响尾蛇组织窃密木马通信分析

通 信 过 程

    该窃密木马会将收集到的信息存储到C:\Users\username\AppData\Roaming\SyncDat\目录下，系统信息和已安装程序列表存储到*.sif文件中，文件列表信息存储到*.flc文件，指定后缀文件信息存储到*.fls文件中，错误日志存储到*.err文件中。

    该窃密木马创建了定时器来触发上传操作，通过向https://cdn-sop.net/202/F2cPn7PzyV2DdCL4nNCotIfPzcXCLM1YvyGlmyp6/-1/13897/37d4baca发送POST请求将SyncDat目录下的文件上传到C2服务器。

    窃密木马生成的HTTP请求头中填充了上传的文件路径和文件类型，如下图所示，X-File-Path字段中填充了Base64编码的文件路径，X-File-Type字段中填充了文件类型“sysInfo”（系统信息）。上传的文件信息使用GZIP进行压缩。

模拟服务器下发加密后的DLL，如下图所示，窃密木马可以正常解析并执行控制指令。

该窃密木马获取Base64编码字符串后解码，并使用第一个字节数据作为控制指令码，具体功能如下：

本次分析的响尾蛇组织窃密木马，通过HTTPS加密通信的方式实现隐蔽上传窃密数据和下发控制指令，其中，该木马控制指令下发的方式很有特点，控制端下发加密后的DLL文件，将控制命令隐藏在DLL文件中，当受控主机调用该DLL文件执行时即可获得指令。当前大多数APT组织都会使用加密通信的方式隐藏命令与控制信息，观成科技安全研究团队通过逆向分析技术对APT组织样本进行分析，研究其加密通信技术手法，并持续对APT组织的进行监测和跟踪。