 的 快 捷 方 式 文 件 （ L N K 文 件 ） 攻 击 目 标 。 而 如 今 ， 该 团 伙 开 始 使 用 新 的 宏 和 B a t e l e u r 后 门 攻 击 美 国 连 锁 餐 厅 。 C a r b a n a k 再 掀 波 澜 再 掀 波 澜   P r o o f p o i n t 发 布 的 分 析 指 出 ， P r o o f p o i n t 研 究 人 员 发 现 威 胁 攻 击 者 F I N 7 添 J s c r i p t 后 门 B a t e l e u r 和 更 新 的 宏 。 P r o o f p o i n t 发 现 该 团 伙 使 用 新 工 具 攻 击 美 国 连 锁 餐 厅 ， F I N 7 先 前 曾 攻 击 过 酒 店 、 零 售 商 、 供 应 商 等 。 新 的 宏 和 B a t e l e u r 后 门 使 用 复 杂 的 反 分 析 和 沙 盒 逃 逸 技 术 ， 以 此 隐 藏 活 动 ， 并 扩 大 受 害 者 范 围 。 C a r b a n a k 犯 罪 团 伙 开 始 使 用 宏 文 档 丢 下 B a t e l e u r ， 而 非 过 去 使 用 的 G G L D R 脚 本 ， 以 此 发 送 并 接 收 G o o g l e   A p p s   S c r i p t 、 G o o g l e   S h e e t s 和 G o o g l e F o r m s 服 务 的 收 、 发 命 令 。 专 家 注 意 到 ， C a r b a n a k 自 6 月 以 来 对 宏 和 B a t e l e u r 更 新 了 数 次 。 攻 击 者 使 用 简 单 有 效 的 电 子 邮 件 攻 击 连 锁 餐 厅 ， 如 果 电 子 邮 件 来 自 O u t l o o k . c o m 账 号 ， 文 本 声 称 “ 此 文 档 由 O u t l o o k   P r o t e c t   S e r v i c e 加 密 ” ； 如 果 使 用 G m a i l 账 号 发 送 ， 诱 饵 文 档 便 会 声 称 “ 此 文 档 由 G o o g l e   D o c u m e n t s   P r o t e c t   S e r v i c e 加 密 ” 。 文 档 中 嵌 入 的 宏 会 通 过 标 题 访 问 恶 意 有 效 载 荷 （ P a y l o a d ） ， 之 后 从 标 题 提 取 B a t e l e u r ， 将 内 容 保 存 到 当 前 用 户 临 时 文 件 夹 （ % T M P % ） 中 的 d e b u g . t x t 。 接 下 来 ， 宏 会 创 建 预 定 任 务 将 d e b u g . t x t 作 为 B a t e l e u r 后 门 执 行 ， 在 删 除 预 定 任 务 之 前 ， 宏 会 休 眠 1 0 秒 。 B a t e l e u r 后 门 功 能 强 大 后 门 功 能 强 大
B a t e l e u r 后 门 看 起 来 相 当 复 杂 ， 同 时 实 现 了 反 沙 盒 和 反 分 析 （ 混 淆 ） 机 制 。 分 析 指 出 ， 这 款 恶 意 J s c r i p t 后 门 功 能 强 大 ， 其 功 能 包 括 反 沙 盒 、 反 分 析 （ 混 淆 ） 、 检 索 被 感 染 系 统 信 息 、 罗 列 运 行 进 程 、 执 行 自 定 义 命 令 和 P o w e r S h e l l 脚 本 、 加 载 E X E 和 D L L 文 件 、 截 图 、 自 行 卸 载 并 更 新 等 功 能 ， 此 外 ， 该 后 门 还 可 能 具 备 渗 漏 密 码 的 能 力 ， 而 渗 漏 密 码 需 要 命 令 与 控 制 （ C & C ） 服 务 器 的 附 加 模 块 。 安 全 研 究 人 员 指 出 ， 虽 然 B a t e l e u r 留 下 的 痕 迹 虽 然 比 G G L D R / H A L F B A K E D 少 很 多 ， 但 B a t e l e u r 缺 乏 基 本 功 能 ， 例 如 在 C & C 协 议 中 编 码 ， 缺 乏 备 份 C & C 服 务 器 。 安 全 人 员 预 计 ， B a t e l e u r 开 发 人 员 也 许 会 在 不 久 的 将 来 新 增 这 些 功 能 。 P r o o f p o i n t 猜 测 ， B a t e l e u r 为 F I N 7 / C a r b a n a k 犯 罪 团 伙 所 用 。 B a t e l e u r 后 门 还 使 用 了 T i n y m e t   M e t e r p r e t e r 下 载 器 ， 这 是 C a r b a n a k 黑 客 组 织 2 0 1 6 年 以 来 使 用 的 一 款 工 具 。 P r o o f p o i n t 指 出 ， 该 团 伙 被 发 现 至 少 于 2 0 1 6 年 开 始 将 M e t e r p r e t e r 下 载 器 脚 本 “ T i n y m e t ” 作 为 第 二 阶 段 的 有 效 载 荷 使 用 。   P r o o f p o i n t 至 少 在 一 起 实 例 中 发 现 B a t e l e u r 下 载 相 同 的 T i n y m e t   M e t e r p r e t e r 下 载 器 。 C a r b a n a k 仍 在 兴 风 作 浪 ， 并 持 续 改 进 战 术 、 技 术 和 程 序 。 P r o o f P o i n t 称 会 继 续 分 析 F I N 7 使 用 的 战 术 和 工 具 变 化 。 B a t e l e u r   J s c r i p t 后 门 和 新 的 宏 文 档 作 为 该 团 伙 的 最 新 杰 作 ， 提 供 了 新 的 感 染 方 法 、 新 增 了 隐 藏 活 动 的 方 式 、 并 加 强 了 窃 取 信 息 以 及 直 接 在 受 害 者 设 备 上 执 行 命 令 的 能 力 。
0 7 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 8 月 月   0 1 新 型 U r s n i f 银 行 木 马 ： 添 加 鼠 标 移 动 反 检 测 技 术 0 2 T r i c k B o t 银 行 木 马 再 度 来 袭   这 次 将 影 响 2 4 个 国 家 0 3 网 络 钓 鱼 热 门 趋 势 ： 中 国 的 银 行 成 为 主 要 攻 击 目 标 0 4 比 特 币 勒 索 盯 上 了 韩 国 7 家 银 行 0 5 T a t a 开 发 人 员 将 多 家 银 行 代 码 泄 露 至 公 共 G i t H u b 代 码 库 0 6 加 拿 大 银 行 为 何 拒 绝 使 用 区 块 链 技 术 ？ 0 7 黑 客 利 用 S S 7 协 议 漏 洞 窃 取 德 国 多 家 银 行 帐 户 资 金 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理