APT-C-12最新攻擊樣本及C&C機制的實例分析，很多新手對此不是很清楚，為了幫助大家解決這個難題，下面小編將為大家詳細講解，有這方面需求的人可以來學習下，希望你能有所收獲。

網(wǎng)站建設哪家好，找成都創(chuàng)新互聯(lián)公司！專注于網(wǎng)頁設計、網(wǎng)站建設、微信開發(fā)、微信小程序定制開發(fā)、集團企業(yè)網(wǎng)站建設等服務項目。為回饋新老客戶創(chuàng)新互聯(lián)還提供了平陰免費建站歡迎大家使用！

背景

繼360公司披露了藍寶菇(APT-C-12)攻擊組織的相關(guān)背景以及更多針對性攻擊技術(shù)細節(jié)后，360威脅情報中心近期又監(jiān)測到該組織實施的新的攻擊活動，本文章是對其相關(guān)技術(shù)細節(jié)的詳細分析。

樣本分析

誘餌文件

在APT-C-12組織近期的攻擊活動中，其使用了偽裝成"中國輕工業(yè)聯(lián)合會投資現(xiàn)況與合作意向簡介"的誘導文件，結(jié)合該組織過去的攻擊手法，該誘餌文件會隨魚叉郵件進行投遞。

如下圖所示該誘餌文件偽裝成文件夾的圖標，執(zhí)行后會打開包含有誘餌文檔和圖片的文件夾，而此時實際的惡意載荷已經(jīng)在后臺執(zhí)行。

當該誘餌文件運行時，其會解密釋放4個文件，其中兩個為上述的誘導文檔和圖片，另外為兩個惡意的tmp文件。

釋放的惡意tmp文件路徑為：

%temp%\unicode32.tmp

%appdata%\WinRAR\update.tmp

最后通過LoadLibraryW加載釋放的unicode32.tmp文件。

unicode32.tmp

unicode32.tmp為一個loader，其主要用于加載update.tmp，如下圖所示其通過rundll32.exe加載update.tmp，并調(diào)用其導出函數(shù)jj。

當加載了update.tmp后，會刪除裝載exe程序文件和自身。

update.tmp

該文件為一個DLL,并有一個名為jj的導出函數(shù)。

其首先會對目標主機進行信息收集。

獲取系統(tǒng)版本信息：

調(diào)用CreateToolhelp32Snapshot獲取系統(tǒng)進程信息：

調(diào)用GetAdaptersInfo獲取網(wǎng)卡MAC地址：

判斷當前系統(tǒng)環(huán)境是32位或64位：

通過注冊表獲取已安裝的程序信息，獲取的安裝程序信息加上前綴”ISL”格式化：

通過注冊表獲取DisplayName和DisplayVersion的信息，并將DisplayName 和DisplayVersion格式化為”%s”:{“ND”:”%s”,”DV”:”%s”}。

信息收集后會首先向遠程控制服務器發(fā)送上線信息。

獲取tmp目錄, 創(chuàng)建AdobeNW目錄,并從控制服務器上下載AdobeUpdate.tmp作為第二階段的載荷，其實際為一個DLL文件。

最終調(diào)用rundll32啟動DLL文件的導出函數(shù)MainFun，如果進程創(chuàng)建成功給服務器返回信息。

AdobeUpdate.tmp

AdobeUpdate.tmp為DLL文件，其導出方法MainFun由第一階段木馬DLL調(diào)用執(zhí)行。

其首先遍歷%USERPROFILE%\AppData路徑下tmp后綴文件，并刪除。

然后從文件自身尾部讀取配置信息并解密，其格式如下：

加密的配置信息，包括標識ID，控制服務器地址，加密IV和KEY，以及Mutex信息；

4字節(jié)加密配置信息長度；

17字節(jié)解密密鑰；

例如上圖所示的解密配置文件的KEY為sobcsnkciatwiffi，其解密算法如下：

解密之后的配置文件如下所示：

查詢HKEY_CURRENT_USER下的MyApp注冊表查看是否有FirstExec, 通過字符串”no”來判斷該DLL是否是第一次執(zhí)行。

若DLL不為首次執(zhí)行，則輪詢獲取控制服務器命令，否則遍歷磁盤C：到F：中的文檔文件信息，并保存在temp文件夾下的list_tmp.txt中。

其中查找的文檔類型包括.ppt .pptx .pdf.xls .xlsx .doc .docx .txt .wps .rtf的文檔，將文檔文件路徑、創(chuàng)建時間以及文件大小信息進行保存。

下圖為示例的寫入數(shù)據(jù)格式(文件路徑 創(chuàng)建時間文件大小)：

并將list_tmp.txt進行aes加密后上傳到控制服務器：

接著設置注冊表FirstExec標志：

AdobeUpdate.dll木馬實現(xiàn)了豐富的命令控制指令，其通過訪問控制域名獲取包含有控制命令的文件，并在本地解密解析后執(zhí)行。

其指令以***和對應指令數(shù)字組成，以下為控制指令功能列表：

***1	執(zhí)行cmd命令
***2	更新AppName配置
***3	文件上傳
***4	文件下載
***5	更新控制域名
***7	上傳文檔文件列表信息
***8	執(zhí)行dll文件或exe
***9	文件刪除
***10	指定文件列表信息上傳
***11	保留

控制基礎設施

APT-C-12組織近期活動中使用的惡意代碼利用了applinzi.com域名下的二級域名作為控制域名，該域名為Sina App Engine的云服務托管。

我們測試注冊了SAE的賬戶，其默認創(chuàng)建應用可以免費使用十多天，并支持多種開發(fā)語言的環(huán)境部署。

我們嘗試對其控制服務器進行連接，但其后臺處理程序已經(jīng)出錯，通過返回的錯誤信息我們可以發(fā)現(xiàn)該組織使用Python部署的后臺應用，并使用了flask作為其Web服務實現(xiàn)。

SAE控制協(xié)議

該組織針對SAE的部署應用實現(xiàn)了一套訪問協(xié)議，其分為put，info，get，del四個功能。

其中put用于上傳文件：

get用于獲取文件：

info用于獲取信息：

del用于刪除文件：

繼360威脅情報中心發(fā)現(xiàn)該組織利用Digital Ocean云服務作為命令控制和回傳通信渠道以后，我們又發(fā)現(xiàn)該組織使用國內(nèi)的云服務SAE構(gòu)建其控制回傳基礎設施，利用這種方式一定程度上減少了攻擊利用的成本，也增加了分析回溯的難度。

看完上述內(nèi)容是否對您有幫助呢？如果還想對相關(guān)知識有進一步的了解或閱讀更多相關(guān)文章，請關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道，感謝您對創(chuàng)新互聯(lián)的支持。

分享標題：APT-C-12最新攻擊樣本及C&C機制的實例分析
網(wǎng)頁路徑：http://chinadenli.net/article12/pgpgdc.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供關(guān)鍵詞優(yōu)化、網(wǎng)頁設計公司、、定制網(wǎng)站、建站公司、定制開發(fā)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)