卡巴斯基:专业攻击日本的APT组织“蓝白蚁(blue termite)”新动向


发布人:admin分类:网络安全浏览量:42发布时间:2017-12-12

FreeBuf报道过,今年6月初日本养老金系统被入侵,大约125万份个人信息遭泄,而卡巴斯基报告指出进行攻击的是专门针对日本的APT攻击组织“蓝白蚁(blue termite)”。

背景介绍

2014年10月,卡巴斯基实验室开始了针对“蓝白蚁”APT的研究,尽管这并不是日本第一次遭遇APT的攻击,但是这次旷日持久的攻击还是有两点与众不同的地方。

与其他APT不同,“蓝白蚁”的攻击目标集中于日本。目前他们最为“成功”的攻击活动便是入侵日本养老金系统,造成了125万个人信息泄漏。但除此之外,“蓝白蚁”的攻击目标还包括政府及政府机构、地方政府、公共利益团体、大学、银行、金融服务业、能源、通信、重工业、化学、汽车、电气、新闻媒体、信息服务业、医疗、房地产、食品、半导体、机器人技术、建筑、保险、运输业等等。更为不幸的是,攻击仍在持续中,并且受影响的行业范围一直在扩大中。

图为“蓝白蚁”攻击的日本数百家机构类型分布状况

从图上你可以发现攻击在7月中旬有一个明显的增长(橙色部分)。这是由于“蓝白蚁”采用了新的攻击方式,而本文重点介绍了这种新攻击以及他们的实施细节。

最新感染方式

通常,APT的主要感染方式是通过钓鱼邮件进行的。卡巴斯基实验室发现这个新方式是利用来自Hacking Team泄露事件中曝光的flash漏洞(CVE-2015-5119)exp,让受害者因“被迫下载”而受到感染。

几个日本网站已经因为这种攻击方式而被黑,如图:

攻击者插入一段恶意代码到网站上,指向“faq.html”。“faq.html”的源代码为:

“faq.html”会加载“movie.swf”,这个文件中包含exp。通过这种方式,当用户设备访问时便会被恶意感染。

“movie.swl”的header显示为“ZWS”,也就是说,这是一个用LZMA(Lempel-Ziv-Markov chain-Algorithm)压缩的flash文件。

文件中包含一个数据段,标记为蓝色:

数据包括了12字节的header。经过编码的数据以0x5dca (“\x78\x9c\xec\xb7….”)起始,然后使用zlib压缩。解压缩之后,我们发现一个带“MZ header”的可执行文件。

除了上面展示的数据之外,swf文件中还有ActionScript (AS)的shellcode。

这个shellcode的功能非常简单:它将提取的可执行文件保存到当前临时目录,命名为“rdws.exe”,然后用WinExec()执行它。

 

提取的可执行文件为攻击者使用的一个新的感染向量——“emdivi t17”(后文简称“t17”)。我们发现几种执行rdws.exe的恶意软件,而t17便是其中之一。

卡巴斯基实验室发现了一些“水管攻击”,其中包括一个属于日本政府重要议员的网站。研究者给网站管理者以及受影响站点的ISP发送了一个通知邮件,却没有收到任何回复。但是,就在大约一小时后这段恶意代码就被删除了。下面的代码过滤了大部分IP地址,除了一个是特属于日本政府机构。

有趣的是,该脚本竟然带有变量名为“TEST”的IP信息。研究者怀疑这便是攻击者的测试IP,位于上海。

根据目标而自定义的恶意软件

卡巴斯基实验室检测发现,“emdivi t20”(后文简称“t20”)恶意软件具有根据目标而产生针对性攻击的能力。尽管t17和t20来自同一个emdivi家族,但是后者更为复杂一些。t20通常用于已经感染t17后,而此时t17充当了后门的角色。那现在我们来看看t20是如何利用这些后门的。t17有9种命令,另一个方面,一些t20样本中则有多达40种命令。

下面列出了t17所支持的命令:

以下为t20支持的命令:

两者储存的都是后门指令的md5校验值。

在分析t20的样本时,我们发现它在两个方面具有高度针对性。

首先,一个t20样本中包含硬编码内部代理信息,信息经过加密,位置在0x44e79c:

解密后的代码为"proxy.??????????.co.jp:8080":

这种方法虽然并不新颖,但也没有被广泛应用。这是由于它可能会暴露目标,或者这并不是一个可以通用的方法,并且只有在一个特殊组织中才能运用。然而,相似的案列在其他APT攻击中也有遇到。

另一个方面则十分有趣。emdivi储存了自身的重要数据,其中包括C2、API名称、用来干扰分析的字符串、互斥对象价值、md5校验和以及内部代理信息。这些信息以加密形式储存,并在必要时进行解密。因此,详细分析一个emdivi的实例,我们需要探明加密的十六进制编码,并对其进行破解。在解密的过程中,每个样本都需要一个特殊的解密密钥。

emdivi t20可以用Salt1和Salt2生成一个解密密钥。Salt1来自一个含有四个数字(疑似C2的ID)的“魔字符串”。

下面是一个“魔字符串”的例子:

emdivi的部分命名(”t17“和”t20“)便是来自于这个硬编码的“魔字符串”。

Salt2是通过大量被硬编码的数据生成的:

在大多数情况下,emdivi会用Salt1和Salt2生成一个解密密钥。

然而,在2015年7月初,卡巴斯基实验室发现一个样本通过Salt1、Salt2和Salt3创建了一个解密密钥,Salt3是被感染电脑的安全标识符。

下面是解密密钥生成流程:

换句话说,这个样本只能在它的攻击目标电脑中运行。如果不清楚受害者的SID,那么解密密钥则无法成功生成出来,而解密也就变得十分困难。这也意味着想要详细分析恶意软件是无法实现的。

而幸运的是,我们还能分析这些样本,并从几个没有SID的样本中成功地暴力破解这些解密密钥。

小结

今年6月初,就有新闻指出日本养老金系统因一名员工操作不当,导致系统遭网络攻击,大约125万份个人信息被泄露。各种日本组织开始部署更为严格的保护措施。然而,攻击者“蓝白蚁“组织似乎也一直密切关注着事态的动向,开始使用新的攻击方式并成功地扩大了他们的行动规模。撰写此文时,另一个emdivi t20的样本被发现,它除了SID的把戏之外还运用了AES加密,让针对敏感数据的解密更加困难。为了打击这些网络间谍活动,卡巴实验室将继续这方面的探索。

想获取更多关于“蓝白蚁”APT攻击的信息可以与卡巴斯基实验室联系,联系方式:intelreports@kaspersky.com

*参考来源:securelist,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21450133(PV) 页面执行时间:39.245(MS)
  • xml
  • 网站地图