搜索

[6438] 2020-01-17_肚脑虫(Donot)组织和C-Major组织的钩沉拾遗

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-17
2020-01-17_肚脑虫(Donot)组织和C-Major组织的钩沉拾遗 肚 脑 虫 ( D o n o t ) 组 织 和 C - M a j o r 组 织 的 钩 沉 拾 遗 E 安 全   2 0 2 0 - 0 1 - 1 7 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 实 验 室 近 期 ， 安 恒 安 全 研 究 院 猎 影 威 胁 分 析 团 队 对 肚 脑 虫 ( d o n o t ) 组 织 进 行 了 一 些 梳 理 ， 在 梳 理 过 程 中 ， 又 发 现 了 一 些 和 C - M a j o r 组 织 的 关 联 项 。 于 是 对 这 两 个 组 织 做 了 对 比 分 析 。 关 于 关 于 D o n o t 组 织 组 织 D o n o t “ 肚 脑 虫 ” （ A P T - C - 3 5 ） 是 一 个 疑 似 具 有 印 度 背 景 ， 主 要 针 对 巴 基 斯 坦 和 克 什 米 尔 地 区 国 家 机 构 等 领 域 进 行 网 络 间 谍 活 动 ， 以 窃 取 机 密 信 息 为 目 的 的 组 织 。 关 于 关 于 C - M a j o r 组 织 组 织 C - M a j o r 组 织 ， 又 称 T r a n s p a r e n t   T r i b e ， P r o j e c t M ， 具 有 巴 基 斯 坦 背 景 ， 攻 击 目 标 为 印 度 政 府 、 军 方 和 军 事 研 究 机 构 等 。   这 两 个 组 织 从 攻 击 目 标 看 立 场 是 相 互 对 立 的 。 本 文 主 要 讲 述 了 两 组 织 的 相 似 之 处 和 部 分 区 分 方 法 以 及 一 些 新 内 容 的 挖 掘 。   （ 由 于 篇 幅 原 因 ， 这 里 给 出 简 要 内 容 ， 详 细 内 容 请 点 击 阅 读 原 文 进 行 阅 读 。 ） 样 本 关 联 分 析 样 本 关 联 分 析 样 本 归 档 样 本 归 档 2 0 1 8 年 3 月 国 外 安 全 团 队 A S E R T 披 露 了 D o n o t 组 织 使 用 新 的 恶 意 代 码 框 架 y t y ， 并 根 据 样 本 中 的 p d b 路 径 将 该 组 织 命 名 为 D o n o t 。 我 们 留 意 到 A S E R T 披 露 的 文 档 样 本 中 使 用 的 宏 代 码 有 一 些 特 殊 性 ， 并 在 安 恒 文 件 威 胁 分 析 平 台 上 ， 根 据 宏 代 码 等 多 方 面 特 性 进 行 关 联 ， 在 一 系 列 关 联 之 后 可 以 划 分 出 几 个 批 次 的 样 本 ， 部 分 样 本 并 未 归 属 披 露 。 我 们 将 所 关 联 的 样 本 梳 理 成 表 格 方 便 后 面 分 析 。 关 联 样 本 归 档 如 下 ， （ 宏 相 关 信 息 可 详 见 附 录 一 ： 宏 类 型 图 录 ） 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。


通 过 对 这 些 样 本 进 行 分 析 ， 可 以 对 这 几 个 批 次 的 样 本 做 一 个 基 本 的 组 织 判 别 。 批 次 1 的 样 本 h a s h 未 曾 披 露 ， 我 们 从 释 放 样 本 代 码 结 构 ， P D B 信 息 ， 回 连 I P ， 回 连 U R L 结 构 等 多 方 面 关 联 分 析 样 本 归 属 性 ， 可 以 确 定 这 些 样 本 属 于 C - M a j o r 组 织 。 批 次 2 包 含 部 分 未 披 露 样 本 ， 通 过 鉴 别 ， 可 将 其 归 为 D o n o t 组 织 。 批 次 3 也 是 未 披 露 样 本 。 最 终 载 荷 为 通 用 型 ， 缺 少 参 考 意 义 。 可 以 从 宏 代 码 特 征 、 释 放 文 件 的 文 件 名 等 进 行 关 联 。 发 现 其 可 能 与 D o n o t 组 织 存 在 关 联 。 （ 详 细 分 析 过 程 请 点 击 阅 读 原 文 进 行 阅 读 。 ） 有 意 思 的 是 ， 类 似 的 宏 出 现 在 了 两 个 不 同 组 织 的 样 本 中 。 为 了 寻 求 合 理 解 释 ， 我 们 继 续 对 两 个 组 织 的 样 本 进 行 深 挖 分 析 。
D o n o t 和 和 C - M a j o r 相 似 处 相 似 处 我 们 会 在 分 析 样 本 时 发 现 D o n o t 和 C - M a j o r 这 两 个 互 为 对 立 面 的 组 织 有 许 多 非 常 相 似 的 地 方 ， 如 宏 代 码 相 似 宏 代 码 相 似 ： 图 ： 左 侧 为 D o n o t 组 织 样 本 ， 中 间 和 右 侧 为 C - M a j o r 组 织 样 本 载 荷 行 为 相 似 载 荷 行 为 相 似   ： ： “ D o n o t ” 组 织 和 “ C - M a j o r ” 组 织 分 别 拥 有 不 同 的 载 荷 体 系 ， 但 是 在 某 些 行 为 特 性 上 存 在 相 似 点 ， 如 从 g o o g l e 获 取 C 2 地 址 。 图 ： D o n o t 样 本 （ 如 b o o t h e l p . e x e ） 文 档 相 关 的 相 似 ： 文 档 相 关 的 相 似 ： 在 对 两 个 组 织 的 一 些 相 关 样 本 做 了 罗 列 整 理 后 ， 发 现 了 更 多 有 意 思 的 信 息 。 “ Q a a t i l ” 等 用 户 名 同 时 出 现 在 了 这 两 个 组 织 的 样 本 文 档 中 ， 经 过 整 理 分 析 怀 疑 “ Q a a t i l ” 属 于 “ C - M a j o r ” 组 织 ， D o n o t 组 织 在 不 断 的 对 C - M a j o r 组 织 进 行 仿 制 。
（ 详 细 分 析 过 程 请 点 击 阅 读 原 文 进 行 阅 读 。 ） D o n o t 和 和 C - M a j o r 不 同 之 处 不 同 之 处 以 下 结 论 主 要 基 于 对 两 个 组 织 的 已 整 理 样 本 分 析 ， 文 档 漏 洞 利 用 等 其 它 利 用 手 段 不 在 本 文 讨 论 范 围 内 。 1 ） 通 过 载 荷 关 联 分 析 发 现 ， 各 组 织 使 用 的 木 马 远 控 程 序 仍 是 区 分 不 同 组 织 的 最 直 接 有 力 的 依 据 。 D o n o t 组 织 使 用 E H D e v e l 和 y t y 框 架 的 恶 意 程 序 及 衍 生 版 本 。 而 C - M a j o r 组 织 使 用 M S I L / C r i m s o n   R A T ， P y t h o n / P e p p y   R A T ， I S q l M a n a g e r 系 列 等 远 程 控 制 工 具 。 2 ） 虽 然 两 组 织 之 间 的 宏 代 码 有 类 似 之 处 ， 但 是 仍 有 明 显 的 区 分 度 ， 如 一 些 特 性 ， 比 如 D o n o t 组 织 的 恶 意 宏 文 档 样 本 喜 欢 主 动 弹 出 一 个 错 误 窗 口 ， 图 ： 弹 窗 会 有 一 些 计 划 任 务 的 操 作 图 ： 宏 中 的 计 划 任 务 代 码 而 C - M a j o r 组 织 中 并 没 有 过 多 这 类 操 作 。 再 如 像 下 面 这 类 宏 代 码 ， D o n o t 执 行 的 的 是 b a t ， 而 C - M a j o r 执 行 的 是 e x e 。
图 ： 左 侧 为 D o n o t 组 织 样 本 ， 右 侧 为 C - M a j o r 组 织 样 本 3 ） 文 档 作 者 信 息 ， D o n o t 的 文 档 作 者 名 多 使 用 “ t e s t i n g ” 和 “ u s e r ” 等 统 一 名 称 ， C - M a j o r 组 织 的 文 档 作 者 更 多 样 化 。   4 ） 样 本 发 现 地 区 ， 两 组 织 攻 击 目 标 立 场 不 同 。 5 ） 钓 鱼 文 档 内 容 ， 向 目 标 投 递 的 钓 鱼 文 档 ， 如 果 包 含 迷 惑 性 文 档 内 容 ， 可 以 根 据 目 标 的 针 对 性 作 为 区 分 该 两 组 织 的 一 定 依 据 。 根 据 前 述 罗 列 表 格 的 文 档 内 容 表 现 ， D o n o t 的 攻 击 文 档 很 多 都 是 空 白 内 容 ， 而 C - M a j o r 会 使 用 一 些 伪 装 数 据 。 C - M a j o r 组 织 的 文 档 内 容 稍 微 比 D o n o t 组 织 丰 富 了 一 些 。 （ 详 细 分 析 过 程 请 点 击 阅 读 原 文 进 行 阅 读 。 ） 总 结 总 结 网 络 “ 暗 战 ” 已 然 成 为 国 家 间 竞 争 和 地 缘 政 治 博 弈 的 延 伸 。 可 以 预 见 ， 伴 随 印 巴 炮 火 连 天 局 势 的 持 续 ， 该 地 区 的 A P T 攻 击 活 动 势 必 也 会 持 续 红 热 高 发 ， 而 网 络 侦 察 与 反 侦 察 之 间 的 较 量 也 将 一 直 处 于 魔 高 一 尺 道 高 一 丈 ， 道 高 一 尺 魔 高 一 丈 的 博 弈 状 态 。 D o n o t 既 借 鉴 和 模 仿 了 C - M a j o r 流 程 化 的 定 向 攻 击 模 式 ， 又 在 伪 装 和 反 分 析 等 方 面 巧 妙 设 计 ， 特 别 是 ， 该 组 织 拥 有 两 套 独 有 的 成 熟 的 恶 意 代 码 框 架 ， 并 且 还 在 持 续 迭 代 升 级 中 ， 后 续 应 该 会 有 更 多 的 攻 击 活 动 。 未 来 ， 像 D o n o t 这 样 的 后 起 之 秀 会 层 出 不 穷 ， 在 跟 随 模 仿 中 异 军 突 起 ， 甚 至 能 够 弯 道 超 车 ， 成 为 未 来 网 络 “ 暗 战 ” 的 新 主 角 。 所 以 ， 在 未 来 ， 面 对 这 些 攻 击 者 我 们 仍 不 能 掉 以 轻 心 。 防 御 建 议 防 御 建 议 这 里 有 三 点 建 议 可 供 参 考 ： 1 、 各 大 组 织 、 企 业 和 个 人 用 户 ， 要 及 时 修 补 系 统 补 丁 和 重 要 软 件 补 丁 ；
2 、 提 升 安 全 意 识 ， 不 轻 易 打 开 未 知 来 源 的 邮 件 及 附 件 ， 不 随 意 点 击 未 知 链 接 ， 不 随 意 打 开 未 验 证 可 靠 来 源 的 文 档 ， 不 轻 易 启 用 O f f i c e 的 宏 代 码 ； 3 、 部 署 安 恒 A P T 预 警 平 台 。 安 恒 A P T 预 警 平 台 能 够 发 现 已 知 或 未 知 威 胁 ， 其 实 时 监 控 能 力 能 够 捕 获 并 分 析 邮 件 附 件 投 递 文 档 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 ， 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 做 强 有 力 的 监 测 。 结 合 安 恒 威 胁 情 报 系 统 ， 可 将 国 内 外 威 胁 数 据 进 行 汇 总 ， 分 析 攻 击 演 进 和 联 合 预 警 。 猎 影 威 胁 分 析 团 队 将 持 续 关 注 网 络 安 全 动 态 。 团 队 简 介 团 队 简 介 猎 影 威 胁 分 析 团 队 是 安 恒 安 全 研 究 院 一 支 专 注 于 攻 防 技 术 研 究 的 团 队 ， 团 队 由 一 支 擅 长 攻 防 技 术 研 究 、 A P T 分 析 、 二 进 制 研 究 的 年 轻 队 伍 组 成 。 欢 迎 有 志 于 安 全 检 测 、 二 进 制 研 究 和 攻 防 技 术 研 究 的 小 伙 伴 加 入 我 们 团 队 。 招 聘 二 进 制 安 全 研 究 员 招 聘 二 进 制 安 全 研 究 员 职 位 描 述 ： 1 、 在 日 常 可 疑 文 件 分 析 的 基 础 ， 进 行 数 据 挖 掘 ， 寻 找 A P T 攻 击 事 件 ； 2 、 分 析 客 户 反 馈 的 可 疑 文 件 ， 编 写 分 析 报 告 ， 提 供 解 决 方 案 等 ； 3 、 负 责 热 门 安 全 事 件 、 最 新 漏 洞 的 分 析 ， 编 写 分 析 报 告 或 p o c 代 码 等 4 、 研 究 新 的 检 测 方 法 ， 维 护 和 完 善 A P T 检 测 等 产 品 策 略 5 、 协 助 内 部 威 胁 分 析 平 台 建 设 等 职 位 要 求 ： 1 、 熟 悉 w i n d o w s 、 L i n u x 上 调 试 手 段 ， 能 够 熟 练 使 用 常 用 逆 向 分 析 工 具 （ I D A 、 W i n D b g 、 O D 等 ) ; 2 、 熟 悉 C / C + + 、 汇 编 语 言 ， 至 少 熟 悉 一 门 脚 本 编 程 语 言 ， 能 快 速 完 成 P O C 代 码 编 写 ； 3 、 熟 悉 病 毒 、 木 马 通 信 原 理 和 常 用 技 术 以 及 常 见 加 密 算 法 等 ； 4 、 熟 悉 安 全 漏 洞 原 理 ， 有 独 立 文 档 漏 洞 分 析 能 力 ； 5 、 至 少 1 年 以 上 逆 向 分 析 、 安 全 研 究 相 关 工 作 经 验 ， 能 力 优 先 不 受 工 作 年 限 限 制 ； 6 、 具 备 大 数 据 挖 掘 能 力 ， 对 数 据 极 度 敏 感 ， 能 够 快 速 对 数 据 进 行 关 联 分 析 ； 7 、 思 路 清 晰 ， 善 于 主 动 思 考 ， 有 创 新 、 能 独 立 分 析 和 解 决 问 题 ， 具 有 良 好 的 沟 通 能 力 和 团 队 合 作 精 神 ； 8 、 有 漏 洞 分 析 、 病 毒 木 马 分 析 、 W e b 攻 防 、 威 胁 情 报 挖 掘 、 反 A P T 攻 击 、 机 器 学 习 相 关 、 I O T 、 I C S 等 工 作 经 验 的 优 先 。 联 系 方 式 ： 联 系 方 式 ： x i a o y i . t u @ d b a p p s e c u r i t y . c o m . c n 围 观 代 表 委 员 话 两 会   |   新 华 网 专 访 范 渊 ： 平 衡 数 据 安 全 与 合 法 使 用   支 撑 政 企 数 字 化 转 型 热 文 物 联 网 事 件 再 上 “ 热 搜 ”     安 全 还 需 “ 对 症 下 药 ” 热 文 安 恒 工 控 、 物 联 网 双 领 域 同 获 “ 中 国 信 息 产 业 创 新 发 展 明 星 奖 ” 往 期 精 选

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理