搜索

[9266] 2015-08-23_卡巴斯基：专业攻击日本的APT组织“蓝白蚁（bluetermite）”新动向

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-08-23_卡巴斯基：专业攻击日本的APT组织“蓝白蚁（bluetermite）”新动向 卡 巴 斯 基 ： 专 业 攻 击 日 本 的 A P T 组 织 “ 蓝 白 蚁 （ b l u e   t e r m i t e ） ” 新 动 向 F r e e B u f   2 0 1 5 - 0 8 - 2 3 F r e e B u f 报 道 报 道 过 ， 今 年 过 ， 今 年 6 月 初 日 本 养 老 金 系 统 被 入 侵 ， 大 约 月 初 日 本 养 老 金 系 统 被 入 侵 ， 大 约 1 2 5 万 份 个 人 信 息 遭 泄 ， 而 卡 巴 斯 基 报 告 指 出 进 行 攻 击 的 是 万 份 个 人 信 息 遭 泄 ， 而 卡 巴 斯 基 报 告 指 出 进 行 攻 击 的 是 专 门 针 对 日 本 的 专 门 针 对 日 本 的 A P T 攻 击 组 织 攻 击 组 织 “ 蓝 白 蚁 （ 蓝 白 蚁 （ b l u e   t e r m i t e ） ） ” 。 。 背 景 介 绍 背 景 介 绍 2 0 1 4 年 1 0 月 ， 卡 巴 斯 基 实 验 室 开 始 了 针 对 “ 蓝 白 蚁 ” A P T 的 研 究 ， 尽 管 这 并 不 是 日 本 第 一 次 遭 遇 A P T 的 攻 击 ， 但 是 这 次 旷 日 持 久 的 攻 击 还 是 有 两 点 与 众 不 同 的 地 方 。 与 其 他 A P T 不 同 ， “ 蓝 白 蚁 ” 的 攻 击 目 标 集 中 于 日 本 。 目 前 他 们 最 为 “ 成 功 ” 的 攻 击 活 动 便 是 入 侵 日 本 养 老 金 系 统 ， 造 成 了 1 2 5 万 个 人 信 息 泄 漏 。 但 除 此 之 外 ， “ 蓝 白 蚁 ” 的 攻 击 目 标 还 包 括 政 府 及 政 府 机 构 、 地 方 政 府 、 公 共 利 益 团 体 、 大 学 、 银 行 、 金 融 服 务 业 、 能 源 、 通 信 、 重 工 业 、 化 学 、 汽 车 、 电 气 、 新 闻 媒 体 、 信 息 服 务 业 、 医 疗 、 房 地 产 、 食 品 、 半 导 体 、 机 器 人 技 术 、 建 筑 、 保 险 、 运 输 业 等 等 。 更 为 不 幸 的 是 ， 攻 击 仍 在 持 续 中 ， 并 且 受 影 响 的 行 业 范 围 一 直 在 扩 大 中 。
图 为 “ 蓝 白 蚁 ” 攻 击 的 日 本 数 百 家 机 构 类 型 分 布 状 况 从 图 上 你 可 以 发 现 攻 击 在 7 月 中 旬 有 一 个 明 显 的 增 长 （ 橙 色 部 分 ） 。 这 是 由 于 “ 蓝 白 蚁 ” 采 用 了 新 的 攻 击 方 式 ， 而 本 文 重 点 介 绍 了 这 种 新 攻 击 以 及 他 们 的 实 施 细 节 。 最 新 感 染 方 式 最 新 感 染 方 式 通 常 ， A P T 的 主 要 感 染 方 式 是 通 过 钓 鱼 邮 件 进 行 的 。 卡 巴 斯 基 实 验 室 发 现 这 个 新 方 式 是 利 用 来 自 H a c k i n g   T e a m 泄 露 事 件 中 曝 光 的 f l a s h 漏 洞 （ C V E - 2 0 1 5 - 5 1 1 9 ） e x p ， 让 受 害 者 因 “ 被 迫 下 载 ” 而 受 到 感 染 。 几 个 日 本 网 站 已 经 因 为 这 种 攻 击 方 式 而 被 黑 ， 如 图 ： 攻 击 者 插 入 一 段 恶 意 代 码 到 网 站 上 ， 指 向 “ f a q . h t m l ” 。 “ f a q . h t m l ” 的 源 代 码 为 ：
“ f a q . h t m l ” 会 加 载 “ m o v i e . s w f ” ， 这 个 文 件 中 包 含 e x p 。 通 过 这 种 方 式 ， 当 用 户 设 备 访 问 时 便 会 被 恶 意 感 染 。 “ m o v i e . s w l ” 的 h e a d e r 显 示 为 “ Z W S ” ， 也 就 是 说 ， 这 是 一 个 用 L Z M A （ L e m p e l - Z i v - M a r k o v   c h a i n - A l g o r i t h m ） 压 缩 的 f l a s h 文 件 。 文 件 中 包 含 一 个 数 据 段 ， 标 记 为 蓝 色 ： 数 据 包 括 了 1 2 字 节 的 h e a d e r 。 经 过 编 码 的 数 据 以 0 x 5 d c a   ( “ x 7 8 x 9 c x e c x b 7 … . ” ) 起 始 ， 然 后 使 用 z l i b 压 缩 。 解 压 缩 之 后 ， 我 们 发 现 一 个 带 “ M Z   h e a d e r ” 的 可 执 行 文 件 。
除 了 上 面 展 示 的 数 据 之 外 ， s w f 文 件 中 还 有 A c t i o n S c r i p t   ( A S ) 的 s h e l l c o d e 。 这 个 s h e l l c o d e 的 功 能 非 常 简 单 ： 它 将 提 取 的 可 执 行 文 件 保 存 到 当 前 临 时 目 录 ， 命 名 为 “ r d w s . e x e ” ， 然 后 用 W i n E x e c ( ) 执 行 它 。 提 取 的 可 执 行 文 件 为 攻 击 者 使 用 的 一 个 新 的 感 染 向 量 — — “ e m d i v i   t 1 7 ” （ 后 文 简 称 “ t 1 7 ” ） 。 我 们 发 现 几 种 执 行 r d w s . e x e 的 恶 意 软 件 ， 而 t 1 7 便 是 其 中 之 一 。 卡 巴 斯 基 实 验 室 发 现 了 一 些 “ 水 管 攻 击 ” ， 其 中 包 括 一 个 属 于 日 本 政 府 重 要 议 员 的 网 站 。 研 究 者 给 网 站 管 理 者 以 及 受 影 响 站 点 的 I S P 发 送 了 一 个 通 知 邮 件 ， 却 没 有 收 到 任 何 回 复 。 但 是 ， 就 在 大 约 一 小 时 后 这 段 恶 意 代 码 就 被 删 除 了 。 下 面 的 代 码 过 滤 了 大 部 分 I P 地 址 ， 除 了 一 个 是 特 属 于 日 本 政 府 机 构 。
有 趣 的 是 ， 该 脚 本 竟 然 带 有 变 量 名 为 “ T E S T ” 的 I P 信 息 。 研 究 者 怀 疑 这 便 是 攻 击 者 的 测 试 I P ， 位 于 上 海 。 根 据 目 标 而 自 定 义 的 恶 意 软 件 根 据 目 标 而 自 定 义 的 恶 意 软 件 卡 巴 斯 基 实 验 室 检 测 发 现 ， “ e m d i v i   t 2 0 ” （ 后 文 简 称 “ t 2 0 ” ） 恶 意 软 件 具 有 根 据 目 标 而 产 生 针 对 性 攻 击 的 能 力 。 尽 管 t 1 7 和 t 2 0 来 自 同 一 个 e m d i v i 家 族 ， 但 是 后 者 更 为 复 杂 一 些 。 t 2 0 通 常 用 于 已 经 感 染 t 1 7 后 ， 而 此 时 t 1 7 充 当 了 后 门 的 角 色 。 那 现 在 我 们 来 看 看 t 2 0 是 如 何 利 用 这 些 后 门 的 。 t 1 7 有 9 种 命 令 ， 另 一 个 方 面 ， 一 些 t 2 0 样 本 中 则 有 多 达 4 0 种 命 令 。 下 面 列 出 了 t 1 7 所 支 持 的 命 令 ： 以 下 为 t 2 0 支 持 的 命 令 ：
两 者 储 存 的 都 是 后 门 指 令 的 m d 5 校 验 值 。 在 分 析 t 2 0 的 样 本 时 ， 我 们 发 现 它 在 两 个 方 面 具 有 高 度 针 对 性 。 首 先 ， 一 个 t 2 0 样 本 中 包 含 硬 编 码 内 部 代 理 信 息 ， 信 息 经 过 加 密 ， 位 置 在 0 x 4 4 e 7 9 c ： 解 密 后 的 代 码 为 " p r o x y . ? ? ? ? ? ? ? ? ? ? . c o . j p : 8 0 8 0 " ：
这 种 方 法 虽 然 并 不 新 颖 ， 但 也 没 有 被 广 泛 应 用 。 这 是 由 于 它 可 能 会 暴 露 目 标 ， 或 者 这 并 不 是 一 个 可 以 通 用 的 方 法 ， 并 且 只 有 在 一 个 特 殊 组 织 中 才 能 运 用 。 然 而 ， 相 似 的 案 列 在 其 他 A P T 攻 击 中 也 有 遇 到 。 另 一 个 方 面 则 十 分 有 趣 。 e m d i v i 储 存 了 自 身 的 重 要 数 据 ， 其 中 包 括 C 2 、 A P I 名 称 、 用 来 干 扰 分 析 的 字 符 串 、 互 斥 对 象 价 值 、 m d 5 校 验 和 以 及 内 部 代 理 信 息 。 这 些 信 息 以 加 密 形 式 储 存 ， 并 在 必 要 时 进 行 解 密 。 因 此 ， 详 细 分 析 一 个 e m d i v i 的 实 例 ， 我 们 需 要 探 明 加 密 的 十 六 进 制 编 码 ， 并 对 其 进 行 破 解 。 在 解 密 的 过 程 中 ， 每 个 样 本 都 需 要 一 个 特 殊 的 解 密 密 钥 。 e m d i v i   t 2 0 可 以 用 S a l t 1 和 S a l t 2 生 成 一 个 解 密 密 钥 。 S a l t 1 来 自 一 个 含 有 四 个 数 字 （ 疑 似 C 2 的 I D ） 的 “ 魔 字 符 串 ” 。 下 面 是 一 个 “ 魔 字 符 串 ” 的 例 子 ： e m d i v i 的 部 分 命 名 （ ” t 1 7 “ 和 ” t 2 0 “ ） 便 是 来 自 于 这 个 硬 编 码 的 “ 魔 字 符 串 ” 。 S a l t 2 是 通 过 大 量 被 硬 编 码 的 数 据 生 成 的 ： 在 大 多 数 情 况 下 ， e m d i v i 会 用 S a l t 1 和 S a l t 2 生 成 一 个 解 密 密 钥 。 然 而 ， 在 2 0 1 5 年 7 月 初 ， 卡 巴 斯 基 实 验 室 发 现 一 个 样 本 通 过 S a l t 1 、 S a l t 2 和 S a l t 3 创 建 了 一 个 解 密 密 钥 ， S a l t 3 是 被 感 染 电 脑 的 安 全 标 识 符 。 下 面 是 解 密 密 钥 生 成 流 程 ：
换 句 话 说 ， 这 个 样 本 只 能 在 它 的 攻 击 目 标 电 脑 中 运 行 。 如 果 不 清 楚 受 害 者 的 S I D ， 那 么 解 密 密 钥 则 无 法 成 功 生 成 出 来 ， 而 解 密 也 就 变 得 十 分 困 难 。 这 也 意 味 着 想 要 详 细 分 析 恶 意 软 件 是 无 法 实 现 的 。 而 幸 运 的 是 ， 我 们 还 能 分 析 这 些 样 本 ， 并 从 几 个 没 有 S I D 的 样 本 中 成 功 地 暴 力 破 解 这 些 解 密 密 钥 。 小 结 小 结 今 年 6 月 初 ， 就 有 新 闻 指 出 日 本 养 老 金 系 统 因 一 名 员 工 操 作 不 当 ， 导 致 系 统 遭 网 络 攻 击 ， 大 约 1 2 5 万 份 个 人 信 息 被 泄 露 。 各 种 日 本 组 织 开 始 部 署 更 为 严 格 的 保 护 措 施 。 然 而 ， 攻 击 者 “ 蓝 白 蚁 “ 组 织 似 乎 也 一 直 密 切 关 注 着 事 态 的 动 向 ， 开 始 使 用 新 的 攻 击 方 式 并 成 功 地 扩 大 了 他 们 的 行 动 规 模 。 撰 写 此 文 时 ， 另 一 个 e m d i v i   t 2 0 的 样 本 被 发 现 ， 它 除 了 S I D 的 把 戏 之 外 还 运 用 了 A E S 加 密 ， 让 针 对 敏 感 数 据 的 解 密 更 加 困 难 。 为 了 打 击 这 些 网 络 间 谍 活 动 ， 卡 巴 实 验 室 将 继 续 这 方 面 的 探 索 。 * 参 考 来 源 ： s e c u r e l i s t ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理