一次针对安全人员免杀工具的投毒事件分析

渗透技巧 2年前 (2022) admin
776 0 0

0X01 事件概述

小二在日常安全运营中发现公司某部门同事终端触发了powershell远程下载的告警。调查发现其在github 上下载的免杀工具,调用powershell下载了后门程序,经过分析后门为远控软件,疑似对安全人员一次投毒攻击。

0x02 事件处置

2022/08/22 15:54:52发现一终端触发powershell远程下载告警,经过初步分析该命令作用为下载两个exe文件并执行。联系受害者,断网,上机提取样本,排查持久化,重启。

powershell远程下载的地址为:

https://cdn.discordapp\[.\]com/attachments/970173239244488825/1010928604487626893/Exe\_Converter.exe

https://billing-seruice\[.\]com/files/7exGqJhF9PlC.exe

通过访问下载的链接获取到了样本,发现两个样本均会报毒,第二个样本为后门。

一次针对安全人员免杀工具的投毒事件分析 一次针对安全人员免杀工具的投毒事件分析

0x03 样本分析

受害者是通过https://github.com/corpXd/Exe-To-Rp下载到工具,运行后触发的告警。使用IDA对其 进行分析,发现该exe只有一个功能,使用shellexecuteA执行一段powershell命令,如下图所示:

一次针对安全人员免杀工具的投毒事件分析
使用工具对该命令进行解密,发现该命令的功能是下载正常的Exe_Converter.exe(免杀工具),然后再下载一个名为7exGqJhF9PlC.exe的文件并执行:

一次针对安全人员免杀工具的投毒事件分析

对远程下载的Exe_Converter.exe进行分析:

分析Exe_Converter.exe发现,该样本是一个将二进制文件转为图片的工具,作者为韩国人

读取exe文件:

一次针对安全人员免杀工具的投毒事件分析

将exe转为图片:

一次针对安全人员免杀工具的投毒事件分析
作者的信息:

一次针对安全人员免杀工具的投毒事件分析

对7exGqJhF9PlC.exe进行分析:

该木马使用了伪造的签名,签名时间为8月21日:

一次针对安全人员免杀工具的投毒事件分析

该木马进行了大量的混淆,最后会在内存中执行一个pe文件,但是该文件并不是一个标准的PE文件:

一次针对安全人员免杀工具的投毒事件分析

一次针对安全人员免杀工具的投毒事件分析
该内存加载的文件会对进程,文件,机器名称,用户名进行对比,以用于确定是否是在被调试或者是否是在沙箱环境

一次针对安全人员免杀工具的投毒事件分析

将自身复制到C:\\Users\\Administrator\\AppVerif(当前用户的AppVerif目录下,该目录是后面创建的),并命名为DllHelper.exe

一次针对安全人员免杀工具的投毒事件分析
然后创建计划任务,计划任务名字为COMSurrogate

一次针对安全人员免杀工具的投毒事件分析

自删除操作,使用ping延迟执行。

一次针对安全人员免杀工具的投毒事件分析

然后计划任务会启动dllhelper,dllhelper会将真正的马注入到InstallUtil.exe

对注入到InstallUtil.exe的pe文件的分析:

该文件为32位的.net文件,该文件基于github开源项目Dcrat魔改,魔改的版本为1.0.7,该样本相较于原始木马添加了amsi的绕过功能

数据包特征:

一次针对安全人员免杀工具的投毒事件分析

Dcrat版本信息:

一次针对安全人员免杀工具的投毒事件分析

该样本会从pastebin拉取c2的地址:

一次针对安全人员免杀工具的投毒事件分析 一次针对安全人员免杀工具的投毒事件分析 一次针对安全人员免杀工具的投毒事件分析

该端口在不停变化,说明攻击者在不断更新

一次针对安全人员免杀工具的投毒事件分析

Dcrat使用了多种的规避技术:

1.Bypass Amsi的技术,使用patch Amsi.dll的手法来进行绕过

一次针对安全人员免杀工具的投毒事件分析

2.查找可疑进程并终止

一次针对安全人员免杀工具的投毒事件分析

3.通过wmi判断当前环境是否为虚拟机环境

一次针对安全人员免杀工具的投毒事件分析

在这次的样本中并没有开启反虚拟机和反可疑进程功能

一次针对安全人员免杀工具的投毒事件分析

样本执行流程

一次针对安全人员免杀工具的投毒事件分析

TTPS:

Initial Access Execution Persistence Defense Evasion command and control
powershell远程下载 powershell执行 计划任务 Patch amsi DcRat
计划任务 ollvm Ngrok(内网穿透,隐藏C2,防止溯源)
sleep for a long time
anti sandbx(查看用户名,进程)
anti vm(查看文件,用户名)
self delete
process injection
PEtoShellcode
伪造签名

0x04 样本行为日志分析

8.22日11.11分左右,用户解压了下载下来的工具压缩文件,其中释放的Exe_Converter.exe就是带有后门的工具程序:

一次针对安全人员免杀工具的投毒事件分析

随后用户点击了Exe_Converter.exe,该进程调用了powershell执行远程下载操作:

一次针对安全人员免杀工具的投毒事件分析

powershell先是在temp目录下又下载了一个Exe_Converter.exe:

一次针对安全人员免杀工具的投毒事件分析

然后下载了一个7exGqJhF9PlC.exe:

一次针对安全人员免杀工具的投毒事件分析

powershell指令解码结果如下,可以看到使用Start-Process函数启动下载在Temp目录下的7exGqJhF9PlC.exe和Exe_Converter.exe

一次针对安全人员免杀工具的投毒事件分析

7exGqJhF9PlC.exe进程被启动:

一次针对安全人员免杀工具的投毒事件分析

然后7exGqJhF9PlC.exe在C:\Users\Administrator\AppVerif下创建了一个DllHelper.exe,7exGqJhF9PlC.exe进程退出:

一次针对安全人员免杀工具的投毒事件分析

7exGqJhF9PlC.exe 进程在退出前是要启动 DllHelper.exe和 schtasks.exe(疑似要做计划任务权限维持)的,但是进程调用被防护软件拦截,7exGqJhF9PlC.exe 和 DllHelper.exe 随后也被查杀:

一次针对安全人员免杀工具的投毒事件分析

通过DllHelper.exe的hash查询到该文件也是7exGqJhF9PlC.exe,只是改了个名字

一次针对安全人员免杀工具的投毒事件分析

0x05 样本动态分析

在个人网络虚拟机环境运行DllHelper.exe(11.exe),发现有复制自身到AppVerif目录下,并添加进注册表启动项进行权限维持的行为:

一次针对安全人员免杀工具的投毒事件分析
然后原始的DllHelper.exe(11.exe)启动了释放的DllHelper.exe,DllHelper.exe启动了系统进程InstallUtil.exe,由系统进程与C2通信:

一次针对安全人员免杀工具的投毒事件分析

经过测试发现外联IP并不固定,解析的两个域名一个为白,一个为黑,近期标签显示为njRAT远控和CobaltStrike木马:

攻击者是从另一个白域名pastebin.com(一个公共的记事本类型的网站,可以将发布的信息共享出去,会给每条发布的信息生成永久的url和短链)拉取的下一阶段的域名,0.tcp.ap.ngrok.io是一个内网穿透工具的域名,用于隐藏C2。

在动态分析样本的过程中,发现外联C2之后,对面是活跃状态,在翻机器上的文件,并实施了密码抓取操作:

一次针对安全人员免杀工具的投毒事件分析

0x06 溯源分析

样本来源:https://github.com/corpXd

一次针对安全人员免杀工具的投毒事件分析

疑似作者在breached[.]to上发过帖子

https://breached[.]to/Thread-Exe-to-RP-convertor-bypass-AV-0-26-or-3-26

一次针对安全人员免杀工具的投毒事件分析
https://billing-seruice.com/files/ 上都疑似攻击者存的更多的木马及脚本。

一次针对安全人员免杀工具的投毒事件分析
IOC:

C2:

https://pastebin.com/raw/31VUe5a9

0.tcp.ap.ngrok.io:17784

https://github.com/corpXd/Exe-To-Rp/blob/main/Exe-Convertor.zip

https://cdn.discordapp.com/attachments/970173239244488825/1010928604487626893/Exe\_Converter.exe

https://billing-seruice.com/files/7exGqJhF9PlC.exe

MD5:

1B0221F9C4C1E81542B3A067B95E90A1 7exGqJhF9PlC.exe

EBF6F6F421EA6075F368DCCF6DED82BD Exe_Converter.exe

7762824DE5BEBC4245150F90B327D26D Exe_Converter.zip

0x07 总结

此次攻击疑似对安全人员的水坑攻击,在安全工具里内置后门,通过powershell下载样本,样本自删除,伪装系统进程,并进行进程注入,使用了DCRAT远控,并用pastbin,ngrok域名隐藏C2,后续进行权限维持,翻找文件、提取密码等动作。这次攻击也提醒,安全从业者,陌生的工具使用须谨慎。

原文始发于奇安信攻防社区(安全运营小二):一次针对安全人员免杀工具的投毒事件分析

版权声明:admin 发表于 2022年9月20日 下午3:20。
转载请注明:一次针对安全人员免杀工具的投毒事件分析 | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...