Stealth Falcon黑客組織無文件後門分析

2021-12-25 FreeBuf

Stealth Falcon黑客組織，自2012年以來一直活躍，其主要目標是中東的政治活動家和記者。citizen lab機構在2016年發表了一份針對某一網絡攻擊的分析報告。2019年1月，路透社發表了一份關於「Raven計劃」的調查報告，該計劃目標與Stealth Falcon相同。根據這兩份關於同一目標和攻擊的報告可以看出Stealth Falcon和Raven計劃實際上是同一個群體。

citizen lab報告中記錄的攻擊中關鍵組件是一個基於powershell的後門，該後門通過一個包含在惡意電子郵件中的附件文檔進行傳播。

近期發現了一個以前未報告的二進位後門，我們命名為win32/stealthfacon。在本文中，我們將分析介紹新二進位後門和powershell腳本之間的相似之處。這些相似之處證明了win32/stealthfelcon屬於Stealth Falcon黑客組織。

Win32/StealthFalcon後門是在2015年創建的，允許攻擊者遠程控制受損的計算機。在阿聯、沙特、泰國和荷蘭發現了該後門。

C&C通信

在與C&C伺服器的通信中，Win32/StealthFalcon使用標準的Windows組件Background Intelligent Transfer Service（BITS）。BITS的設計目的是在不消耗大量網絡帶寬的情況下傳輸大量數據，從而不影響其他應用程式的帶寬需求。它通常用於更新程序、信使和其他設計為在後臺運行的應用程式。

與傳統的通過api函數的通信相比，BITS機制是通過com接口，因此安全產品很難檢測到。傳輸因網絡中斷、用戶註銷或系統重新啟動等原因中斷後會自動恢復。此外，由於BITS根據可用帶寬調整文件傳輸速率，因此不會讓用戶產生懷疑。

win32/stealthfalcon可以在兩個c&c伺服器之間切換通信，這兩個伺服器的地址與其他配置值一起存儲在註冊表項中，並且可以通過後門命令進行更新。如果後門無法聯繫到C&C伺服器，後門會在多次失敗後將自己從受損系統中移除。

後門功能

win32/stealthfalcon是一個dll文件，在執行之後，它將自己設置為用戶登錄時運行。它只支持基本的命令。

後門程序的關鍵功能，下載和執行文件，是通過定期檢查執行惡意軟體的目錄中名為「win*.dll」或「std*.dll」的庫並加載這些庫來實現的。

此外，win32/stealthfalcon通過在臨時文件夾中存儲一個帶有硬編碼前綴的加密副本來收集文件並進行過濾。後門會定期檢查這些文件，並自動過濾它們。在文件成功地被過濾後，惡意軟體刪除所有日誌文件和收集的文件，在刪除文件之前，它用隨機數據重寫它們，以防止被分析和恢復刪除的數據。

配置值存儲在hkey_current_user\software\microsoft\windows\currentversion\shell extensions註冊表項中。所有值的前綴都是惡意軟體的文件名（不帶擴展名）。

在任何惡意有效載荷啟動之前會有300多個引用，但根本不使用它們，它總是返回並繼續執行有效載荷，並且沒有條件檢查。 

與Stealth Falcon的聯繫

Citizen Lab分析中描述的win32/StealthFalcon和基於powershell的後門共享同一個C&C伺服器：在Citizen Lab分析的後門中，地址windowsearchcache[.]com被用作「第二階段C2伺服器域」，在一個版本的win32/Stealt中也是如此。

這兩個後門在代碼上都顯示出顯著的相似性——儘管它們是用不同的語言編寫的，但底層邏輯是相同的。兩者都使用硬編碼標識符（很可能是活動ID/目標ID）。在這兩種情況下，來自目標主機的所有網絡通信都以標識符為前綴，並使用硬編碼密鑰用rc4加密。

對於c&c伺服器通信都使用https，並為連接設置特定的標誌以忽略伺服器證書。

結論

我們發現並分析了一個後門，它採用了一種罕見的C&C通信技術，使用Windows BITS以及一些先進的技術來阻礙檢測和分析，代碼和基礎框架與Stealth Falcon先前已知的惡意軟體相似。以上可知，win32/StealthFalcon後門歸屬於該黑客組織。

IoCsSHA-1

31B54AEBDAF5FBC73A66A**1CCB35943CC9B7F72

50973A3FC57D70C7911F7A952356188B9939E56B

244EB62B9AC30934098CA4204447440D6F**E259

5C8F83C**FF57E7C67925DF4D9DAABE5D0CC07E2

R** keys

258A4A9D139823F55D7B9DA1825D101107FBF88634A870DE9800580DAD556BA3

2519DB0FFEC604D6C9A655CF56B98EDCE10405DE36810BC3DCF125CDE30BA5A2

3EDB6EA77CD0987668B360365D5F39FDCF6B366D0DEAC9ECE5ADC6FFD20227F6

8DFFDE77A39F3AF46D0CE0B84A189DB25A2A0FEFD71A0CD0054D8E0D60AB08DE

Malware file names

ImageIndexer.dll

WindowsBackup.dll

WindowsSearchCache.dll

JavaUserUpdater.dll

Log file name patterns

%TEMP%\dsc*

%TEMP%\sld*

%TEMP%\plx*

Registry keys/values

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions

X-MRUList

X-MRUData

X-FontDisposition

X-IconDisposition

X-IconPosition

X-PopupPosition

X is the malware’s filename (without extension)

MITRE ATT&CK

*參考來源：welivesecurity，由Kriston編譯，轉載請註明來自FreeBuf.COM

相關焦點

  • 疑似MuddyWater黑客組織在針對土耳其政府的攻擊中使用了新後門
    最近，該組織被發現與今年3月份針對土耳其、巴基斯坦和塔吉克斯坦的一場攻擊活動有關。自2017年Malwarebytes首次在報告中指出MuddyWater針對沙特政府實施了精心策劃的間諜攻擊以來，該組織就引發了廣泛的關注。在首份報告發布之後，其他一些安全公司也陸續對其進行了分析。但基於所有這些報告，趨勢科技表示，他們也只是看到了該組織所使用的工具、技術和過程（TTP）的微小變化。
  • 黑客常用術語 ,肉雞、木馬、後門、掛馬...
    有很多黑客熱衷於使用木馬程序來控制別人的電腦。比如：灰鴿子、黑洞、PcShare等。網頁木馬表面上偽裝成普通的網頁文件或將自己的代碼直接插入到正常的網頁文件中，當有人訪問時，網頁木馬就會利用對方系統或者瀏覽器的漏洞自動將配置的木馬伺服器下載到訪問者的電腦來自動執行。掛馬在別人的網站文件裡面放入網頁木馬或者將代碼潛入到對方正常的網頁文件裡，以使瀏覽者中馬。
  • 美人魚(Infy)APT組織的歸來——使用最新的Foudre後門進行攻擊活動的分析
    該組織來源為中東地區，使用的後門由於其C2的請求中帶有infy的路徑，因此被名為infy後門。2017年，國外安全相關機構發布報告披露了其使用了新版本的後門，命名為Foudre。在2018年，則被披露了關於Foudre後門的第八版本。在本次攻擊活動中，我們發現了該組織使用的第21版本與第22版本。
  • APT29—覬覦全球情報的國家級黑客組織(下)
    LiteDuke高階後門，使用 SQLite 存儲配置信息、圖像隱寫術。SeaDuke簡單後門，文件上傳下載、shell，由 python 開發設計。參考 MITRE ATT&CK 對 APT29 的 ATT&CK 畫像如下：圖【42】引自https://attack.mitre.org/groups/G0016/APT29 作為一支在國際網絡情報戰中極具代表性的國家級黑客組織，其長期針對全球多數國家發動網絡間諜活動竊取高價值情報信息，作為網絡強國的美國正是APT29 的主要攻擊目標
  • APT-C-06組織在全球範圍內首例使用「雙殺」0day漏洞(CVE-2018-8174)發起的APT攻擊分析及溯源
    用戶在瀏覽網頁或打開Office文檔時都可能中招，最終被黑客植入後門木馬完全控制電腦。對此，我們及時向微軟分享了該0day漏洞的相關細節，並第一時間對該APT攻擊進行了分析和追蹤溯源，確認其與APT-C-06組織存在關聯。2018年4月18日，在監控發現該攻擊活動後，360核心安全事業部高級威脅應對團隊在當天就與微軟積極溝通，將相關細節信息提交到微軟。
  • WinRAR漏洞利用升級:社工、加密、無文件後門
    可以明顯的看到，攻擊者針對該漏洞利用做了更精心的準備，比如利用WinRAR壓縮包內圖片列表不可預覽來誘導目標極大概率解壓惡意文件、將惡意ACE文件加密後投遞、釋放「無文件」後門等。事實證明，利用該漏洞傳播惡意程序的攻擊行為正處在爆發的初期階段，並且不排除在將來被攻擊者用於製作蠕蟲類的病毒造成更廣泛的威脅。360威脅情報中心再次提醒各用戶及時做好漏洞防護措施。
  • Outlaw黑客組織武器更新分析
    網絡犯罪集團保持沉默不一定意味著沒有活動，過去幾個月一直保持沉默的黑客組織Outlaw更新了其武器庫。
  • 伊朗國家黑客組織 MuddyWater 的新動向
    這些攻擊發現於2020年7月6日和9日，包含一款能夠更好地躲避分析工具的勒索軟體變體，可以監控新增的存儲設備，並能夠覆寫 MBR，從而使 Thanos 在本質上非常具有破壞性。上周，ClearSky公司在一份報告中將 PowGoop 和 MuddyWater 關聯在一起，並表示黑客組織似乎開始將擦除器部署於隱藏在明顯是勒索攻擊的攻擊活動中。
  • APT分析|汙水(MuddyWater)組織洩露武器MuddyC3分析報告
    MuddyC3工具代碼和關聯事件進行了詳細分析，4月份趨勢科技發布了一份關於伊朗APT黑客組織MuddyWater的報告，稱他們在Telegram監控到了MuddyWater組織的行動細節，並稱該組織在Telegram上洩露了C&C服務端、原始碼，以及一些受害者的相關信息。
  • APT41 Speculoos後門分析
    Speculoos的基於FreeBSD實現的，共識別出五個樣本，所有樣本文件大小基本相同，樣本集之間存在微小差異。第一波攻擊始於2020年1月31日晚上，使用的文件名為bsd，影響了美國的多個高等教育機構，美國醫療機構和愛爾蘭諮詢公司。第二波攻擊始於2020年2月24日，使用文件名為un，影響了哥倫比亞高等教育機構，奧地利製造組織，美國高等教育機構以及美國的州政府。
  • 深度報告 | 揭秘朝鮮黑客組織Lazarus Group對加密貨幣的竊取手段
    當前，世界各地安全公司、執法機關和情報機構都把Lazarus Group歸因於朝鮮的國家支持黑客組織，隨著Lazarus
  • 利用BusyBox組件進行物聯網設備攻擊的黑客組織惡意行為分析報告
    如slav1337攻擊手法，該工具利用了多個殭屍網絡：85.92.108.0（荷蘭）、37.49.224.0（荷蘭）、45.95.168.0（匈牙利）。其中37.49.224.0和45.95.168.0這兩個網段的殭屍主機也被sora、unstable、meth、switchblades1等攻擊手法使用。從傳播惡意代碼的角度，這些攻擊手法的行為也呈現出不同的特點。
  • 收到「訂單、付款收據、分析報告」PPT,請勿打開,為Gorgon Group黑客組織投遞的攻擊郵件
    有安全廠商分析認為Pastebin帳號「hagga」發起的攻擊活動有可能來自組織Gorgon Group，一個疑似來自巴基斯坦或與巴基斯坦有關聯的黑客組織。該組織已進行了一系列非法行動和針對性攻擊，包括針對英國、西班牙、俄羅斯和美國的政府組織的攻擊。
  • 原創 | 利用BusyBox組件進行物聯網設備攻擊的黑客組織惡意行為分析報告
    ( a )圖3 slav1337攻擊手法腳本特點通常，同一個黑客組織使用的攻擊腳本、C2節點或殭屍主機存在一定的關聯性。為了發現攻擊手法與黑客組織的關聯，圖 4利用桑基圖進一步分析了有惡意代碼下載行為的攻擊手法及其殭屍主機、C2節點的通連關係。桑基圖是一類描述流量結構分布圖，描述了流量在各個節點之間的流量分布。每一個節點延伸的分支的寬度對應數據流量佔比的大小。
  • macOS.Macma後門的分析
    執行摘要上周，谷歌的威脅分析小組分享了「使用macOS漏洞分析水坑攻擊」報告，該活動疑似APT活動。
  • Hermit(隱士)APT組織2020年最新攻擊活動分析
    該組織的攻擊對象包括與朝鮮半島相關的非政府組織、政府部門、貿易公司、新聞媒體等。SYSCON/SANNY木馬是一個非常有特色的遠程控制木馬，通過ftp協議來進行C&C控制，該後門的主要攻擊目標為朝鮮半島相關的重要政治人物或者要害部門，偶爾也會針對東南亞等國進行攻擊。該活動自2017年下半年開始活躍，並且對多個目標進行了攻擊活動。被曝光後，該組織活動沒有任何減弱的跡象。
  • 中國再次發現來自海外的黑客攻擊:蔓靈花攻擊行動
    用戶點擊之後，漏洞文檔中的Shellcode被執行，調用URLDownloadToFileA從指定的網址中下載木馬程序，使用CMD命令重命名後執行，實現RAT的下載安裝。除了基本的漏洞文檔，還有圖標偽裝成圖片文件的exe，誘導用戶進行點擊，exe執行後釋放圖片並下載安裝RAT程序。漏洞文檔的文件名列表如下：
  • 「靈貓」組織針對中東地區的攻擊活動分析報告
    安天CERT從2020年10月份開始陸續捕獲到「靈貓」組織針對中東地區進行攻擊的樣本，在本次攻擊活動中「靈貓」組織使用的工具更為豐富，不僅包括在既往活動中使用的通過ENIGMA打包的Spark惡意軟體，還有在此前未發現被使用的.NET框架的MoleStage 惡意軟體，以及自研的Python後門惡意軟體MoleCloud。
  • Kimsuky APT組織持續利用AppleSeed後門攻擊韓國政府
    K i m s u k y（也 稱 為 T h a l l i u m 、B l a c k B a n s h e e、VelvetChollima ） A P T 是朝鮮的網絡間諜組織，主要針對韓國的政府實體開展網絡威脅活動，該組織自2012年以來一直活躍。2020年12月，KISA（韓國網際網路與安全局）提供了對Kimsuky用於網絡釣魚的基礎設施和TTP的詳細分析。