警惕假装成“企业网络安全数门”的网络攻击活动

颁布功夫 2022-06-17

一、、背 景


从2022年4月起头， ，OG东方厅ADLab追踪到多起假装为我国企业网络安全数门的网络攻击， ，这些攻击大部门被冠以“垂危”之名， ，通过伪造各类政企内部需急剧处置的重要事务如：：“【垂危】Windows-MS驱动缝隙补丁措施”、、“【垂危】办公网络联通性测试”、、“关于发展终端加固的通知”、、“缝隙自查及安全补丁更新”、、“关于发展WPS Office小我办公软件代码执行缝隙排查的通知”等主题的垂钓攻击， ，攻击指标涉及到我国金融机构、、交通部门、、通讯公司、、手机厂商等企业�！ ！！Ｕ庖幌盗械墓セ髦�， ，一些攻击看起来与某些红队的先期窥伺和踩点攻击行动有关， ，并非真实的在野攻击， ，但依然值得有关企业提高警惕度�！ ！！�


在此类攻击活动中， ，攻击者的攻击手法根基一致地选取了加密压缩文件包作为攻击载荷， ，这种带有密码的压缩附件可能很好匹敌邮件安全网关、、入侵检测系统、、文件沙箱等安整系统的检测�！ ！！９セ髡呓心韭淼母郊用苎顾�， ，并在邮件内容中提供解压密码， ，用户必要手动输入密码解压能力得到需执行的文件， ，因而这类邮件的检测报毒率极低�！ ！！Ｍ�， ，相较于广撒网式的通常垂钓攻击， ，该系列攻击精准攻击特定人员， ，主题内容高度仿真且蛊惑性极强（政企内部需处置的热点缝隙事务或敏感话题）�！ ！！Ｓ殖浞掷萌说赖娜醯�， ，以“垂危”之名给用户制作紧迫感， ，从而增长攻击的成功率�！ ！！Ｒ坏┯没А凹敝猩怼笔髦姓�， ，就会成为攻击者入侵内部系统的一个突破口�！ ！！Ｕ馀セ髦兄匾灾踩隒obaltStrike木马为主， ，并通过云函数的方式回连C&C实现隐匿通讯以匹敌流量分析和溯源， ，这也是近期这批垂钓攻击活动中一个显著的共性特点�！ ！！Ｎ颐侵�， ，CobaltStrike木马具备壮大的远控窃密、、内网渗入、、横向移动等能力�！ ！！Ｆ笠低缫坏┍缓诳统晒セ�， ，其内部涉及到的关键信息系统可能面对极大的安全风险�！ ！！４送�， ，由于邻近“护网行动”， ，还存在一些黑客组织利用这段功夫混入其中对一些重要的企业和部门进行攻击， ，试图混合视听�！ ！！�

本文将对近期针对我国政企行业的部门网络垂钓攻击活动进行追踪和分析， ，蕴含攻击手法、、暗藏伎俩、、匹敌方式等技术特点和共性特点， ，并以其中一个典型攻击案例进行具体分析�！ ！！４送�， ，本文不再对这次攻击木马做具体的技术分析， ，具体技术分析见我们此前的专题分析文章《渗入利器Cobalt Strike在野利用情况专题分析》， ，该文中针对CobaltStrike木马做了深刻全面的分析和钻研�！ ！！�


二、、攻击活动分析


2.1 垂钓邮件


本次发现的攻击根基都以精心机关的邮件垂钓攻击为主， ，攻击大局多样， ，例如假装成企业网络安全数门或信息治理中心向员工发送缝隙排查通知、、终端加固通知、、缝隙补丁措施、、办公网络联通测试等垂危工作事项�！ ！！Ｓ泄卮沟鲇始纠缦滤�：：


垂钓邮件一：：假装成某金融机构信息安全与风险治理处向员工发送缝隙排查通知


图1.png

图1 缝隙排查通知邮件


图2.png

图2 附件内容


垂钓邮件二：：假装成某通讯公司安全数向员工发送终端加固通知


图3.png

图3 终端加固通知邮件


图4.png

图4 附件内容


垂钓邮件三：：假装成某交通部门的安全技术部给员工发送缝隙补丁通知


图5.png

图5 缝隙补丁措施邮件


图6.png

图6 附件内容


垂钓邮件四：：假装成某金融机构安全技术部给员工发送安全补丁更新


图7.png

图7 安全补丁更新邮件


垂钓邮件五：：假装成某企业信息中心向员工发送办公网络联通性测试


图8.png


图8 办公网络联通性测试邮件



从这批邮件的攻击手法来看， ，重要有以下特点：：一是针对性强， ，指标均为政企行业内部人员 ；；；二是仿真度高， ，通常假装成政企的网络安全数门、、信息中心等IT主题部门， ，利用政企内部需处置的热点缝隙事务或敏感话题执行垂钓 ；；；三是隐匿性好， ，通常选取加密压缩文件包的大局匹敌邮件安全网关、、入侵检测系统、、文件沙箱等防护系统， ，绕过其针对邮件附件的检测， ，有关邮件在安全沙箱的检测报毒率极低， ，能够达到很好的免杀成效�！ ！！２棵庞始ǘ厩榭鋈缦峦妓�：：

图9.png


图9 邮件报毒情况



邮件附件解压后的文件重要以可执行文件exe为主， ，不外由于假装的文件自身属于安全补丁、、缝隙检测等可执行法式， ，加之攻击者通� ；；；峒僮胺ㄊ降耐急�， ，因而用户往往难以分辨真伪�！ ！！Ｎ颐且捕越谑褂美嗨剖址ń写沟龅膃xe文件进行了监测， ，部门垂钓类exe文件如下所示：：



表1 垂钓类exe文件


表1.png


以上所列只是黑客攻击的“冰山一角”， ，这一系列的垂钓攻击还有好多， ，涉及的攻击钓饵除安全补丁类之外， ，还蕴含举报资料、、求职简历、、问题征询、、红蓝匹敌谍报、、疫情分散演练打算等等多种大局， ，其中部门攻击载荷应该属于护网行动的攻击测试�！ ！！Ｕ庑┒褚夥ㄊ娇赡芡ü始�、、下载站、、USB设备、、社交软件等多种方式投递给指标用户以执行垂钓活动， ，必要引起有关政企人员的高度警惕�！ ！！�



2.2 攻击案例分析


在本次工作中， ，OG东方厅ADLab捕获到数封以“补丁”， ，“更新”等为钓饵内容攻击我国企业的邮件�！ ！！＞圆痘竦降挠始猩羁痰姆治龊凸亓�， ，我们发现这些活动的攻击手法大体类似， ，使用加载器加载CS木马的shellcode， ，从而执行后续的黑客攻击�！ ！！Ｏ旅娼云渲幸环夤セ魑夜采枋┑挠始⒄狗治觥！ ！！�


图10.png

图10 本次攻击流程图


在这次攻击中， ，攻击者假装为某交通部门的安全技术部工作人员， ，向集团公司内部员工发送以《【垂危】Windows-MS驱动缝隙补丁措施》为主题带有恶意攻击载荷的垂钓邮件�！ ！！�


图11.png

图11 垂钓邮件详情


垂钓邮件附件为被加密的“IE11-Mfc补丁压缩包.zip”压缩包， ，受害者通过邮件内容中提供的密码进行解压， ，可能得到两个文件�！ ！！Ｆ渲幸桓鍪敲癐E11-Mfc.exe”的恶意文件， ，另一个是使用注明�！ ！！Ｊ褂米⒚鞯哪谌萁盏际芎φ呤褂弥卫碓比ㄏ拊诵卸褚馕募�， ，使恶意木马即便不通过提权操作， ，也能等闲在治理员权限中运行�！ ！！２⑶夜セ髡呤褂眉用芨郊姆绞�， ，将解密密码留在邮件内容中， ，可能有效地躲避杀软的检测， ，这将大大提高攻击者攻击成功的可能性�！ ！！�


图12.png


图12 压缩包内容


图13.png

图13 邮件报毒情况


当恶意文件“IE11-Mfc.exe”在治理员权限中运行， ，首先会解密函数名称字符串并通过动态获取函数的方式来获取关键函数的地址�！ ！！９セ髡呤褂谜庵址绞交袢」丶�， ，更能有效躲避杀软对敏感函数的查抄， ，以便提高攻击的成功概率�！ ！！�


图14.png

图14 动态获取函数


成功获取到关键函数后， ，恶意木马会将数据段中硬编码的数据使用BASE64算法解码�！ ！！９セ髡咴诙褚饽韭碇写罅渴褂昧舜肱蛘图际�， ，从而将法式的节制流复杂化， ，以加大分析人员分析的难度�！ ！！＠�， ，在BASE64算法中参与了很多前提判断来扭转法式节制流�！ ！！�


图15.png

图15 BASE64 算法


随后， ，恶意木马使用变形的TEA算法对BASE64解码后的数据进行解密从而得到后续攻击的shellcode并执行， ，其中解码后的数据前16个字节为变形TEA算法的密钥， ，渣滓字节为shellcode的密文�！ ！！�


图16.png

图16 硬编码数据


值得一提的是， ，为了预防分析人员在分析的过程中鉴别出TEA算法中常用的Delta值：： 0×9E3779B9， ，攻击者还将该值取反为0x61C88647�！ ！！�


图17.png

图17 变形的TEA解密算法


经过度析， ，发现该恶意shellcode实则为CS的stager shellcode， ，恶意木马将使用该shellcode从黑客服务器中下载运行CS木马， ，发展后续的黑客攻击�！ ！！Ｒ坏┦芎φ咭勒帐褂米⒚髟诵卸褚馕募�， ，受害者的电脑将被攻击者使用CS木马等闲掌控， ，执行横向移动， ，机密文件窃取等恶意行为�！ ！！�


图18.png

图18 解密后的CS stager shellcode


关于CS木马， ，我们曾在《渗入利器Cobalt Strike在野利用情况专题分析》一文中进行过具体的分析�！ ！！S全称Cobalt Strike,是一款基于Java编写的全平台多方协同后渗入攻击框架， ，其支持多种通讯和谈， ，蕴含http、、https、、dns、、smb等， ，同时集成了提权、、痛处导出、、端口转发、、端口扫描、、横向移动、、Socks代理、、垂钓攻击等职能， ，且支持丰硕的扩大插件， ，险些能够覆盖APT攻击链所需的各个技术环节�！ ！！Ｄ韭硖焐矫嬉埠橇舜笪奘钠教ê凸セ鞒【�， ，蕴含PE木马、、ELF木马、、网页木马、、Office宏病毒木马等， ，木马职能及指令详见附录所示�！ ！！Ｔ诟梦闹�， ，我们曾提到多种CS隐匿流量的方式， ，蕴含域名仿造、、CDN， ，流量假装等�！ ！！６诒敬喂セ髦�， ，攻击者则是利用云函数来隐匿流量�！ ！！Ｔ坪�， ，顾名思义就是云服务器上的函数， ，是将代码运行在云服务器上的一种步骤�！ ！！Ｍǔ�， ，攻击者会在云服务器上增长CS流量转发的函数， ，蕴含处置http-get要求、、http-post要求以及用于下载后续CS木马的http-stager要求， ，即可有效隐匿CS流量�！ ！！Ｔ诒敬喂セ鞯难局�， ，则是向service-gk8t2t63-1308736846[.]bj[.]apigw[.]****[.]com/bootstrap-2.min.js要求下载下一阶段的CS木马， ，从而执行后续的恶意行动�！ ！！�


图19.png

图19 从云服务器高低载后续的shellcode


图20.png

图20 云函数流程


OG东方厅ADLab安全钻研人员通过持久追踪， ，采集和分析了大量的关联CS木马样本， ，发此刻CS中使用云函数隐匿流量是近年来较为常见的一种步骤�！ ！！Ｕ馐怯捎谙嘟嫌谄渌淞髁坎街璧牟患�， ，如：：域前置必要厂商CDN职能验证缺点、、CDN技术必要创建域名从而增长露出的风险， ，使用免费的云函数隐匿流量更具方便性�！ ！！９セ髡呓鲂璨砂煸品衿鞑⒃谠瞥烫峁┑闹澳苊姘逯信渲糜糜谧S流量的云函数， ，即可实现CS流量的隐匿�！ ！！６治鋈嗽痹诜治龊竺诺墓讨�， ，只能追忆出攻击者使用的云函数服务器域名和ip�！ ！！２⑶矣捎谠坪衿魍ǔＪ亲源鳦DN服务， ，使得分析人员将更难找出攻击者真实的C2服务器�！ ！！Ｓ纱丝杉�， ，使用云函数隐匿CS流量无疑大大提高攻击者在攻击过程中的方便性�！ ！！Ｔ诒敬畏⑾值氖庥始�， ，大部门CS样本也同样使用云函数隐匿流量， ，部门样本如下表：：


表2 样本详情

表2.png


三、、总 结


本文披露了近期针对我国企业的多起网络攻击活动， ，涉及到我国金融机构、、交通部门、、通讯公司、、手机厂商等企业�！ ！！Ｕ笮幸抵�， ，尤其是涉及到关键信息基础设施的部门， ，对国度安全、、经济安全、、社会不变、、公家健康和安全至关重要， ，一旦遭到网络攻击可能给社会带来巨大的�：：Α！ ！！４庸セ魇址ɡ纯�， ，这批攻击大多是以常见的垂钓邮件为攻击入口， ，辅以高度仿真且蛊惑性极强的钓饵内容进行垂钓， ，并通过加密压缩附件的大局来匹敌邮件安全检测�！ ！！Ｍ兜菽韭碇匾狢obaltStrike， ，且大量样本是通过云函数来隐匿通讯流量， ，以匹敌溯源追踪和安全分析�！ ！！＠嗨频脑品窭每赡苁前牙准婢叩乃薪�， ，若何更好地服务公家， ，又能预防合法利用被恶意活动滥用， ，还必要有关企业引起更多的关注�！ ！！�


鱼叉式垂钓拥有定制化、、精准化的个性， ，且拥有很强的蛊惑性， ，一旦企业内部存在安全意识幽微的员工失慎点击了垂钓邮件， ，就可能会对企业带来严重的后果�！ ！！：：诳湍芄唤匀〉降拿舾行畔⒑椭匾募弁痘�， ，或者利用这些信息做更进一步的攻击�！ ！！３酥�， ，攻击者还能够使用鱼叉式垂钓攻击部署恶意软件来劫持推算机， ，将指标推算机地点的网络造成可用于DoS攻击的重大僵尸网络或者投掷勒索病毒执行经济勒索， ，给企业造成不成估计的损失�！ ！！＝ㄒ槠笫乱档ピ欢ㄆ谖惫そ邪踩逃嘌�， ，提升员工的安全防备意识�！ ！！Ｎ癖匕盐炔灰嵋状蚩粗鹪吹牡缱佑始�， ，出格是带有附件的电子邮件�！ ！！Ｈ缬斜匾�， ，可通过打开office文档中的：：文件-选项-信赖中心-信赖中心设置-宏设置， ，来禁用所有宏代码执行�！ ！！２⒆龊糜始低车姆阑すぷ�， ，督促员工实时更新系统和office利用补丁�！ ！！Ｈ羰欠⑾窒低郴蚍衿鞒鱿忠斐�， ，该当实时汇报并请专业人员进行排查， ，以解除安全隐患�！ ！！�


附录：：

CS beacon号令列表

附录