By HireHackking in HACKER
· 1 view
經過幾個月的調查，趨勢科技的研究人員發現Earth Preta正在使用一些從未被公開的惡意軟件和用於洩露目的的有趣工具。研究人員還觀察到攻擊者正在積極地改變研究人員的工具、戰術和程序（TTP）以繞過安全解決方案。在這篇文章中，研究人員還將介紹和分析攻擊者使用的其他工具和惡意軟件。
在之前的研究中，研究人員披露並分析了Earth Preta(又名Mustang Panda)組織發起的一項新型攻擊活動。在最近的一次活動中，研究人員通過監測發現Earth Preta通過魚叉式網絡釣魚郵件和谷歌驅動器鏈接發送誘餌文件。經過幾個月的調查，研究人員發現攻擊者在這次活動中使用了一些從未公開的惡意軟件和用於洩露目的的有趣工具。
感染鏈經調查，整個攻擊始於魚叉式網絡釣魚電子郵件。經過對攻擊程序的長期調查，研究人員確定了完整的感染鏈如下所示。
完整的感染鏈
研究人員將不同的TTP分為六個階段：攻擊載體、發現、權限升級、橫向移動、命令與控制(CC)和洩露。在之前的研究中，研究人員在第一階段(攻擊載體)涵蓋了大多數新的TTP和惡意軟件。但是，研究人員觀察到一些TTP已經發生了變化。在接下來的部分中，我們將重點關注更新後的攻擊載體及其後續階段。
攻擊載體之前Earth Preta使用的攻擊載體，研究人員將它們分為三種類型（DLL側加載、快捷鏈接和偽文件擴展名）。從2022年10月和11月開始，研究人員觀察到攻擊者開始改變研究人員的TTP，以部署TONEINS、TONESHELL和PUBLOAD惡意軟件和QMAGENT惡意軟件。研究人員認為，攻擊者正在使用這些新技術逃避。
Trojan.Win32.TONEINS根據研究人員之前的觀察，TONEINS和TONESHELL惡意軟件是從嵌入電子郵件正文的谷歌驅動器鏈接下載的。為了繞過電子郵件掃描服務和電子郵件網關解決方案，谷歌驅動器鏈接現在已經嵌入到誘餌文件中。該文件誘使用戶下載帶有嵌入式鏈接的受密碼保護的惡意文件。然後可以通過文件中提供的密碼在內部提取文件。通過使用此技術，攻擊背後的惡意攻擊者可以成功繞過掃描服務。
一份誘餌文件，其中嵌入了谷歌驅動器鏈接和密碼
在新的攻擊載體中，整個感染流程已更改為下圖所示的程序。
攻擊載體的感染流
新攻擊載體中的文件
在分析下載的文件後，研究人員發現這是一個惡意RAR文件，包含TONEINS惡意軟件libcef.dll和border.docx中的TONESHELL malware ~List of terrorist personnel 。它們的感染流程類似於之前報告中的攻擊載體類型C，唯一的區別是偽造的.docx文件具有XOR加密內容，以防止被檢測到。例如，~$Evidence information.docx是一個偽裝成Office Open XML文件的文件。因此，它似乎是無害的，甚至可以通過使用7-Zip等解壓軟件打開。
攻擊者在一個文件的ZIPFILERECORD結構中隱藏了一個PE文件。 TONEINS惡意軟件libcef.dll將在XOR操作中用一個字節解密該文件，找到PE頭，並將有效負載放置到指定的路徑。
在對最後一個ZIPFILECECORD結構中的frData成員進行解密後，將顯示PE文件
TONEINS的解密函數
感染流的後續行為通常與之前的分析相同，更多的細節我們之前已經介紹過。
Trojan.Win32.PUBLOAD在最近的案例中，惡意軟件PUBLOAD也是通過嵌入在誘餌文件中的谷歌驅動器鏈接傳播的。
美國大使館的誘餌邀請函
自2022年10月以來，研究人員一直在觀察PUBLOAD的一種新變體，該變體使用偽造的HTTP標頭來傳輸數據，LAC的報告也討論了這一點。與之前的PUBLOAD變體不同，它在數據包中預先準備了一個具有合法主機名的HTTP標頭。研究人員認為，攻擊者試圖在正常流量中隱藏惡意數據。 HTTP正文中的數據與過去的變體相同，後者俱有相同的魔法字節17 03 03和加密的受害者信息。研究人員能夠成功地從實時CC服務器中檢索到有效負載，這使得我們能夠繼續分析。
PUBLOAD HTTP變體的CC流量
一旦接收到有效負載，它將檢查前三個魔術字節是否為17 03 03，以及接下來的兩個字節是否為有效載荷的大小。然後，它將使用預定義的RC4密鑰78 5A 12 4D 75 14 14 11 6C 02 71 15 5A 73 05 08 70 14 65 3B 64 42 22 23 2000 00 00 00 00 00 00 00 00解密加密的有效負載，該密鑰與PUBLOAD加載程序中使用的密鑰相同。
從PUBLOAD HTTP變體檢索到的第一個有效負載
解密之後，它檢查解密有效負載的第一個字節是否為0x06。解密的有效負載包含用字節23 BE 84 E1 6C D6 AE 52 90進行XOR加密的另一個有效負載。
從PUBLOAD HTTP變體檢索到的第二個有效負載
解密後，還有另一個支持數據上傳和命令執行的最終後門負載。
PUBLOAD HTTP變體的最終有效負載
PUBLOAD HTTP變體中的命令代碼
此外，研究人員還在PUBLOAD示例中發現了一些有趣的調試字符串和事件名稱。
PUBLOAD中的事件名稱
PUBLOAD中的調試字符串
總之，研究人員認為新的TONESHELL和PUBLOAD文件一直在迭代，且有了一些共同之處。例如，為了繞過防病毒掃描，它們現在都被放置在誘餌文件中（如穀歌硬盤鏈接）。
攻擊過程一旦攻擊者獲得了對受害者環境的訪問權限，研究人員就可以通過以下命令開始檢查環境：
權限提昇在這次活動中，研究人員發現了Windows 10中用於UAC繞過的幾個工具。接下來我們將一一介紹。
HackTool.Win 32.ABPASSHackTool.Win32.ABPASS是一個用於繞過Windows 10中的UAC的工具。根據我們的分析，它重用了ucmShellRegModMethod3函數中的代碼，該函數來自一個著名的開源項目UACME。 Sophos的一份報告介紹了這一工具。
該工具接受一個參數，並將以下數據寫入註冊表：
ABPASS更改了註冊表項
它還改變了Windows處理ms-settings協議的方式，在本例中，字符串ms-settings是一個編程標識符(ProgID)。如果CurVer項設置在ProgID下，它將用於版本控制並將當前ProgID (ms-settings)映射到CurVer默認值中指定的ProgID。反過來，ms-settings的行為被重定向到自定義的ProgID aaabbb32。它還設置了一個新的ProgID aaabbb32及其shell打開命令。最後，執行fodhelper.exe或computerDefaults.exe來觸發ms-settings協議。
新增的ProgID aaabbb32
HackTool.Win 32.CCPASSHackTool.Win 32.CCPASS是另一個用於Windows 10 UAC繞過的工具，並類似地重用項目UACME中函數ucmMsStoreProtocolMethod中的代碼。
CCPASS和ucmMsStoreProtocolMethod中的代碼相似性
它的工作方式與ABPASS類似。然而，與ABPASS不同的是，它劫持了ms-windows存儲協議。黑客工具CCPASS的工作原理如下：
1.它禁用了協議ms-windows存儲的應用程序關聯toast。
2.它在註冊表中創建一個新的Shell；
3.它調用未記錄的API UserAssocSet來更新文件關聯；
4.它執行WSReset.exe來觸發此協議。
在Windows 10及以上版本中，系統會顯示一個新的toast對話框，用於為選定的文件類型選擇打開的應用程序。要隱藏此窗口，該工具會明顯地將新條目添加到HKCU\Software\Microsoft\Windows\CurrentVersion\ApplicationAssociationToast，以禁用與協議ms-Windows存儲相關的所有Toast。
應用程序關聯toast的示例
通過註冊表隱藏應用程序關聯toast
完成此操作後，該工具開始更改ms-windows-store的shell命令，並最終使用WSReset.exe觸發它。
SilentCleanup在Windows 10中，有一個名為“SilentCleanup”的本地Windows服務。該服務具有最高權限，可以用於Windows 10 UAC繞過。通常，此服務用於運行%windir%\system32\cleanmgr.exe。但是，可以劫持環境變量%windir%並將其更改為任何路徑以實現權限升級。
濫用SilentCleanup服務的惡意命令
研究人員觀察到攻擊者使用這種技術來執行c:\users\public\1.exe。
橫向運動在這個階段，研究人員觀察到某些惡意軟件，如HIUPAN和ACNSHELL（最初由Mandiant和Sophos引入並分析），被用來自我安裝到可移動磁盤並創建反向shell。
USB蠕蟲: Worm.Win 32.HIUPAN and+ Backdoor.Win 32.ACNSHELL研究人員發現了一組由USB蠕蟲和反向shell組成的惡意軟件，包括USB蠕蟲和反向shell(被檢測為Worm.Win32.HIUPAN和Backdoor.Win32.ACNSHELL)，用於在可移動驅動器上進行擴展。
感染鏈如下圖所示。
HIUPAN和ACNSHELL感染流
USB Driver.exe程序首先側加載u2ec.dll，然後加載有效負載文件USB .ini。它們分別具有以下PDB字符串：
G:\project\APT\U盤劫持\new\u2ec\Release\u2ec.pdb
G:\project\APT\U盤劫持\new\shellcode\Release\shellcode.pdb
其中“U盤”指的是可移動驅動器。
然後，USB Driver.exe開始檢查是否正確安裝。如果安裝了它，它將開始感染更多的可移動磁盤，並將文件複製到一個名為autorun.inf的文件夾中。如果沒有安裝，它會將自己安裝到%programdata%，然後將註冊表運行項設置為持久性。
最後，側加載ACNSHELL惡意軟件rzlog4cpp.dll。然後，它將通過ncat.exe創建一個反向shell，用於關閉[.]theworkpc[.]com的服務器。
指揮與控制(CC)階段Earth Preta在CC階段使用了多種工具和命令。例如，該組織使用certutil.exe從服務器103[.]159[.]132[.]91下載合法的WinRAR二進製文件rar1.exe。
certutil.exe程序下載WinRAR二進製文件
研究人員還觀察到攻擊者使用PowerShell從服務器103[.]159[.]132[.]下載多個惡意軟件和文件，以備將來使用。
PowerShell下載惡意軟件
在某些示例中，研究人員甚至利用安裝在受害主機上的WinRAR二進製文件來解壓所有惡意軟件。
使用已安裝的WinRAR二進製文件解壓惡意軟件
雖然研究人員發現了涉及多個被釋放惡意軟件的幾個日誌，但研究人員只設法找回了其中的幾個。在收集的所有示例中，我們將重點介紹其中幾個。
Backdoor.Win32.CLEXECCLEXEC後門文件名為“SensorAware.dll”。這是一個簡單的後門，能夠執行命令和清除事件日誌。
CLEXEC命令代碼
Backdoor.Win32.COOLCLIENTCOOLCLIENT的後門首次出現在Sophos的一份報告中，報告中提到的樣本是在2021編譯的。在該示例中，研究人員分析的COOLCLIENT示例的最近編譯時間是在2022年，雖然它提供了相同的功能，但噹噹前進程名具有“.pdf”或“.jpg”文件擴展名時，它新增了打開誘餌文件(work.pdf)的功能。它還包含減少調試字符串(更少OutputDebugStrings調用)的功能。與此同時,loader.ja在兩個進程下使用：一個是在googleupdate.exe下，用於第一次側加載。第二個是在winver.exe下，它被注入進行後門行為。此外，COOLCLIENT應用了將在我們將在後面討論的混淆技術。
打開誘餌文件
下圖顯示了COOLCLIENT的整個執行流程。
COOLCLIENT的執行流
COOLCLIENT的參數提供了以下功能：
install.有三種不同的條件來決定COOLCLIENT的安裝方法，詳細信息如下：
1.它通過創建一個名為InstallSvc的InstallSvc服務來自我安裝，該服務將觸發“googleupdate.exe work”。
2.它通過命令C:\ProgramData\GoogleUpdate\ GoogleUpdate .exe為持久活動設置了一個運行項。
work.惡意軟件將繼續讀取和解密goopdate.ja，並將其註入到winver.exe中以用於包含攻擊的下一階段負載（COOLCLIENT）。
passuac.惡意軟件將檢查進程avp.exe是否存在。如果avp.exe不存在，UAC繞過將通過CMSTPLUA COM接口執行。如果avp.exe存在，UAC繞過將通過AppInfo RPC服務執行。
通過CMSTPLUA COM接口繞過UAC
Recommended Comments