.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
今年早些時候，Check Point Research發表了一篇關於“Jian”的文章。在這篇文章中，我們介紹了DanderSpritz框架。
DanderSpritz是什麼?DanderSpritz是Equation Group使用的一個功能齊全的開發後框架。這個框架通常是在利用設備並部署了PeddleCheap之後使用的。 DanderSpritz是非常模塊化的，包含各種各樣的工具，用於持久性、偵察、橫向移動、繞過防病毒引擎和其他此類可疑活動的各種工具。 DanderSpritz 結構和執行流程
在“Lost in Translation”洩漏的目錄樹中，可以發現DanderSpritz邏輯被分為兩部分：
dderspritz的核心功能包含在文件DszLpCore.exe中，該文件可以在windows/bin中找到。框架的插件和復雜組件，包括我們稍後將詳細討論的DoubleFeature，可以在windows/resources中找到。 fuzzbunch、implants 和windows 下的其他目錄包含獨立於DanderSpritz 的模塊，用於利用自身、控制受害者係統、初始數據收集等。
DanderSpritz 中的基本邏輯單元就是我們所說的“插件”，駐留在windows/resources中，大約有十幾個，它們有一個非常特定的目錄結構。
windows\\resources 下還有一些其他目錄，它們不是插件，而是包含各種輔助腳本。
Aliases和Commands：它們都包含聲明支持““aliases” 和“commands”的XML 文件，它們分別提供類似的功能。當DanderSpritz 框架的用戶發出一個shell 命令，DanderSpritz 將遍歷每個插件，檢查這些XML 並驗證他們是否聲明支持用戶輸入的shell 命令。如果命令出現在Aliases 下，它將被簡單地映射到現有腳本；命令通常會在幕後以某種方式調用插件的內部邏輯。這實際上意味著DanderSpritz 的用戶可以運行許多不同的shell 命令來實現不同的結果。在Commands（但不是Aliases ）下，除了XML 之外，還有一個XSL 文件，它指定返回給DanderSpritz 用戶的命令輸出的格式。
Modules：大部分插件邏輯都包含在這個目錄中。從名稱可以看出，該邏輯被進一步劃分為更小的功能“模塊”。 descriptions子目錄包含一個XML 文件，它是一種“manifest”。它詳細說明了應該在受害者設備和“LP”（“Listening Post”，攻擊者控制的遠程監控受害者的設備）上運行哪些腳本和二進製文件。它還列出了插件對其他模塊的依賴、它的接口數據、它支持的計算架構以及它應該在受害設備上還是在LP 上運行。一些插件還包含具有類似功能的有效載荷目錄。
PyLp：包含XML 文件，用於格式化從受害者設備中洩露的傳入信息。對於每種“消息類型”（一種洩露的信息），XML 指定一個Python 腳本，用於格式化數據以方便顯示。此格式化腳本位於PyScripts 目錄中。
PyScripts：框架使用的所有雜項Python 腳本都在此目錄中。
Scripts：這個目錄還包含雜項腳本，這些腳本是用一些重印記的腳本語言編寫的，在Python 崛起之前，這些腳本語言似乎可以合理使用。
Tools：開發者認為他們寧願按原樣包含和調用的自包含材料（PE、DLL、腳本、JAR、文本文件等）。
Uploads：由插件推送到受害者係統的獨立二進製文件。
Version：包含一個包含插件版本的XML 文件。
下面我們詳細介紹調用插件Aliases或Commands時的典型控制流程。
DanderSpritz 用戶在DanderSpritz 用戶界面中輸入一個shell 命令，該命令在幕後使用該特定插件實現。
DanderSpritz 的用戶界面及其shell 命令
1.DanderSpritz 的主要邏輯遍歷resources目錄，一個接一個地查看插件目錄。對於每個插件目錄，DanderSpritz 查看aliases 子目錄和commands 子目錄，並仔細檢查其中的XML 文件，尋找與shell 命令匹配的聲明的導出功能。找到匹配項，並且匹配的XML 元素指定插件的pyscripts 目錄中的路徑。
2.DanderSpritz 計算調用腳本的完全限定路徑（通過將匹配的XML 元素中指定的路徑附加到插件的pyscripts 目錄的路徑）並執行該文件。這是顯示調用的shell命令的用戶界面的位置，插件可以說是正常運行的。
3.現在，攻擊者可以隨時盯著他們調用的工具的UI。最終，他們可能希望通過此UI 調用某些功能。根據選擇的功能，Python UI 構造一個遠程進程調用。它將此RPC 發送到受害設備上的DanderSpritz 組件。受害者端的這個組件然後執行調用並返回結果。這樣，RPC 就被用作LP 上的組件訪問的API，以在受害設備上執行操作（例如收集屏幕截圖或錄製語音）。此API 與這些操作在受害組件端實際實現的方式分離。
4.RPC 返回攻擊者所需的寶貴信息，Python UI 在插件的PyLP 目錄中查詢與結果的消息類型匹配的XML。這個XML 指定瞭如何在LP 端顯示返回的信息，UI 也是如此。
特定命令的XML 文件（LP 和Target）示例
DoubleFeature為了更好地理解上述結構和流程，我們將研究重點放在了DanderSpritz 的一個名為Doublefeature（簡稱Df）的組件上。根據它自己的內部文檔，這個插件“生成關於可以部署在目標上的工具類型的日誌和報告”；許多框架工具，在它們自己的內部文檔中，聲稱DoubleFeature是唯一的方法來確認他們在一個被破壞的系統上的存在。經過一段時間的停頓，我們認為至少這意味著DoubleFeature 可以用作一種Rosetta Stone，以更好地理解DanderSpritz 模塊和受其影響的系統。
strangeland.py 的代碼指的是確認的唯一方法是使用DF
不幸的是，由於DoubleFeature 作為日誌模塊的獨特功能，它收集了大量各種類型的數據。 RPC 返回值和XSL 標記不適合在這種規模上傳輸和顯示信息。
DoubleFeature 主菜單
DoubleFeature PyScripts目錄包含Python的UI界面(doublefeature.py)，但是當攻擊者從UI 菜單中選擇一個選項時，在幕後，腳本會變成一個“模板”DLL，DoubleFeatureDll.dll.unfinalized ，位於插件的上傳目錄中。 Python 調用插件工具目錄中的外部工具AddResource.exe ，將資源植入已編譯的DLL，使用新名稱：DoubleFeatureDll.dll.configured。確切的命令運行是：
*localrun-redirectcommand'cmpf61104'*'命令使用的標誌解釋如下。
c (compressed) ——Zlib 壓縮數據；
m (munge)=通過與偽隨機字節異或來混淆資源。字節是通過運行PRNG（32 位LCG）並使用執行時間戳作為種子生成的；為了允許恢復，種子被添加到混淆的資源中；
p (place)=將資源放入homebrew資源目錄；
f (finalize)=私有資源目錄；
6=資源類型（此時，枚舉值6 轉換為RT_STRING，一個字符串表條目）；
1104=資源名稱。
在主插件DLL ** 被賦予這個新資源後，Python UI 使用DanderSpritz dllload shell 命令將其加載到受害設備上：
dllload -ordinal 1 -library
一旦受害者端的DLL 完成運行並將報告寫入受害者設備上的日誌文件，Python UI 就會使用以下DanderSpritz shell 命令將日誌文件提取回攻擊者設備：
foregroundget-nameDFReport雖然DanderSpritz 命令的大部分輸出是根據XSL 規範查看的，但DoubleFeature 的輸出太大且變化太多，因此這種方法不可行。相反，攻擊者通常使用為此目的編寫的專門程序——DoubleFeatureReader.exe，查看日誌文件，該程序可以在插件的工具目錄中找到。
DoubleFeature 將其所有日誌數據寫入名為~yh56816.tmp 的調試日誌文件嗎，此日誌文件使用AES 算法加密。除非用戶手動更改密鑰，否則使用的默認密鑰是badc0deb33ff00d。
DoubleFeature 的主DLL當修復的DLL ( DoubleFeatureDll.dll.configured ) 首次加載到受害設備上時，它會在自製軟件資源目錄中查找名為“106”的資源。該目錄位於實際代碼之後的“.text”部分，DLL 能夠通過搜索不同的魔法值來找到它。 homebrew 資源目錄具有以下結構：
這個資源(與之前通過調用AddResource.exe移植到DLL的資源不同)在靜止狀態下是加密的，為了使用它，必須對它進行解密和解壓縮。
資源106 解壓縮後，是一個名為hidsvc.sys 的驅動程序。它通過調用CVE-2017-0005 的EpMe 漏洞加載到內核中。加載驅動程序後，DLL 開始使用DeviceIoControl 與其通信。驅動程序支持的最有趣的IOControlCode 是0x85892408，它允許用戶模式代碼通過簡單地指定功能名稱和參數來直接調用內核功能。驅動程序希望使用此代碼的傳入消息與以下結構捆綁在一起：
在接收到這個結構體後，驅動程序遍歷ntoskernl.exe 的每個導出函數，計算結果校驗和並將結果與提供的export_func_hash 進行比較。一旦找到匹配項，驅動程序就會得出結論，它已找到正確的函數。這是混淆API 調用的標準方法，在許多其他惡意軟件中都可以看到。
校驗和計算邏輯如下所示：
一些校驗和值示例：
這還不是唯一的困難，DoubleFeature 中使用的字符串是解密的，這本身就是非常標準的，但按需對每個函數進行解密，一旦函數執行完成，它們就會重新加密，這比平常更令人沮喪，DoubleFeature 還支持其他混淆方法，例如簡單的替換密碼：
以及一個基於簡單自製線性PRNG的流密碼：
如上所述，憑藉其函數，DoubleFeature 是與Equation Group工具相關的唯一知識來源。畢竟，整個日誌記錄模塊依賴於在受害系統上查詢這些工具並驗證哪些工具存在的能力。下面我們列出了日誌模塊探測到的一些工具，其中一些是未知的。
除了在DLL 的執行流程中使用的資源106 和1104 外，主DLL 的homebrew資源目錄還包含以下資源：
資源1004：UnitedRake 重新啟動DLL。
資源1005：UnitedRake 關閉DLL。
資源1006：StraitBiZarre 重新啟動DLL。
資源200：與BCD 分區數據進行比較的已知引導管理器的哈希值。
資源1007：升級KillSuit 模塊DLL，在代碼中可以找到對它的引用，但在目錄中不再物理找到它。可能它存在於DLL 的早期版本中，後來被刪除了。
DoubleFeature 監控的插件UnitedRakeUnitedRake (UR) 是一種遠程訪問工具，可用於針對Windows 設備。它是一個可擴展的模塊化框架，提供了大量執行不同信息收集功能的插件。
UnitedRake 指標如下：
1.MSNDSRV.sys：內核模式階段0 和rootkit。實現用於過濾網絡流量的NDIS 驅動程序。直到UR 4.0 版。
2.ATMDKDRV.sys ：網絡嗅探器/修復程序。從UR 4.1 版開始。
3.“Software\Classes\CLSID\{091FD378-422D-A36E-8487-83B57ADD2109}\TypeLib” or “\Registry\Machine\SOFTWARE\Classes\CLSID\{091FD378-422D-A36E-8487-83B57ADD2209}\TypeLib”：包含UR 的GUID，特殊項註冊表項
4.“\Registry\Machine\System\CurrentControlSet\Control\Session Manager\MemSubSys\{95FFB832-8B00-6E10-444B-DC67CAE0118A-F6D58114}”：KillSuit記錄與註冊表相關的數據。
5.“Global\64322D88-0CEA-4ce0-8562-67345B70C655”：在TipOff 命令中創建的文件映射。
6.“*Global\*6F27089A-3482-4109-8F5B-CB3143A1AB9A” 和“*Global\*667FBF02-F406-4C0A-BA65-893747A0D372”：在UR 關閉時創建的事件。
7.{A0CCDC61-7623-A425-7002-DB81F353945F-5A8ECFAD}： UnitedRake 3/4 配置數據和傳輸信息CLSID；
8.{30F3976F-90F0-B438-D324-07E031C7507E-981BE0DD}：UnitedRake 插件信息CLSID；
9.{95FFB832-8B00-6E10-444B-DC67CAE0118A-F6D58114}：UnitedRake 記錄數據CLSID；
10.{01C482BA-BD31-4874-A08B-A93EA5BCE511} ：UnitedRake 的互斥鎖名稱。
StraitBizarreStraitBizarre (SBZ) 是一種用於隱秘數據洩露的植入程序，它通過FriezeRamp 執行——一種類似於IPSEC 的自定義網絡協議。這是一個跨平台項目，存在支持Windows、Linux 和移動平台的不同版本（例如iPhone 的DROPOUTJEEP，甚至Windows Mobile 的TOTEGHOSTLY）。
StraitBizzare 信息
我們在DoubleFeature 中發現了以下StraitBizarre 指標：
{1B8C5912-8BE4-11D1-B8D3-F5B42019CAED}：用於GUID，版本和特殊狀態項的SBZ CLSID。