搜索

[8365] 2014-10-21_揭秘：西班牙制造的针对性攻击木马Machete

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-10-21_揭秘：西班牙制造的针对性攻击木马Machete 揭 秘 ： 西 班 牙 制 造 的 针 对 性 攻 击 木 马 M a c h e t e 嘎 巴 嘎 巴   F r e e B u f   2 0 1 4 - 1 0 - 2 1 简 介 简 介 前 一 段 时 间 ， 卡 巴 斯 基 实 验 室 的 一 位 拉 丁 美 洲 的 客 户 与 我 们 联 系 ， 说 他 去 了 中 国 ， 他 怀 疑 他 的 机 器 被 感 染 了 未 知 的 而 且 无 法 被 检 测 到 的 恶 意 软 件 （ F r e e B u f 小 编 ： 又 黑 我 中 国 … … ） 。 在 协 助 客 户 的 同 时 ， 我 们 发 现 在 他 的 系 统 中 发 现 了 一 个 非 常 有 趣 的 文 件 ， 该 文 件 与 中 国 毫 无 关 系 ， 并 没 有 中 文 编 程 的 痕 迹 。 第 一 眼 看 上 去 ， 它 伪 装 成 一 个 J a v a 相 关 的 应 用 程 序 ， 但 快 速 分 析 后 ， 我 们 发 现 很 明 显 这 不 仅 仅 只 是 一 个 简 单 的 但 快 速 分 析 后 ， 我 们 发 现 很 明 显 这 不 仅 仅 只 是 一 个 简 单 的 J a v a 文 件 。 这 是 有 针 对 性 的 攻 击 ， 我 们 称 之 为 文 件 。 这 是 有 针 对 性 的 攻 击 ， 我 们 称 之 为 “ M a c h e t e ” 。 。 什 么 是 什 么 是 M a c h e t e ？ ？ “ M a c h e t e ” 在 西 班 牙 语 中 指 “ 有 针 对 性 的 攻 击 活 动 ” 。 我 们 认 为 这 次 攻 击 始 于 2 0 1 0 年 ， 并 于 2 0 1 2 年 更 新 完 善 。 而 现 在 攻 击 仍 然 非 常 活 跃 。 该 恶 意 软 件 的 功 能 ： 该 恶 意 软 件 的 功 能 ： 记 录 键 盘 敲 击 通 过 计 算 机 麦 克 风 获 取 音 频 屏 幕 截 图 获 取 地 理 位 置 数 据 通 过 网 络 摄 像 头 拍 照 将 文 件 复 制 到 远 程 服 务 器 将 文 件 复 制 到 一 个 特 殊 的 U S B 设 备 中 劫 持 剪 贴 板 、 获 取 剪 贴 板 内 容 M a c h e t e 的 攻 击 目 标 的 攻 击 目 标
大 多 数 受 害 者 都 位 于 委 内 瑞 拉 ， 厄 瓜 多 尔 ， 哥 伦 比 亚 ， 秘 鲁 ， 俄 罗 斯 ， 古 巴 ， 西 班 牙 ， 等 等 。 在 某 些 情 况 下 ， 诸 如 大 多 数 受 害 者 都 位 于 委 内 瑞 拉 ， 厄 瓜 多 尔 ， 哥 伦 比 亚 ， 秘 鲁 ， 俄 罗 斯 ， 古 巴 ， 西 班 牙 ， 等 等 。 在 某 些 情 况 下 ， 诸 如 俄 罗 斯 ， 目 标 似 乎 是 针 对 俄 罗 斯 境 内 的 某 些 大 使 馆 。 俄 罗 斯 ， 目 标 似 乎 是 针 对 俄 罗 斯 境 内 的 某 些 大 使 馆 。 目 标 包 括 高 层 人 物 ， 其 中 包 括 情 报 部 门 ， 军 队 ， 驻 外 使 馆 和 政 府 机 构 。 M a c h e t e 如 何 运 行 ？ 如 何 运 行 ？ 该 恶 意 软 件 是 通 过 社 会 工 程 技 术 ， 包 括 通 过 鱼 叉 式 邮 件 钓 鱼 和 受 感 染 的 虚 假 博 客 传 播 的 。 我 们 没 有 发 现 软 件 利 用 了 零 日 漏 洞 。 无 论 是 攻 击 者 和 受 害 者 似 乎 都 是 讲 西 班 牙 语 的 。 本 次 调 查 期 间 ， 我 们 还 发 现 了 许 多 钓 鱼 时 所 使 用 的 文 件 。 这 些 文 件 都 是 些 p p t ， 一 旦 打 开 即 开 始 在 目 标 系 统 安 装 恶 意 软 件 。 以 下 是 P o w e r P o i n t 附 件 的 名 字 ： H e r m o s a   X X X . p p s . r a r S u n t z u . r a r E l   a r t e   d e   l a   g u e r r a . r a r H o t   b r a z i l i a n   X X X . r a r 这 些 文 件 实 际 上 是 N u l l s o f t 的 自 解 压 文 件 ， 都 是 2 0 0 8 年 编 译 的 。 这 些 可 执 行 文 件 包 含 P y t h o n 代 码 ， 还 有 必 要 的 P y t h o n 库 ， 以 及 P o w e r P o i n t 文 件 。 结 果 就 是 这 些 文 件 非 常 的 大 ， 超 过 了 3 M B 。
以 下 是 以 下 是 P P T 文 件 的 截 图 ： 文 件 的 截 图 ： 这 些 恶 意 软 件 中 包 含 了 P y t h o n 代 码 。 这 是 非 常 奇 怪 的 ， 除 了 方 便 编 程 ， 这 对 攻 击 者 没 有 任 何 好 处 。 由 于 这 些 软 件 是 基 于 W i n d o w s 库 的 ， 程 序 不 能 够 跨 平 台 。 然 而 ， 我 们 发 现 ， 攻 击 者 在 程 序 编 写 中 做 好 了 针 对 M a c   O S   X 和 U n i x 的 准 备 。 除 了 W i n d o w s 组 件 之 外 ， 我 们 还 发 现 了 一 个 手 机 （ A n d r o i d ） 的 组 件 。 无 论 是 攻 击 者 和 受 害 者 都 讲 西 班 牙 语 ， 因 为 我 们 在 客 户 端 的 源 代 码 和 P y t h o n 代 码 中 一 直 看 到 的 都 是 西 班 牙 语 。 被 感 染 的 迹 象 被 感 染 的 迹 象 以 下 代 码 片 段 ， 是 在 用 来 感 染 用 户 的 网 站 的 H T M L 代 码 中 发 现 的 ：
注 ： 感 谢 来 自 K o r e l o g i c 的 T y l e r   H u d a k 指 出 ， 以 上 的 H T M L 代 码 是 拷 贝 自 S E T ( T h e   S o c i a l   E n g i n e e r i n g   T o o l k i t ) 的 。 另 外 以 下 链 接 指 向 到 病 毒 ：   h x x p : / / n a m e . d o m a i n . o r g / n i c k n a m e / s e t / S i g n e d _ U p d a t e . j a r 域 名 域 名 以 下 病 毒 所 使 用 到 的 域 名 。 任 何 与 域 名 的 连 接 都 非 常 可 疑 。 j a v a . s e r v e b l o g . n e t a g a l i a r e p t . c o m f r e j a b e . c o m g r a n n e g r a l . c o m p l u s h b r . c o m x m a i l l i w x . c o m b l o g w h e r e y o u . c o m g r a n n e g r a l . c o m 感 染 文 件 感 染 文 件 M D 5                                                                         文 件 名 6 1 d 3 3 d c 5 b 2 5 7 a 1 8 e b 6 5 1 4 e 4 7 3 c 1 4 9 5 f e           A w g X u B V 3 1 p G V . e X e b 5 a d a 7 6 0 4 7 6 b a 9 a 8 1 5 c a 5 6 f 1 2 a 1 1 d 5 5 7           E L   A R T E   D E   L A   G U E R R A . e x e d 6 c 1 1 2 d 9 5 1 c b 4 8 c a b 3 7 e 5 d 7 e b e d 2 4 2 0 b           H e r m o s a   X X X . r a r d f 2 8 8 9 d f 7 a c 2 0 9 e 7 b 6 9 6 7 3 3 a a 6 b 5 2 a f 5           H e r m o s a   X X X . p p s . r a r e 4 8 6 e d d f f d 1 3 b e d 3 3 e 6 8 d 6 d 8 d 4 0 5 2 2 7 0           H e r m o s a   X X X . p p s . r a r e 9 b 2 4 9 9 b 9 2 2 7 9 6 6 9 a 0 9 f e f 7 9 8 a f 7 f 4 5 b           S u n t z u . r a r f 7 e 2 3 b 8 7 6 f c 8 8 7 0 5 2 a c 8 e 2 5 5 8 f 0 d 6 c 3 8           H o t   B r a z i l i a n   X X X . r a r b 2 6 d 1 a e c 2 1 9 c e 4 5 b 2 e 8 0 7 6 9 3 6 8 3 1 0 4 7 1           S i g n e d _ U p d a t e . j a r
病 毒 的 感 染 痕 迹 病 毒 的 感 染 痕 迹 1 、 创 建 J a v a   U p d a t e . l n k 并 指 向 a p p d a t a / J r e 6 / j a v a . e x e 2 、 恶 意 软 件 安 装 在 a p p d a t a /   M i c r o D e s / 3 、 创 建 进 程 M i c r o s o f t _ u p 卡 巴 斯 基 实 验 室 已 将 此 病 毒 命 名 为 T r o j a n - S p y . P y t h o n . R a g u a 。 [ V i a   S e c u r e l i s t ,   J o h n C h u 翻 译 ， 转 载 请 注 明 来 自 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理