安基网 欢乐生肖 资讯 安全报 查看内容

新编程语言、新后门...俄黑客组织“奇幻熊”正在变得愈发强大

2019-10-11 11:46| 投稿: |来自:


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 奇幻熊,英文名“Fancy Bear”,也被称为APT28、Sofacy或STRONTIUM,一个至少在2004年就已经开始活跃的俄罗斯黑客组织。网络安全公司ESET于近日发文称,“奇幻熊”在8月20日发起了一起针对东欧、中亚国家使馆和外交 ...
奇幻熊,英文名“Fancy Bear”,也被称为APT28、Sofacy或STRONTIUM,一个至少在2004年就已经开始活跃的俄罗斯黑客组织。

网络安全公司ESET于近日发文称,“奇幻熊”在8月20日发起了一起针对东欧、中亚国家使馆和外交部的新行动。

在这起行动中,“奇幻熊”使用了一种采用Nim语言开发的新型下载程序,以及使用Golang语言重写的Delphi后门新变种。

“毫不低调”的感染链

图1展示了这起行动的完整感染链,从收件人打开恶意电子邮件中的Word文档到新后门的部署。

图1.感染链

感染链整体来说毫无隐蔽性可言,因为在部署最终的有效载荷之前,至少已经有6个恶意组件被释放到了收件人的计算机上,很容易被杀毒软件检测到。

附件中的Word文档不包含任何文字,但链接到一个通过托管在Dropbox的模板“wordData.dotm”。

在Word中打开此文档,将导致wordData.dotm被下载,如图2所示。

图2.远程模板“wordData.dotm”被下载

毫无疑问,wordData。dotm包含恶意宏以及一个ZIP压缩文件,而恶意宏的作用就是从这个压缩文件中提取文件,lmss。doc就是其中之一。

图3. lmss.doc的创建和最后修改日期

lmss.doc是另一个包含恶意宏的Word文档,负责执行同样从压缩文件中提取出来的lmss.exe可执行文件(即采用Nim语言开发的新型下载程序)。

此外,lmss.doc还包含一个base64编码的可执行文件。分析表明,这个可执行文件实际上是一个采用AutoIt语言开发的下载程序(SHA-1:6b300486d17d07a02365d32b673cd6638bd384f3),曾在“奇幻熊”此前的行动中被使用过。

新型Nim下载程序

虽然新型Nim下载程序只具备简单的功能——下载和执行,但也具有一些反沙箱技巧。例如,它会检查执行文件的第一个字母是否已更改。

图4。文件名检查

此外,它还对下载链接字符串进行了混淆处理,从而给静态分析带来了麻烦。

图5。去混淆后的字符串

Nim下载程序被用于下载一个名为“ospsvc.dll”的文件,并通过regsvr32 /s将它作为服务运行。

分析表明,ospsvc.dll是一个采用Golang语言编写的下载器,它的函数main_init()包含大量已初始化的库函数。

图6.函数main_init()包含的库函数

除下载下一阶段的有效载荷外,进行桌面屏幕截图以及执行来自C2服务器的命令,也是ospsvc.dll的会进行的操作。

在ospsvc。dll执行的前几分钟里,它会每35秒进行一次屏幕截图,然后将它们以base64编码的形式上传到C2服务器。

根据ESET公司的分析,ospsvc.dll已被用于执行三种不同的恶意软件:Zebrocy木马、Delphi后门,以及在文章最开始提到的Golang新后门。

采用Golang语言重写的新后门

如上所述,新后门是采用Golang重写的,新增的内容包括AES算法、十六进制编码和屏幕截图功能。

不过,新后门仍保留了Delphi后门的大多数功能,例如:

  • 创建、修改或删除文件
  • 屏幕截图
  • 驱动器枚举
  • 命令执行(通过cmd.exe)
  • 在WindowsSoftwareOSDebug下调度一个任务

结论

新行动,说明“奇幻熊”黑客组织仍在保持活跃;新型下载程序、新的编程语言、新的后门,说明“奇幻熊”黑客组织不仅仍在保持活跃,而且一直在更新升级他们的“武器”。

选择使用新的编程语言来重写旧的恶意软件,不得不说是一个明智之举,因为如此一来,并不需要改变整个TTP(战术、技术和程序),就能够轻松逃过杀毒软件的检测,发起有效的攻击。



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/i6740844265816998414/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

相关阅读

最新评论

 最新
返回顶部
贵州快3走势 吉林快3开奖 山东群英会直播 广西快3走势 任我赢机器人 极速PK拾 河北11选5 湖南快乐十分官网 飞速赛车平台 欢乐生肖