警惕假装成“企业网络安全数门”的网络攻击活动

颁布功夫 2022-06-17

一、背 景


从2022年4月起头 ，888集团ADLab追踪到多起假装为我国企业网络安全数门的网络攻击 ，这些攻击大部门被冠以“垂危”之名 ，通过伪造各类政企内部需急剧处置的沉要事务如：“【垂危】Windows-MS驱动缝隙补丁措施”、“【垂危】办公网络联通性测试”、“关于发展终端加固的通知”、“缝隙自查及安全补丁更新”、“关于发展WPS Office幼我办公软件代码执行缝隙排查的通知”等主题的垂钓攻击 ，攻击指标涉及到我国金融机构、交通部门、通讯公司、手机厂商等企业。这一系列的攻击中 ，一些攻击看起来与某些红队的先期窥伺和踩点攻击行动有关 ，并非真实的在野攻击 ，但依然值得有关企业提高警惕度。


在此类攻击活动中 ，攻击者的攻击手法根基一致地选取了加密压缩文件包作为攻击载荷 ，这种带有密码的压缩附件可能很好匹敌邮件安全网关、入侵检测系统、文件沙箱等安整系统的检测。攻击者将带有木马的附件加密压缩 ，并在邮件内容中提供解压密码 ，用户必要手动输入密码解压能力得到需执行的文件 ，因而这类邮件的检测报毒率极低。同时 ，相较于广撒网式的通常垂钓攻击 ，该系列攻击精准攻击特定人员 ，主题内容高度仿真且蛊惑性极强（政企内部需处置的热点缝隙事务或敏感话题）。又充分利用人道的弱点 ，以“垂危”之名给用户造作紧迫感 ，从而增长攻击的成功率。一旦用户“急中生错”失慎中招 ，就会成为攻击者入侵内部系统的一个突破口。这批攻击中重要以植入CobaltStrike木马为主 ，并通过云函数的方式回连C&C实现隐匿通讯以匹敌流量分析和溯源 ，这也是近期这批垂钓攻击活动中一个显著的共性特点。我们知路 ，CobaltStrike木马具备壮大的远控窃密、内网渗入、横向移动等能力。企业网络一旦被黑客成功攻击 ，其内部涉及到的关键信息系统可能面对极大的安全风险。此表 ，由于邻近“护网行动” ，还存在一些黑客组织利用这段功夫混入其中对一些沉要的企业和部门进行攻击 ，试图混合视听。

本文将对近期针对我国政企行业的部门网络垂钓攻击活动进行追踪和分析 ，蕴含攻击手法、暗藏伎俩、匹敌方式等技术特点和共性特点 ，并以其中一个典型攻击案例进行具体分析。此表 ，本文不再对这次攻击木马做具体的技术分析 ，具体技术分析见我们此前的专题分析文章《渗入利器Cobalt Strike在野利用情况专题分析》 ，该文中针对CobaltStrike木马做了深刻全面的分析和钻研。


二、攻击活动分析


2.1 垂钓邮件


本次发现的攻击根基都以精心机关的邮件垂钓攻击为主 ，攻击大局多样 ，例如假装成企业网络安全数门或信息治理中心向员工发送缝隙排查通知、终端加固通知、缝隙补丁措施、办公网络联通测试等垂危工作事项。有关垂钓邮件示例如下所示：


垂钓邮件一：假装成某金融机构信息安全与风险治理处向员工发送缝隙排查通知


图1.png

图1 缝隙排查通知邮件


图2.png

图2 附件内容


垂钓邮件二：假装成某通讯公司安全数向员工发送终端加固通知


图3.png

图3 终端加固通知邮件


图4.png

图4 附件内容


垂钓邮件三：假装成某交通部门的安全技术部给员工发送缝隙补丁通知


图5.png

图5 缝隙补丁措施邮件


图6.png

图6 附件内容


垂钓邮件四：假装成某金融机构安全技术部给员工发送安全补丁更新


图7.png

图7 安全补丁更新邮件


垂钓邮件五：假装成某企业信息中心向员工发送办公网络联通性测试


图8.png


图8 办公网络联通性测试邮件



从这批邮件的攻击手法来看 ，重要有以下特点：一是针对性强 ，指标均为政企行业内部人员；二是仿真度高 ，通常假装成政企的网络安全数门、信息中心等IT主题部门 ，利用政企内部需处置的热点缝隙事务或敏感话题执行垂钓；三是隐匿性好 ，通常选取加密压缩文件包的大局匹敌邮件安全网关、入侵检测系统、文件沙箱等防护系统 ，绕过其针对邮件附件的检测 ，有关邮件在安全沙箱的检测报毒率极低 ，能够达到很好的免杀成效。部门邮件报毒情况如下图所示：

图9.png


图9 邮件报毒情况



邮件附件解压后的文件重要以可执行文件exe为主 ，不外由于假装的文件自身属于安全补丁、缝隙检测等可执行法式 ，加之攻击者通�；峒僮胺ㄊ降耐急� ，因而用户往往难以分辨真伪。我们也对近期使用类似手法进行垂钓的exe文件进行了监测 ，部门垂钓类exe文件如下所示：



表1 垂钓类exe文件


表1.png


以上所列只是黑客攻击的“冰山一角” ，这一系列的垂钓攻击还有好多 ，涉及的攻击钓饵除安全补丁类之表 ，还蕴含举报资料、求职简历、问题征询、红蓝匹敌谍报、疫情分散演练打算等等多种大局 ，其中部门攻击载荷应该属于护网行动的攻击测试。这些恶意法式可能通过邮件、下载站、USB设备、社交软件等多种方式投递给指标用户以执行垂钓活动 ，必要引起有关政企人员的高度警惕。



2.2 攻击案例分析


在本次工作中 ，888集团ADLab捕获到数封以“补丁” ，“更新”等为钓饵内容攻击我国企业的邮件。经过对捕获到的邮件进行深刻的分析和关联 ，我们发现这些活动的攻击手法大体类似 ，使用加载器加载CS木马的shellcode ，从而执行后续的黑客攻击。下面将以其中一封攻击我国公共设施的邮件发展分析。


图10.png

图10 本次攻击流程图


在这次攻击中 ，攻击者假装为某交通部门的安全技术部工作人员 ，向集团公司内部员工发送以《【垂危】Windows-MS驱动缝隙补丁措施》为主题带有恶意攻击载荷的垂钓邮件。


图11.png

图11 垂钓邮件详情


垂钓邮件附件为被加密的“IE11-Mfc补丁压缩包.zip”压缩包 ，受害者通过邮件内容中提供的密码进行解压 ，可能得到两个文件。其中一个是名为“IE11-Mfc.exe”的恶意文件 ，另一个是使用注明。使用注明的内容将诱导受害者使用治理员权限运行恶意文件 ，使恶意木马即便不通过提权操作 ，也能等闲在治理员权限中运行。并且攻击者使用加密附件的方式 ，将解密密码留在邮件内容中 ，可能有效地躲避杀软的检测 ，这将大大提高攻击者攻击成功的可能性。


图12.png


图12 压缩包内容


图13.png

图13 邮件报毒情况


当恶意文件“IE11-Mfc.exe”在治理员权限中运行 ，首先会解密函数名称字符串并通过动态获取函数的方式来获取关键函数的地址。攻击者使用这种方式获取关键函数 ，更能有效躲避杀软对敏感函数的查抄 ，以便提高攻击的成功概率。


图14.png

图14 动态获取函数


成功获取到关键函数后 ，恶意木马会将数据段中硬编码的数据使用BASE64算法解码。攻击者在恶意木马中大量使用了代码膨胀技术 ，从而将法式的节造流复杂化 ，以加大分析人员分析的难度。例如 ，在BASE64算法中参与了很多前提判断来扭转法式节造流。


图15.png

图15 BASE64 算法


随后 ，恶意木马使用变形的TEA算法对BASE64解码后的数据进行解密从而得到后续攻击的shellcode并执行 ，其中解码后的数据前16个字节为变形TEA算法的密钥 ，渣滓字节为shellcode的密文。


图16.png

图16 硬编码数据


值得一提的是 ，为了预防分析人员在分析的过程中鉴别出TEA算法中常用的Delta值： 0×9E3779B9 ，攻击者还将该值取反为0x61C88647。


图17.png

图17 变形的TEA解密算法


经过度析 ，发现该恶意shellcode实则为CS的stager shellcode ，恶意木马将使用该shellcode从黑客服务器中下载运行CS木马 ，发展后续的黑客攻击。一旦受害者依照使用注明运行恶意文件 ，受害者的电脑将被攻击者使用CS木马等闲掌控 ，执行横向移动 ，机密文件窃取等恶意行为。


图18.png

图18 解密后的CS stager shellcode


关于CS木马 ，我们曾在《渗入利器Cobalt Strike在野利用情况专题分析》一文中进行过具体的分析。CS全称Cobalt Strike,是一款基于Java编写的全平台多方协同后渗入攻击框架 ，其支持多种通讯和谈 ，蕴含http、https、dns、smb等 ，同时集成了提权、痛处导出、端口转发、端口扫描、横向移动、Socks代理、垂钓攻击等职能 ，且支持丰硕的扩大插件 ，险些能够覆盖APT攻击链所需的各个技术环节。木马天生方面也涵盖了大无数的平台和攻击场景 ，蕴含PE木马、ELF木马、网页木马、Office宏病毒木马等 ，木马职能及指令详见附录所示。在该文中 ，我们曾提到多种CS隐匿流量的方式 ，蕴含域名仿造、CDN ，流量假装等。而在本次攻击中 ，攻击者则是利用云函数来隐匿流量。云函数 ，顾名思义就是云服务器上的函数 ，是将代码运行在云服务器上的一种步骤。通常 ，攻击者会在云服务器上增长CS流量转发的函数 ，蕴含处置http-get要求、http-post要求以及用于下载后续CS木马的http-stager要求 ，即可有效隐匿CS流量。在本次攻击的样本中 ，则是向service-gk8t2t63-1308736846[.]bj[.]apigw[.]****[.]com/bootstrap-2.min.js要求下载下一阶段的CS木马 ，从而执行后续的恶意行动。


图19.png

图19 从云服务器高低载后续的shellcode


图20.png

图20 云函数流程


888集团ADLab安全钻研人员通过持久追踪 ，采集和分析了大量的关联CS木马样本 ，发此刻CS中使用云函数隐匿流量是近年来较为常见的一种步骤。这是由于相较于其他隐匿流量步骤的不及 ，如：域前置必要厂商CDN职能验证缺点、CDN技术必要创建域名从而增长露出的风险 ，使用免费的云函数隐匿流量更具方便性。攻击者仅需采办云服务器并在云厂商提供的职能面板中配置用于转发CS流量的云函数 ，即可实现CS流量的隐匿。而分析人员在分析后门的过程中 ，只能追忆出攻击者使用的云函数服务器域名和ip。并且由于云函数服务器通常是自带CDN服务 ，使得分析人员将更难找出攻击者真实的C2服务器。由此可见 ，使用云函数隐匿CS流量无疑大大提高攻击者在攻击过程中的方便性。在本次发现的数封邮件中 ，大部门CS样本也同样使用云函数隐匿流量 ，部门样本如下表：


表2 样本详情

表2.png


三、总 结


本文披露了近期针对我国企业的多起网络攻击活动 ，涉及到我国金融机构、交通部门、通讯公司、手机厂商等企业。政企行业中 ，尤其是涉及到关键信息基础设施的部门 ，对国度安全、经济安全、社会不变、公家健康和安全至关沉要 ，一旦遭到网络攻击可能给社会带来巨大的风险。从攻击手法来看 ，这批攻击大多是以常见的垂钓邮件为攻击入口 ，辅以高度仿真且蛊惑性极强的钓饵内容进行垂钓 ，并通过加密压缩附件的大局来匹敌邮件安全检测。投递木马重要为CobaltStrike ，且大量样本是通过云函数来隐匿通讯流量 ，以匹敌溯源追踪和安全分析。类似的云服务利用可能是把利弊兼具的双刃剑 ，若何更好地服务公家 ，又能预防合法利用被恶意活动滥用 ，还必要有关企业引起更多的关注。


鱼叉式垂钓拥有定造化、精准化的个性 ，且拥有很强的蛊惑性 ，一旦企业内部存在安全意识幽微的员工失慎点击了垂钓邮件 ，就可能会对企业带来严沉的后果。黑客能够将窃取到的敏感信息和沉要文件转售投机 ，或者利用这些信息做更进一步的攻击。除此之表 ，攻击者还能够使用鱼叉式垂钓攻击部署恶意软件来劫持推算机 ，将指标推算机地点的网络造成可用于DoS攻击的重大僵尸网络或者投掷勒索病毒执行经济勒索 ，给企业造成不成估计的损失。建议企事业单元不定期为员工进行安全教育培训 ，提升员工的安全防备意识。务必把稳不要轻易打开未知起源的电子邮件 ，出格是带有附件的电子邮件。如有必要 ，可通过打开office文档中的：文件-选项-信赖中心-信赖中心设置-宏设置 ，来禁用所有宏代码执行。并做好邮件系统的防护工作 ，督促员工实时更新系统和office利用补丁。若是发现系统或服务器出现异常 ，该当实时汇报并请专业人员进行排查 ，以解除安全隐患。


附录：

CS beacon号令列表

附录