By HireHackking in HACKER
· 3 views
1 概覽近期，安天CERT監測到通過GitHub傳播竊密木馬的攻擊活動。攻擊者在其發布項目的環境依賴文件requirements.txt中添加惡意URL，以獲取其惡意篡改的流行開源模塊，從而在受害者電腦中植入竊密木馬。
攻擊者使用空格將惡意代碼掩藏在該行代碼的末尾，以避免被用戶察覺；並使用多種手段對惡意代碼進行混淆處理，以規避安全產品檢測、阻礙安全人員分析。經過多層腳本載荷的傳遞後，將執行一種由Python編寫的竊密木馬。該竊密木馬會在受害主機中竊取瀏覽器、社交平台、加密貨幣錢包、遊戲客戶端中的敏感信息，並針對目標路徑中匹配關鍵詞的文件夾及文件進行竊取，最終將竊密數據回傳至C2服務器或上傳至文件共享平台Gofile中。
在此次攻擊活動中，攻擊者在自己發布的項目中引入經過惡意篡改的流行開源模塊，從而傳播竊密木馬。對流行的開源項目進行篡改，在其中添加惡意代碼後重新打包並在發布的項目中進行惡意引用，已經成為一種攻擊方式，用戶很難察覺環境依賴文件中是否存在異常。用戶在使用網絡中非流行、未證實安全性的開源項目時也需保持警惕，以避免執行掩藏在其中的惡意代碼。
經驗證，安天智甲終端防禦系統（簡稱IEP）可實現對該竊密木馬的有效查殺。 2 技術梳理攻擊者在GitHub中上傳項目，並在環境依賴文件requirements.txt中添加惡意URL。當用戶使用該項目時，需要根據該文件中的內容進行配置，從而下載執行經過攻擊者惡意篡改的colorama模塊。
攻擊者添加的惡意代碼用於從其服務器中獲取“version”文件，該文件使用Fernet算法進行加解密，執行後獲取“inj”文件並寫入臨時文件中；“inj”文件經過混淆處理，通過zlib對代碼進行解壓；解壓後的代碼用於獲取最終的竊密木馬，通過註冊表實現持久化，並向C2服務器回傳受害主機的用戶名稱、IP信息等基本數據。
該竊密木馬會竊取指定瀏覽器、社交平台、加密貨幣錢包、遊戲客戶端中的敏感數據，並對目標路徑中含有關鍵詞的文件夾中的文件（最多7個）、以及含有關鍵詞且大小小於500000字節（約488KiB）的文件進行竊取。完成竊密行為後，竊密木馬通過HTTP POST方式將竊密數據回傳至C2服務器中。當第一種回傳方式出錯時，該竊密木馬會將竊取的數據上傳至文件共享平台Gofile。
圖2‑1攻擊流程圖
3 關聯分析此次發現的惡意GitHub項目是“Discord-Token-Generator”，最早於2024年1月份創建。
圖3‑1惡意GitHub項目
該項目的環境依賴文件requirements.txt中包含一個託管colorama-0.4.6.tar.gz的URL。攻擊者對域名進行了偽裝，在流行開源模塊colorama-0.4.6中添加了惡意代碼，並進行重新打包。
圖3‑2惡意Github項目中的requirements.txt文件
根據requirements.txt文件中發現的惡意域名，目前在GitHub中有多個項目引用了經過攻擊者惡意篡改的模塊，相關賬號可能都是由同一批攻擊者所創建。
圖3‑3引用經過攻擊者惡意篡改模塊的相關GitHub項目
攻擊者用於託管載荷的域名於2024年2月份註冊，表明這是一起剛開始進行的攻擊活動。
圖3‑4攻擊者使用域名的註冊時間
在多個惡意GitHub項目中存在攻擊者修改requirements.txt文件的痕跡。分析時已無法獲取到該URL中的colorama-0.4.3.tar.gz，不能判斷該文件是否惡意。
圖3‑5攻擊者修改requirements.txt的痕跡
此外，在竊密木馬文件中存在多處葡萄牙語痕跡，表明攻擊者可能位於葡語系國家或地區。
圖3‑6攻擊者在竊密木馬文件中使用葡萄牙語進行輸出
竊密木馬竊取文件的關鍵詞列表中存在幾處法語，表明攻擊者可能更加針對法語用戶。
圖3‑7竊密文件中的法語痕跡
4 樣本分析4.1 經過攻擊者篡改的colorama模塊colorama是一個開源的Python模塊，能夠提供彩色的終端文本。攻擊者在其__init__.py文件中，通過463個空格將惡意代碼掩藏在第5行末尾，然後將篡改的colorama模塊重新打包並託管於搭建的服務器中。由於__init__.py文件用於定義包的初始化代碼，因此當用戶導入該包時會自動執行其中的惡意代碼。該惡意代碼用於從攻擊者服務器中接收“version”文件中的內容並執行。
圖4‑1攻擊者掩藏的惡意代碼
4.2 version“version”文件中的代碼使用Fernet算法，通過攻擊者自定義的密鑰對代碼進行解密，然後對解密的代碼進行執行。
圖4‑2執行通過Fernet算法進行加解密的代碼
解密後的代碼訪問指定的URL，將“inj”文件內容寫入臨時文件中，並通過python執行。
圖4‑3獲取“inj”文件內容並執行
4.3 inj該文件是一個Python腳本，攻擊者使用中文、日文對變量及函數等進行命名，並且對代碼進行了混淆處理。
圖4‑4 inj文件內容
攻擊者同樣通過空格對關鍵代碼進行掩藏，經解混淆處理後發現，該腳本的作用是使用zlib解壓出下一階段的代碼並進行執行。
圖4‑5經過zlib壓縮的代碼
4.4 經過zlib解壓的代碼該代碼使用Python編寫，其作用是在%APPDATA、%LOCALAPPDATA%、%TEMP%中選取一個目錄生成一個隨機名稱的文件，將從指定URL中獲取的內容寫入該文件中執行，通過註冊表實現持久化，並向C2服務器回傳受害主機的用戶名稱、IP信息等數據。
圖4‑6該代碼的作用
4.5 竊密木馬4.5.1 竊密經過以上多層載荷的傳遞，最終將執行一種使用Python編寫的竊密木馬。其竊密目標如下表所示。
表4‑1竊密目標
瀏覽器
Opera
Chrome
Brave
Vivaldi
Edge
Yandex
Firefox
社交平台
Discord
Telegram
加密貨幣錢包
Atomic Wallet
Guarda
Zcash
Armory
Bytecoin
Exodus
Binance
Jaxx
Electrum
Coinomi
遊戲客戶端
Steam
Riot Client
該竊密木馬也會對目標路徑中含有關鍵詞的文件夾中的文件（最多7個）、以及含有關鍵詞且大小小於500000字節（約488KiB）的文件進行竊取。目標路徑及關鍵詞如下表所示。
表4‑2目標路徑及關鍵詞
目標路徑
桌面
下載
文件
最近使用的項目
關鍵詞
passw
mdp
motdepasse
mot_de_passe
login
secret
bot
atomic
account
acount
paypal
banque
bot
metamask
wallet
crypto
exodus
ledger
trezor
hardware
cold
.dat
discord
2fa
code
memo
compte
to0k3en
backup
secret
seed
mnemonic
memoric
private
key
passphrase
pass
phrase
steal
bank
info
casino
prv
privé
prive
telegram
identifiant
personnel
trading
bitcoin
sauvegarde
funds
récupé
recup
note
4.5.2 回傳該竊密木馬通過HTTP POST將竊取的數據回傳至C2服務器中。
圖4‑7 HTTP POST回傳方式
當該回傳方式出錯時，該竊密木馬會將竊取的數據上傳至文件共享平台Gofile，並將上傳後形成的下載鏈接記錄在“loggrab”文件中回傳至C2服務器。
圖4‑8將數據上傳至Gofile
5 防護建議5.1 加強終端文件接收和執行防護建議企業用戶部署專業的終端安全防護產品，對本地新增和啟動文件進行實時檢測，並週期性進行網內病毒掃描。安天智甲終端安全系列產品（以下簡稱“智甲”）依托安天自研威脅檢測引擎和內核級主動防禦能力，可以有效查殺本次發現病毒樣本。
智甲可對本地磁盤進行實時監測，對新增文件自動化進行病毒檢測，對發現病毒可在其落地時第一時間發送告警並進行處置，避免惡意代碼啟動。
圖5‑1發現病毒時，智甲第一時間捕獲並發送告警
智甲還為用戶提供統一管理平台，管理員可通過平台集中查看網內威脅事件詳情，並批量進行處置，提高終端安全運維效率。
圖5‑2通過智甲管理中心查看並完成威脅事件處置
6 IoCsIoCs
96B4C32AFE965529510A6430C2A7AAD3
150B3626C85EC5AF88B86C0D0E24736B
6580C4990E1E56A7D31A36FF1A0502FA
DD9914573C751C4D8BE4BFE0519F9597
6573627FFC97CA6E82A238561C14A9E4
https[:]//files.pypihosted.org/packages/d8/53/6f443c9a4a8358a93a6792e2acffb9d9d5cb0a5cfd8802644b7b1c9a02e4/colorama-0.4.6.tar.gz
https[:]//pypihosted.org
162.248.100[.]217
Recommended Comments