建站
咨詢
售后
建站咨詢
新聞中心
10月24日到25日期間,我們檢測到兩起來自”admin@338”(根據(jù)攻擊的特征,給攻擊者起的代號(hào))的魚叉式網(wǎng)絡(luò)釣魚攻擊.攻擊目標(biāo)針對多個(gè)組織,而且意圖非常明顯,是為了獲取國際貿(mào)易,金融,經(jīng)濟(jì)政策等方面的資料.這兩起攻擊使用了不同的惡意軟件并且表現(xiàn)出了快速調(diào)整技術(shù),策略,流程(TTPs)的能力.
成都創(chuàng)新互聯(lián)是一家專注于成都做網(wǎng)站、網(wǎng)站制作與策劃設(shè)計(jì),龍湖網(wǎng)站建設(shè)哪家好?成都創(chuàng)新互聯(lián)做網(wǎng)站,專注于網(wǎng)站建設(shè)十載,網(wǎng)設(shè)計(jì)領(lǐng)域的專業(yè)建站公司;建站業(yè)務(wù)涵蓋:龍湖等地區(qū)。龍湖做網(wǎng)站價(jià)格咨詢:028-86922220
使用投資者指南和聯(lián)系人列表作為誘餌
2013年10月25日.星期五.檢測到對下列目標(biāo)的攻擊:
西歐中心銀行 一個(gè)國際貿(mào)易,經(jīng)濟(jì),金融政策領(lǐng)域的組織機(jī)構(gòu) 一個(gè)美國的智囊團(tuán) 遠(yuǎn)東一個(gè)國家的政府部門
釣魚郵件如下圖所示,惡意的word文檔利用了CVE-2012-0158漏洞
Word文檔的屬性:
文件名:Investor Relations Contacts.doc
MD5: 875767086897e90fb47a021b45e161b2
當(dāng)打開這個(gè)Word的時(shí)候會(huì)寫一個(gè)可執(zhí)行文件到C:\Windows\wmiserver.exe.然后運(yùn)行這個(gè)程序,這是一個(gè)Bozok遠(yuǎn)控的變
種.它連接的CnC服務(wù)器是microsoft.mrbasic.com和www.microsoft.mrbasic.com.使用的連接密碼是“wwwst@Admin”.我們發(fā)現(xiàn)10月26日的時(shí)候兩個(gè)域名解析到了58.64.153.157.
Bozok遠(yuǎn)控的能力
Bozok跟其他流行的遠(yuǎn)控一樣,可以從網(wǎng)上自由的下載到.Bozok的作者綽號(hào)叫”Slayer616”,他還有一款叫Schwarze sonne(簡稱SS-RAT)也非常有名.這兩款遠(yuǎn)控在互聯(lián)網(wǎng)上很容易就可以找到,在之前的攻擊中也被廣泛使用.
跟SS-RAT不一樣,Bozok依然在維護(hù)中,10月份剛更新了兩個(gè)版本,修復(fù)了一些bug,增加了對西班牙語,阿拉伯語,保加利亞語,波蘭語和法語的支持.如下圖所示,比較方便易用.
一旦計(jì)算機(jī)被Bozok感染,攻擊者就可以做很多未授權(quán)的事情:
下載被感染計(jì)算機(jī)的文件或上傳文件 啟動(dòng)終止進(jìn)程 修改注冊表 抓取系統(tǒng)上保存的密碼
還可以通過圖形界面執(zhí)行任意命令.
攻擊者還可以上傳一個(gè)DLL插件來擴(kuò)展Bozok的功能,包括開啟攝像頭,記錄鍵盤操作,查看控制屏幕等.
Bozok在可執(zhí)行文件的資源段保存了配置參數(shù).這次攻擊中獲取到的Bozok變種配置參數(shù)如下:
ID = aubok Mutex = 801JsYqFulHpg Filename = wmiserver.exe Startup Entry Name = wmiupdate Plugin filename = ext.dat Connection password = wwwst@Admin Connection port = 80 Connection servers = www.microsoft.mrbasic.com, microsoft.mrbasic.com
在感染的時(shí)候,Bozok發(fā)出的初始化網(wǎng)絡(luò)流量如下圖:
從抓包中分析除了遠(yuǎn)控的連接密碼為”wwwst@Admin”
確認(rèn)攻擊源頭
我們認(rèn)為這次攻擊來自于”admin@338”,關(guān)于這個(gè)攻擊者的特征,在?Assessing Damage and Extracting
Intelligence?的報(bào)告中有詳細(xì)的描述.admin@338在之前的攻擊中也使用過”wwwst@Admin”作為密碼.
此外,這次攻擊中CnC服務(wù)器的IP是58.64.153.157.很多跟admin@338有關(guān)的CnC域名也都指向了這個(gè)IP.在10月27日,我們觀察到已知的,指向這個(gè)ip的域名有:
consilium.dnset.com consilium.dynssl.com consilium.proxydns.com dnscache.lookin.at ecnet.rr.nu european.athersite.com hq.dsmtp.com hq.dynssl.com ipsecupdate.byinter.net itagov.byinter.net microsoft.acmetoy.com microsoft.dhcp.biz microsoft.dynssl.com microsoft.ftpserver.biz microsoft.instanthq.com microsoft.isasecret.com microsoft.lookin.at microsoft.proxydns.com microsoft.wikaba.com microsofta.byinter.net microsoftb.byinter.net phpdns.myredirect.us sslupdate.byinter.net svchost.lookin.at svchost.passas.us teamware.rr.nu webserver.dynssl.com webserver.fartit.com webserver.freetcp.com www.consilium.dnset.com www.consilium.dynssl.com www.consilium.proxydns.com www.hq.dsmtp.com www.hq.dynssl.com www.microsoft.acmetoy.com www.microsoft.dhcp.biz www.microsoft.dsmtp.com www.microsoft.dynssl.com www.microsoft.instanthq.com www.microsoft.isasecret.com www.microsoft.proxydns.com www.microsoft.wikaba.com www.svchost.ddns.info www.svchost.dyndns.pro www.svchost.dynssl.com www.verizon.dynssl.com www.verizon.itemdb.com www.verizon.proxydns.com www.webserver.dynssl.com www.webserver.fartit.com www.webserver.freetcp.com
我們之前檢測到admin@338在1月6日的攻擊中也使用了Bozok,在那次攻擊中,他使用郵件發(fā)送了一個(gè)惡意
的”EcoMissionList.xls”的表格.攻擊的目標(biāo)跟這次一樣,也是貿(mào)易,經(jīng)濟(jì),金融政策等領(lǐng)域的組織機(jī)構(gòu).使用的CnC服務(wù)器是www.microsoftupdate.dynssl.com,密碼是”gwxpass”.
亞太地區(qū)投資人聯(lián)系方式誘餌
我們分析最近用投資人聯(lián)系方式做誘餌的Bozok樣本,發(fā)現(xiàn)在10月24日有一起相似的攻擊.就在這次攻擊的前一天.攻擊者使用了同樣的方式給同一個(gè)美國智囊團(tuán)發(fā)送了釣魚郵件.
惡意的Word文檔名為:Investor Relations Contacts-AsiaPacific.doc.釋放一個(gè)svchost.exe(C:\Documents and Settings\admin\Application Data\svchost.exe).我們把這個(gè)文件歸類為Backdoor.APT.FakeWinHTTPHelper.連接的CnC服務(wù)器為www.dpmc.dynssl.com和www.dataupdate.dynssl.com.
www.dpmc.dynssl.com和www.dataupdate.dynssl.com分別在10月24日和21日解析到了58.64.153.157.
結(jié)論
這一系列連續(xù)的事件,從24日的Backdoor.APT.FakeWinHTTPHelper到25日的Bozok反映了admin@338具有
快速調(diào)整技術(shù),策略和流程(TTPs)的能力.而且,admin@338把公開獲取到的遠(yuǎn)控(Poison Ivy,Bozok)和自己編寫的遠(yuǎn)控(Backdoor.APT.FakeWinHTTPHelper)都整合進(jìn)了自己的兵器庫.
本文題目：了解你的對手：追蹤快速響應(yīng)的APT攻擊
分享鏈接：http://fisionsoft.com.cn/article/ccshcpj.html
