搜索

[10120] 2016-05-19_远控木马PosionIvy开始肆虐缅甸和其它亚洲国家

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-05-19_远控木马PosionIvy开始肆虐缅甸和其它亚洲国家 远 控 木 马 P o s i o n   I v y 开 始 肆 虐 缅 甸 和 其 它 亚 洲 国 家 f e l i x   F r e e B u f   2 0 1 6 - 0 5 - 1 9 臭 名 昭 著 的 远 程 控 制 木 马 臭 名 昭 著 的 远 程 控 制 木 马 P o i s o n   I v y （ 后 面 称 作 （ 后 面 称 作 P I V Y ） 最 近 开 始 重 新 露 出 水 面 。 并 且 出 现 了 一 些 新 行 为 。 过 去 一 年 ， ） 最 近 开 始 重 新 露 出 水 面 。 并 且 出 现 了 一 些 新 行 为 。 过 去 一 年 ， 已 经 发 现 已 经 发 现 P I V Y 为 了 种 种 企 图 攻 击 了 许 多 亚 洲 国 家 。 为 了 种 种 企 图 攻 击 了 许 多 亚 洲 国 家 。 P a l o   A l t o   N e t w o r k 的 U n i t   4 2 最 近 发 布 博 文 ， 一 个 被 称 为 S P I V Y 的 新 P o s i o n   I v y 变 种 正 在 攻 击 香 港 活 动 家 ， 它 使 用 D L L 旁 加 载 （ D L L   s i d e l o a d i n g ） ， 并 且 在 操 作 方 面 与 A S E R T （ A r b o r ’ s   S e c u r i t y   E n g i n e e r i n g   &   R e s p o n s e   T e a m   ） 最 近 发 现 的 至 少 活 跃 了 1 2 个 月 的 变 种 有 很 大 不 同 。 技 术 细 节 技 术 细 节 A S E R T 捕 捉 到 的 P I V Y 变 种 与 以 前 发 现 的 相 比 出 现 了 一 些 新 的 行 为 。 样 本 会 释 放 一 个 d o c 诱 饵 - 通 常 在 目 标 上 会 有 清 晰 地 提 示 ， 一 个 名 为 A c t i v e U p d a t e . d l l 的 D L L 和 P I V Y   s h e l l c o d e 文 件 A c t i v e . d a t 。 A c t i v e U p d a t e . d l l 和 A c t i v e . d a t 文 件 在 形 如 A c t i v e U p d a t e _   [ 0 - 9 ] { 3 } 的 文 件 夹 中 创 建 。 可 执 行 文 件 把 r u n d l l 3 2 . e x e 拷 贝 为 A c t i v e F l a s h . e x e ， 然 后 用 这 个 新 文 件 执 行 D L L ， 通 过 在 W i n d o w 启 动 目 录 下 创 建 . L n k 文 件 实 现 自 启 动 安 装 。 E S E T 把 这 些 样 本 称 为 “ W i n 3 2 / K o r p l u g . I [ F - I ]   v a r i a n t ” ， 或 许 是 因 为 恶 意 软 件 通 过 r u n d l l 3 2 使 用 D L L 旁 加 载 技 术 加 载 释 放 的 D L L 来 执 行 它 的 恶 意 行 为 。 这 个 恶 意 软 件 从 去 年 （ 或 许 更 早 ） 就 开 始 部 署 了 ， 在 拷 贝 r u n d l l 3 2 时 使 用 了 不 同 的 可 执 行 文 件 名 和 目 录 名 ， 但 是 ， 这 篇 文 章 只 讨 论 使 用 “ A c t i v e U p d a t e ” 的 变 种 子 集 。 P I V Y 样 本 的 执 行 流 程 图 样 本 的 执 行 流 程 图 这 些 二 进 制 的 编 译 时 间 与 第 一 次 发 现 它 们 在 外 散 播 的 时 间 联 系 紧 密 ， 与 样 本 在 配 置 文 件 中 的 一 些 活 动 I D （ c a m p a i g n   I D ） 里 包 含 的 时 间 戳 项 的 联 系 也 很 紧 密 。 解 密 后 的 配 置 文 件 也 发 生 了 轻 微 的 变 化 ， 这 样 就 可 以 干 扰 网 上 公 开 的 工 具 解 析 配 置 文 件 数 据 。 活 动 I D 也 不 再 是 全 部 使 用 n u l l 填 补 ， 而 是 使 用 一 个 字 节 的 n u l l 加 一 个 全 为 “ x ” 字 符 的 字 符 串 来 填 补 ， 这 样 就 可 以 起 到 干 扰 一 些 脚 本 的 作 用 。 此 外 ， C 2 s 也 不 再 使 用 n u l l 填 补 ， 每 个 主 机 名 后 面 都 会 包 含 一 个 n u l l 字 节 ， 后 面 接 着 是 一 个 类 似 于 “ 0 . 1 1 2 7 . 0 . 0 . 1 1 2 7 . 0 . 0 . 1 0 0 0 0 0 ” 的 字 符 串 。 对 于 每 个 C o m m a n d   &   C o n t r o l   ( C 2 ) 服 务 器 ， 这 个 字 符 串 会 有 轻 微 的 变 化 ， 以 “ 1 ” 开 始 的 地 方 会 在 第 二 个 C 2 时 变 成 “ 2 ” ， 第 三 个 会 变 为 “ 3 ” ， 以 此 类 推 。 这 些 值 最 后 会 出 现 在 内 存 的 某 个 地 方 ， 解 析 时 不 需 要 额 外 的 东 西 只 需 要 做 一 点 微 调 就 可 以 了 。 在 许 多 P I V Y 样 本 中 发 现 了 名 为 w e b s e r v e r . s e r v e h t t p [ . ] c o m 的 主 机 名 ， 这 篇 文 章 中 会 涉 及 到 其 中 一 些 。 此 外 ， 这 个 主 机 名 解 析 出
来 的 I P ， 与 早 期 发 现 的 似 乎 与 此 无 关 的 P I V Y 样 本 中 使 用 的 f i l e s h a r e . s e r v e f t p [ . ] c o m 解 析 出 的 I P 有 重 合 。 诱 饵 文 档 和 目 标 信 息 诱 饵 文 档 和 目 标 信 息 发 现 许 多 P I V Y 样 本 攻 击 缅 甸 和 其 它 一 些 亚 洲 国 家 。 但 是 A S E R T 目 前 还 不 知 道 其 确 切 的 目 标 和 传 播 方 法 ， 文 档 和 提 交 源 提 供 了 关 于 攻 击 的 动 机 和 潜 在 目 标 的 线 索 。 前 一 部 分 描 述 的 样 本 - a 7 d 2 0 6 7 9 1 b 1 c d e c 6 1 6 e 9 b 1 8 a e 6 f a 1 5 4 8 c a 9 6 a 3 2 1 - 被 发 现 于 2 0 1 5 年 1 2 月 后 期 攻 击 缅 甸 ， 样 本 的 编 译 时 间 戳 是 2 0 1 5 年 1 2 月 2 日 ， 文 件 名 里 的 时 间 标 记 看 起 来 是 引 用 了 2 0 1 5 年 1 2 月 2 5 日 发 布 的 一 篇 报 告 ， 而 文 件 是 在 美 国 时 间 2 0 1 5 年 1 2 月 2 4 日 傍 晚 首 次 看 到 的 ， 这 正 好 是 缅 甸 的 1 2 月 2 5 日 。 释 放 了 名 为 “ S T E P   D e m o c r a c y   Y e a r   1   A c h e i v e m e n t s _ 2 5 1 1 2 0 1 5 . d o c x ” 的 文 档 ， 该 文 档 也 被 S H A 1 值 为 7 2 4 1 6 6 2 6 1 e 9 c 2 e 7 7 1 8 b e 2 2 b 3 4 7 6 7 1 9 4 4 a 1 e 7 f d e d 的 样 本 释 放 为 “ Y e a r 1 a c h i e v e m e n t s v 2 . d o c x ” ， 但 是 这 个 样 本 在 与 之 相 同 的 C 2 s 上 使 用 了 不 同 的 通 信 密 钥 。 文 档 似 乎 是 S T E P 民 主 倡 议 的 分 支 ， 国 际 民 主 和 选 举 援 助 学 会 （ I n t e r n a t i o n a l   I n s t i t u t e   f o r   D e m o c r a c y   a n d E l e c t o r a l   A s s i s t a n c e ， I D E A ） ， 在 1 2 月 发 布 的 最 终 报 告 的 草 案 。 I D E A 是 欧 盟 资 助 的 项 目 - 支 持 选 举 程 序 和 民 主 （ S u p p o r t   t o   E l e c t o r a l   P r o c e s s e s   a n d   D e m o c r a c y   ） ( S T E P   D e m o c r a c y ) 的 一 部 分 ， 它 的 目 标 是 在 全 世 界 支 持 民 主 。 I D E A 在 缅 甸 最 近 选 举 前 后 都 与 其 协 作 ， 保 证 “ 和 平 ， 透 明 和 可 信 的 选 举 ” 。 这 项 工 作 的 一 部 分 是 发 布 类 似 于 上 面 提 到 的 报 告 和 草 案 。 在 这 里 ， 诱 饵 文 件 的 元 数 据 包 含 一 个 “ 0 I D E A ” 的 公 司 名 和 一 个 “ S o p h i a ” 的 作 者 名 - 或 许 是 组 织 中 的 某 个 现 任 成 员 ， 最 后 一 次 编 辑 时 间 是 2 0 1 5 年 1 2 月 2 0 日 。 文 档 的 内 容 描 述 了 关 于 缅 甸 民 主 选 举 的 一 场 辩 论 的 细 节 。 这 个 时 间 轴 说 明 目 标 经 历 了 1 2 月 初 发 生 的 选 举 ， 但 是 仍 然 关 注 有 志 于 缅 甸 国 内 民 主 的 个 体 。 缅 甸 选 举 后 的 目 标 好 像 是 跟 随 A S E R T 写 的 “ U n c o v e r i n g   t h e   S e v e n   P o i n t e d   D a g g e r ” 文 章 中 提 到 的 模 式 。 在 这 里 看 起 来 ， 攻 击 者 开 始 使 用 S T E P 组 织 的 文 章 ， 利 用 选 举 后 的 缅 甸 相 关 内 容 继 续 开 展 鱼 叉 攻 击 。 这 些 样 本 使 用 的 C 2 - j a c k h e x . m d 5 c [ . ] c o m - 解 析 出 的 I P 地 址 属 于 1 0 3 . 2 4 0 . 2 0 3 . 0 / 2 2 ， 而 在 S e v e n   P o i n t e d   D a g g e r 攻 击 活 动 中 也 是 这 样 做 的 ， 这 说 明 两 者 存 在 可 能 的 联 系 。 “ L U R K 0 ” G h 0 s t 远 程 管 理 工 具 和 另 外 一 个 P I V Y 域 名 也 同 样 解 析 到 了 那 个 范 围 里 的 I P ， 这 说 明 这 个 子 网 有 发 动 针 对 性 攻 击 的 嫌 疑 。 释 放 的 涉 及 缅 甸 民 主 进 程 的 文 档 释 放 的 涉 及 缅 甸 民 主 进 程 的 文 档 同 时 最 近 也 发 现 了 许 多 关 注 经 济 的 文 档 ， 并 且 其 中 一 个 样 本 也 涉 及 到 缅 甸 。 这 个 样 本 使 用 了 “ m m 2 0 1 6 0 4 0 5 ” 活 动 I D ， 释 放 了 名 为 “ C h a i r m a n ’ s   R e p o r t   o f   t h e   1 9 t h   A S E A N   R e g i o n a l   F o r u m   H e a d s   o f   D e f e n c e   U n i v e r s i t i e s ,   C o l l e g e s ,   I n s t i u t i o n s   M e e t i n g ,   N a y   P a y   T a w ,
M y a n m a r . d o c ”   的 文 件 ， 其 中 提 到 了 2 0 1 5 年 9 月 在 缅 甸 召 开 的 东 南 亚 国 家 联 盟 ( A s s o c i a t i o n   o f   S o u t h e a s t   A s i a n   N a t i o n s , A S E A N ) 会 议 。 这 个 样 本 的 时 间 与 早 些 时 候 的 样 本 有 点 不 同 ， 好 像 是 一 个 后 续 活 动 ， 因 为 恶 意 文 件 的 编 译 时 间 戳 是 2 0 1 6 年 3 月 2 5 日 ， 再 加 上 活 动 I D 里 的 时 间 戳 是 2 0 1 6 年 4 月 5 日 ， 以 及 首 次 发 现 在 外 散 播 的 时 间 是 2 0 1 6 年 4 月 1 1 日 。 配 置 文 件 中 的 m u t e x - 2 0 1 5 0 1 2 0 - 与 前 期 释 放 S T E P 计 划 相 关 文 档 的 样 本 的 m u t e x 是 同 一 个 ， 但 是 这 个 m u t e x 在 其 他 许 多 使 用 “ A c t i v e U p d a t e ” 目 录 结 构 的 P I V Y 样 本 中 也 被 使 用 ， 好 像 不 是 用 于 识 别 活 动 或 者 识 别 外 面 的 使 用 相 同 版 本 的 样 本 之 间 的 关 系 。 这 个 样 本 中 使 用 的 C 2 - a d m i n . n s l o o k u p d n s [ . ] c o m - 解 析 到 了 1 1 8 . 1 9 3 . 2 1 8 . 0 / 2 4 子 网 中 包 含 的 I P 。 与 前 面 讨 论 的 样 本 相 同 ， A S E R T 观 察 到 了 包 括 N i t o l ,   G h 0 s t r a t 以 及 其 它 使 用 “ A c t i v e U p d a t e ” 的 P I V Y 样 本 在 内 的 恶 意 软 件 家 族 存 在 重 叠 。 这 个 样 本 的 C 2 域 名 是 n e w s . t i b e t g r o u p w o r k s [ . ] c o m ， 这 明 显 得 暗 示 了 目 标 动 态 ， 但 是 ， 没 有 发 现 释 放 诱 饵 文 档 ， 也 没 有 发 现 进 一 步 的 信 息 帮 助 支 持 这 个 目 标 假 定 。 释 放 的 与 缅 甸 的 释 放 的 与 缅 甸 的 A S E A N 会 议 相 关 的 文 档 会 议 相 关 的 文 档 继 续 讨 论 关 于 攻 击 A S E A N 的 活 动 的 话 题 ， 样 本 3 1 7 5 6 c c d b f e 0 5 d 0 a 5 1 0 d 2 d c f 2 0 7 f d e f 5 2 8 7 d e 2 8 5 释 放 了 名 为 “ R o b e r t u s   S u b o n o - R E G I S T R A T I O N _ F O R M _ A S E A N _ C M C o o r d 2 0 1 6 . d o c x ” 的 诱 饵 文 档 ， 它 涉 及 到 2 0 1 6 年 3 月 2 8 至 4 月 1 日 在 曼 谷 举 办 的 东 盟 人 道 主 义 军 事 协 调 会 议 。 这 个 文 档 是 印 度 尼 西 亚 出 席 者 的 注 册 表 ， 要 发 往 泰 国 国 防 部 邮 箱 。 这 个 样 本 的 编 译 时 间 是 2 0 1 6 年 3 月 1 0 日 ， 被 A S E R T 在 2 0 1 6 年 3 月 2 0 日 首 此 发 现 ， 并 且 包 含 了 一 个 有 效 的 G o o g l e 数 字 签 名 。 把 意 图 ， 会 议 的 地 点 以 及 表 格 要 发 往 的 邮 件 地 址 和 “ m o d t h ” 活 动 I D 相 结 合 ， 推 测 这 个 样 本 的 可 能 目 标 是 泰 国 国 防 部 。 这 个 样 本 使 用 的 C 2 与 前 面 的 涉 及 缅 甸 A S E A N 会 议 的 样 本 在 很 大 程 度 上 相 重 合 - 第 一 个 C 2 使 用 8 0 端 口 ， 而 前 面 的 样 本 使 用 8 1 端 口 ， 并 且 它 们 都 是 使 用 了 相 同 的 m u t e x 和 密 码 。 这 个 重 合 暗 示 了 对 A S E A N 成 员 国 及 他 们 举 行 的 会 议 的 持 续 攻 击 。
3 1 7 5 6 c c d b f e 0 5 d 0 a 5 1 0 d 2 d c f 2 0 7 f d e f 5 2 8 7 d e 2 8 5 样 本 释 放 的 涉 及 泰 国 样 本 释 放 的 涉 及 泰 国 A S E A N 会 议 的 诱 饵 文 件 会 议 的 诱 饵 文 件 e c 6 4 6 c 5 7 f 9 a c 5 e 5 6 2 3 0 a 1 7 a e c a 6 5 2 3 a 4 5 3 2 f f 4 7 2 样 本 释 放 的 “ 2 0 1 6 . 0 2 . 2 9 - 0 3 . 0 4   - A S E M   W e e k l y . d o c x ” 诱 饵 文 档 也 很 有 趣 ， 它 不 像 其 它 两 个 文 档 使 用 英 文 - 谷 歌 识 别 出 文 档 中 的 语 言 为 蒙 古 语 。 e c 6 4 6 c 5 7 f 9 a c 5 e 5 6 2 3 0 a 1 7 a e c a 6 5 2 3 a 4 5 3 2 f f 4 7 2 释 放 的 涉 及 亚 欧 会 议 （ 释 放 的 涉 及 亚 欧 会 议 （ A S E M ) 的 诱 饵 文 档 的 诱 饵 文 档 f 3 8 9 e 1 c 9 7 0 b 2 c a 2 8 1 1 2 a 3 0 a 8 c f e f 1 f 3 9 7 3 f a 8 2 e a 释 放 的 诱 饵 文 档 1 . d o c x ， 在 沙 盒 中 运 行 时 奔 溃 ， 手 工 恢 复 出 了 一 个 韩 文 文 档 ， 恶 意 软 件 的 活 动 I D 是 k k 3 1 。 这 个 文 档 看 起 来 与 外 国 的 韩 语 学 校 有 关 ， 电 话 号 码 说 明 从 属 于 韩 国 外 交 部 ， 但 是 现 在 也 不 清 楚 其 攻 击 目 标 。
f 3 8 9 e 1 c 9 7 0 b 2 c a 2 8 1 1 2 a 3 0 a 8 c f e f 1 f 3 9 7 3 f a 8 2 e a 释 放 的 韩 语 诱 饵 文 档 释 放 的 韩 语 诱 饵 文 档 样 本 f 3 8 9 e 1 c 9 7 0 b 2 c a 2 8 1 1 2 a 3 0 a 8 c f e f 1 f 3 9 7 3 f a 8 2 e a 释 放 了 一 个 名 为 “ C o m m i s s i o n   o n   F i l i p i n o s   O v e r s e a s   &   D u b a i . d o c ” 的 诱 饵 文 档 ， 但 是 这 个 文 档 无 论 是 在 恶 意 软 件 沙 盒 还 是 手 动 打 开 都 没 有 正 确 渲 染 。 V i r u s T o t a l 显 示 了 一 个 来 自 菲 律 宾 的 样 本 ， 这 说 明 菲 律 宾 是 目 标 ， 并 非 阿 拉 伯 联 合 酋 长 国 的 迪 拜 。 这 个 样 本 的 C 2 s 使 用 了 w e b s e r v e r . s e r v e h t t p [ . ] c o m ， 这 在 最 近 的 许 多 样 本 中 也 出 现 了 ， 说 明 相 同 的 攻 击 者 参 与 了 这 次 攻 击 活 动 。 结 论 结 论 正 如 这 篇 文 章 和 前 面 的 几 篇 文 章 中 描 述 的 ， P I V Y 在 持 续 进 化 ， 被 用 于 无 数 的 目 标 攻 击 活 动 中 - 不 像 其 它 的 恶 意 软 件 家 族 ， 比 如 P l u g X 或 者 D u k e s 。 这 肯 定 不 是 P I V Y 的 最 后 进 化 ， A S E R T 会 在 发 现 他 们 时 持 续 监 视 这 些 威 胁 。 我 要 感 谢 A S E R T 的 C u r t W i l s o n 帮 助 我 研 究 文 章 中 的 一 些 问 题 。 S H A 1 哈 希 哈 希 6 3 e 0 0 d b f 4 5 9 6 1 a d 1 1 b d 1 e b 5 5 d f f 9 c 2 7 7 1 c 2 9 1 6 a 6 6 7 5 a 3 2 4 7 f 4 c 0 e 1 1 0 5 a 4 1 c 6 8 5 f 4 c 2 f b 6 0 6 e 5 b 1 e a c 4 9 e 3 6 d e 6 d 7 5 7 c a 4 4 c 4 3 d 5 6 7 0 d 4 9 7 b d 8 7 3 8 c 1 d 2 a 4 c b b f c 3 b 5 f f 0 8 d e 1 4 f d b 2 3 1 6 f 3 b 1 4 8 8 6 d f e 5 5 0 4 e f a 7 d 2 0 6 7 9 1 b 1 c d e c 6 1 6 e 9 b 1 8 a e 6 f a 1 5 4 8 c a 9 6 a 3 2 1 e c 6 4 6 c 5 7 f 9 a c 5 e 5 6 2 3 0 a 1 7 a e c a 6 5 2 3 a 4 5 3 2 f f 4 7 2 e f 2 6 1 8 d 5 8 b d 5 0 f a 2 3 2 a 1 9 f 9 b c f 3 9 8 3 d 1 e 2 d f f 2 6 6 f 3 8 9 e 1 c 9 7 0 b 2 c a 2 8 1 1 2 a 3 0 a 8 c f e f 1 f 3 9 7 3 f a 8 2 e a 特 有 的 特 有 的 C 2 主 机 名 主 机 名 n e w s . t i b e t g r o u p w o r k s . c o m
w e b . m i c r o s o f t d e f e n c e . c o m a d m i n . n s l o o k u p d n s . c o m j a c k h e x . m d 5 c . n e t w e b s e r v e r . s e r v e h t t p . c o m * 本 文 译 者 f e l i x ， 翻 译 自 ： h t t p s : / / w w w . a r b o r n e t w o r k s . c o m / b l o g / a s e r t / r e c e n t - p o i s o n - i v / ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理