搜索

[7822] 2014-02-25_雪人行动：利用IE100day漏洞的APT攻击剑指美国军方情报

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2014-02-25_雪人行动：利用IE100day漏洞的APT攻击剑指美国军方情报 雪 人 行 动 ： 利 用 I E 1 0   0 d a y 漏 洞 的 A P T 攻 击 剑 指 美 国 军 方 情 报 F r e e B u f   2 0 1 4 - 0 2 - 2 5 二 月 十 一 日 ， 二 月 十 一 日 ， F i r e E y e 捕 获 了 一 次 基 于 捕 获 了 一 次 基 于 0 d a y 漏 洞 的 攻 击 ， 这 次 攻 击 针 对 美 国 的 一 个 退 伍 兵 网 站 漏 洞 的 攻 击 ， 这 次 攻 击 针 对 美 国 的 一 个 退 伍 兵 网 站 ( b f w . o r g ) 。 。 我 们 确 信 这 次 攻 击 是 针 对 美 国 高 层 军 方 人 员 的 一 次 预 谋 已 久 的 我 们 确 信 这 次 攻 击 是 针 对 美 国 高 层 军 方 人 员 的 一 次 预 谋 已 久 的 A P T 攻 击 ， 因 为 在 这 一 天 美 国 国 会 正 巧 因 为 暴 风 雪 放 攻 击 ， 因 为 在 这 一 天 美 国 国 会 正 巧 因 为 暴 风 雪 放 假 一 天 。 假 一 天 。 因 为 攻 击 手 法 的 相 似 性 ， 我 们 认 为 它 与 不 久 之 前 的 两 次 A P T 攻 击 有 着 一 定 的 联 系 ， 这 两 次 攻 击 是 O p e r a t i o n D e p u t y D o g   和   O p e r a t i o n   E p h e m e r a l   H y d r a . 这 篇 文 章 介 绍 了 这 次 攻 击 所 利 用 的 漏 洞 和 相 关 的 攻 击 手 法 ， 并 赋 予 了 这 次 攻 击 一 个 代 号 “ 雪 人 行 动 ” ( O p e r a t i o n   S n o w M a n ) E x p l o i t / D e l i v e r y   a n a l y s i s （ （ E x p l o i t / D e l i v e r y   分 析 分 析 ） ） 在 入 侵 了   V F W   这 个 站 点 之 后 ， 攻 击 者 网 站 的 H T M L 代 码 开 头 插 入 了 一 个 i f r a m e ， 这 个 i f r a m e 会 秘 密 的 加 载 攻 击 者 的 页 面 。 这 个 页 面 中 包 含 的 J S 代 码 会 运 行 一 个 F l a s h   o b j e c t ， 这 个 o b j e c t 会 触 发 一 个 精 心 编 排 的 r e m a i n d e r ( H e a p 溢 出 需 要 用 到 的 一 种 数 据 结 构 ) 。 这 个 漏 洞 由 一 个 定 义 在 J S 代 码 中 的 I E   1 0 的 回 调 函 数 触 发 。 值 得 一 提 的 是 ， V F W 中 的 i f r a m e 所 包 含 的 网 址 是 w w w . R E D A C T E D . c o m / D a t a / i m g / i m g . h t m l M i t i g a t i o n （ 预 防 措 施 ） （ 预 防 措 施 ） 这 是 一 个 利 用 A d o b e   F l a s h 针 对 I E   1 0 的 攻 击 。 如 果 他 发 现 浏 览 不 是 I E   1 0 ， 或 者 是 用 户 安 装 了   E x p e r i e n c e   M i t i g a t i o n   T o o l k i t ( E M E T )   ( 微 软 的 一 种 预 防 漏 洞 的 工 具 ， 会 使 用 一 些 随 机 地 址 之 类 的 技 术 防 止 溢 出 ) 那 么 攻 击 不 会 被 触 发 。 所 以 安 装 这 款 软 件 或 者 升 级 浏 览 器 都 可 以 避 免 被 攻 击 。 V u l n e r a b i l i t y   a n a l y s i s   （ （ V u l n e r a b i l i t y   分 析 分 析 ） ） 这 个 漏 洞 依 旧 是 因 为   I E   1 0   的   u s e - a f t e r - f r e e   问 题 引 起 的 。 这 个 漏 洞 允 许 攻 击 者 修 改 内 存 中 的 任 意 一 个 字 节 。 ( 应 该 就 是 比 较 典 型 的 堆 溢 出 ) 。 攻 击 者 使 用 如 下 的 方 法 利 用 该 漏 洞 通 过 F l a s h   A c t i o n S c r i p t 访 问 内 存 ， 从 而 绕 过 地 址 随 机 化 ( A S L R ) 使 用 R O P 技 术 ， 从 而 绕 过 数 据 执 行 保 护 ( D E P ) E M E T   d e t e c t i o n （ （ E M E T   检 查 ） 检 查 ） 攻 击 者 使 用     M i c r o s o f t . X M L D O M   A c t i v e X   加 载 一 个 单 行 的 X M L 文 件 ， 这 个 文 件 包 含 了 一 个 指 向 E M E T   D L L 的 路 径 。 漏 洞 利 用 代 码 会 解 析 这 行 X M L 语 句 ， 并 记 录 返 回 结 果 。 根 据 返 回 的 结 果 判 断 E M E T   D L L 是 否 存 在 。 E M E T   D L L 不 存 在 ， 利 用 代 码 才 会 执 行 。 A S L R   b y p a s s   （ （ A S L R   绕 过 ） 绕 过 ） 因 为 这 个 漏 洞 给 予 攻 击 者 随 意 修 改 任 意 内 存 的 权 限 ， 所 以 攻 击 者 可 以 借 此 绕 过 A S L R 。 举 个 例 子 说 ， 攻 击 者 可 以 破 坏 一 个 V e c t o r   o b j e c t   然 后 通 过   F l a s h   访 问 内 存 的 方 法 再 次 访 问 到 这 个 o b j e c t 。 我 在 b l o g 中 讨 论 过 类 似 的 技 术 ， 不 过 在 这 次 利 用 中 对 喷 射 的 地 址 变 为 了 0 x 1 a 1 b 2 0 0 0   C o d e   e x e c u t i o n   （ 代 码 执 行 ） （ 代 码 执 行 ） 一 旦 攻 击 者 通 过   V e c t o r   o b j e c t   取 得 了 全 部 的 内 存 访 问 权 限 。 便 会 加 载 一 个 ， 机 器 码 搜 索 的 插 件 。 攻 击 者 还 会 覆 盖 f l a s h . M e d i a . S o u n d ( )   o b j e c t     v f t a b l e 指 针 ， 并 开 始 R O P 。 利 用 代 码 执 行 之 后 ， 会 修 复 V e c t o r   o b j e c t   和 f l a s h . M e d i a . S o u n d ( ) S h e l l c o d e   a n a l y s i s   （ （ S h e l l c o d e   分 析 ） 分 析 ）
恶 意 代 码 执 行 之 后 ， 会 下 载 一 个 包 含 恶 意 程 序 下 载 的 p a y l o a d ， 文 件 的 开 始 是 一 个 J P G 图 片 ， 文 件 的 末 尾 是 p a y l o a d ( o f f s e t 3 6 3 2 1 ) p a y l o a d 使 用 X O R   0 × 9 5   进 行 编 码 。 攻 击 者 把 这 段 p a y l o a d 附 加 到 s h e l l c o d e 之 中 。 s h e l l c o d e 执 行 之 后 会 创 建 “ s q l r e n e w . t x t ”   和 “ s t r e a m . e x e ” 这 两 个 文 件 。 之 后 J P G 文 件 的 尾 部 被 解 码 并 写 入 这 些 文 件 ， 然 后 调 用   L o a d L i b r a r y A   中 的   W i n d o w s   A P I   执 行 他 们 。 Z x S h e l l   p a y l o a d   a n a l y s i s   （ （ Z x S h e l l   p a y l o a d   分 析 ） 分 析 ） 上 文 提 到 的 那 个 p a y l o a d 同 时 也 运 行 了 一 个 后 门 程 序 Z x S h e l l   b a c k d o o r   ( M D 5 :   8 4 5 5 b b b 9 a 2 1 0 c e 6 0 3 a 1 b 6 4 6 b 0 d 9 5 1 b c e ) 程 序 中 的 编 译 日 期 是   2 0 1 4 - 0 2 - 1 1 ， 同 时 利 用 代 码 的 最 后 修 改 日 期 也 是   2 0 1 4 - 0 2 - 1 1 。 这 表 明 ， 这 个 实 例 是 最 近 开 发 的 ， 而 且 带 有 很 强 的 战 略 目 的 。 雪 人 攻 击 的 主 要 目 标 ， 很 有 可 能 是 军 方 从 业 人 员 ， 最 终 目 的 很 可 能 是 窃 取 军 方 情 报 。 除 了 退 休 人 员 ， 有 很 多 在 职 人 员 也 是 用 V F W 。 攻 击 在 2 月 1 7 日 很 美 国 国 会 因 为 暴 雪 而 放 假 的 时 候 展 开 ， 这 不 是 一 场 巧 合 。 I n f r a s t r u c t u r e   a n a l y s i s   （ 基 础 设 施 分 析 ） （ 基 础 设 施 分 析 ） i n f o . f l n e t . o r g ， i c y b i n . f l n e t . o r g 和 b o o k . f l n e t . o r g 域 名 解 析 有 些 许 重 叠 ， 解 析 到 的 I P 地 址 如 下 ： 我 们 以 前 观 察 到 的 G h 0 s t R a t 样 本 的 自 定 义 数 据 包 通 过 “ H T T P S ” 叫 回 b o o k . f l n e t . o r g 和 i c y b i n .   f l n e t . o r g 。 D e p u t y D o g 的 策 划 者 也 用 “ H T T P S ” 版 本 的 G H 0 S T 的 。 我 们 还 观 察 到 另 一 个 “ H T T P S ” G H 0 S T 变 种 连 接 到 一 个 主 控 服 务 器 m e . s c i e r o n . c o m   m e . s c i e r o n . c o m 解 析 到   5 8 . 6 4 . 1 9 9 . 2 2   b o o k . f l n e t . o r g   也 被 解 析 到 了 相 同 子 网 下   5 8 . 6 4 . 1 9 9 . 0 / 2 4 。 值 得 一 提 的 是 ， b o o k . f l n e t . o r g 被 解 析 到 了 5 8 . 6 4 . 1 9 9 . 2 7  
  其 他 的 被 解 析 到 同 子 网 的 域 有 ， d l l . f r e s h d n s . o r g ,   a l i . b l a n k c h a i r . c o m ,   和   c h t . b l a n k c h a i r . c o m   d l l . f r e s h d n s . o r g 被 解 析 到 了 5 8 . 6 4 . 1 9 9 . 2 5 。 另 外 两 个 被 解 析 到 了 5 8 . 6 4 . 1 9 9 . 2 2     其 他 的 一 些 相 关 的 域 名 ， 也 都 被 解 析 到 了 这 个 子 网 之 中 。 不 过 我 们 还 是 把 重 点 放 在 D e p u t y D o g   和   E p h e m e r a l   H y d r a   c a m p a i g n s 这 两 个 事 件 上 .   你 可 能 还 记 得 d l l . f r e s h d n s . o r g ,   a l i . b l a n k c h a i r . c o m   a n d   c h t . b l a n k c h a i r . c o m   都 与 这 两 个 事 件 有 关 。 下 图 展 示 了 这 两 个 事 件 ， 和 本 次 V F W 被 攻 击 ， 所 使 用 的 网 络 基 础 设 备 之 间 的 关 联 。     L i n k s   t o   D e p u t y D o g   a n d   E p h e m e r a l   H y d r a （ （ D e p u t y D o g   a n d   E p h e m e r a l   H y d r a 之 间 的 联 系 ） 之 间 的 联 系 ）   使 用 了 同 一 款 远 控 软 件 （ R A T ）   通 过 入 侵 w e b 页 面 的 方 式 来 传 播 木 马 。   使 用 简 单 的 X o r 加 密 ， 和 j p g 图 片 的 后 缀 来 进 行 伪 装 。   G h 0 s t R a t 使 用 H T T P S 进 行 回 传   所 使 用 的 相 似 的 C n C 主 机   C o n c l u s i o n （ 结 论 ） （ 结 论 ）   攻 击 者 所 攻 击 的 不 同 的 目 标 。 U S 政 府 部 门 日 本 公 司 国 防 工 业 基 础 （ D I B ） 公 司   律 师 事 务 所   信 息 技 术 （ I T ） 公 司   矿 业 公 司   非 政 府 组 织 （ N G O ） 事 实 证 明 这 些 攻 击 者 有 能 力 在 以 后 的 更 长 的 时 间 中 ， 使 用 0 d a y 扩 散 木 马 ， 从 而 攻 击 一 些 更 高 级 的 目 标 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理