响尾蛇组织窃密木马通信分析
发布日期:2023-01-09      作者:       来源:信息安全与通信保密杂志社      分享:

响尾蛇组织窃密木马通信分析


2022年11月22日,响尾蛇组织对我国高校发起攻击活动,利用疫情相关信息包装钓鱼邮件,诱导受害者打开邮件附件,十分具有迷惑性。本次攻击活动仍然采用以往的攻击流程,利用LNK文件下载HTA文件,最终完成窃密行为或实现远程控制。观成科技安全研究团队对响尾蛇组织在类似攻击活动中常用的窃密木马家族进行逆向分析,搭建服务器模拟木马控制端,复现了其通信过程。



通 信 过 程


样本MD5

c5bccd80e4dd46870cb60304e4dbc1d7

威胁类型

窃密木马

域名

cdn-sop.net

APT组织

响尾蛇(Sidewinder)


该窃密木马执行后,通过HTTPS加密协议上传窃取的系统信息、文件列表,并从C2服务器获取控制指令然后执行。


上传窃密数据


    该窃密木马会将收集到的信息存储到C:\Users\username\AppData\Roaming\SyncDat\目录下,系统信息和已安装程序列表存储到*.sif文件中,文件列表信息存储到*.flc文件,指定后缀文件信息存储到*.fls文件中,错误日志存储到*.err文件中。

    该窃密木马创建了定时器来触发上传操作,通过向https://cdn-sop.net/202/F2cPn7PzyV2DdCL4nNCotIfPzcXCLM1YvyGlmyp6/-1/13897/37d4baca发送POST请求将SyncDat目录下的文件上传到C2服务器。

    窃密木马生成的HTTP请求头中填充了上传的文件路径和文件类型,如下图所示,X-File-Path字段中填充了Base64编码的文件路径,X-File-Type字段中填充了文件类型“sysInfo”(系统信息)。上传的文件信息使用GZIP进行压缩。



图1:上传系统信息和已安装文件列表(HTTPS解密后)


image.png

图2:上传系统信息和已安装文件列表(HTTPS


image.png


下发控制指令

该窃密木马创建了定时器触发请求控制指令操作,通过向https://cdn-sop.net/202/F2cPn7PzyV2DdCL4nNCotIfPzcXCLM1YvyGlmyp6/-1/13897/37d4baca发送HTTP GET请求来获取控制指令。

图3:服务器下发控制指令(HTTPS)


image.png

该窃密木马使用了不同于其他木马的指令下发方式。C2服务器将控制指令隐藏在DLL的ToString方法中,通过下发DLL文件来传递控制指令。


图4:包含控制指令的DLL


image.png

服务器下发的DLL经过了XOR加密,加密数据结构如下。前0x20字节是服务器生成的XOR密钥,后面的数据是循环异或后的DLL数据。


图5:加密数据



image.png

image.png



模拟服务器下发加密后的DLL,如下图所示,窃密木马可以正常解析并执行控制指令。

图6:服务器下发控制指令(HTTPS解密后)


该窃密木马获取Base64编码字符串后解码,并使用第一个字节数据作为控制指令码,具体功能如下:


控制指令码

功能

1

获取系统信息,以Json格式写入随机文件名.sif文件

2

遍历文件列表写入.flc文件

3

将指定文件的文件信息写入.fls文件

4

重写配置文件

5

更换C&C地址,生成长图

6

更新是否上传文件参数

7

修改配置文件的想要窃取的文件类型

8

设置上传大小限制

9

上传指定文件

10

返回


产 品 检 测




观成瞰云(ENS)-加密威胁智能检测系统能够对响尾蛇APT组织的加密流量进行检测。


图7:TLS协议加密流量检测鱼骨图


image.png


总 结



本次分析的响尾蛇组织窃密木马,通过HTTPS加密通信的方式实现隐蔽上传窃密数据和下发控制指令,其中,该木马控制指令下发的方式很有特点,控制端下发加密后的DLL文件,将控制命令隐藏在DLL文件中,当受控主机调用该DLL文件执行时即可获得指令。当前大多数APT组织都会使用加密通信的方式隐藏命令与控制信息,观成科技安全研究团队通过逆向分析技术对APT组织样本进行分析,研究其加密通信技术手法,并持续对APT组织的进行监测和跟踪。


友情链接:

返回软协官网首页

通讯地址:北京市海淀区海淀南路甲21号中关村知识产权大厦A座2层206、207室     邮政编码:100080

电话:010-62565314 刘莉    京ICP证16064523号-2    版权所有:北京软件和信息服务业协会

技术支持:中科服    内容支持:鑫网安

你知道你的Internet Explorer是过时了吗?

为了得到我们网站最好的体验效果,我们建议您升级到最新版本的Internet Explorer或选择另一个web浏览器.一个列表最流行的web浏览器在下面可以找到.