AI智能體專區(qū)
立即體驗(yàn)恒腦安全智能體 
立即解鎖AI安服數(shù)字員工 
行業(yè)解決方案
技術(shù)解決方案
利用網(wǎng)絡(luò)空間探測引擎跟蹤Lazarus組織的活動(dòng)痕跡
摘要
Lazarus是來自朝鮮的APT組織，該組織通常使用魚叉式釣魚郵件作為樣本投遞手段，主要以韓國和美國為攻擊目標(biāo)，其攻擊活動(dòng)還涉及金融和數(shù)字貨幣等領(lǐng)域。本次分析結(jié)合了網(wǎng)絡(luò)空間測繪探測技術(shù)跟蹤到該組織相關(guān)Rat程序的網(wǎng)絡(luò)基礎(chǔ)設(shè)施活動(dòng)痕跡。
?
背景
本次獲取到的三個(gè)Lazarus組織樣本公開時(shí)間在2019年6月左右，被ExeStealth V2殼加密。三份樣本的架構(gòu)和硬編碼C2完全一致。樣本主體是Lazarus組織使用的Rat程序，屬于APT攻擊感染鏈的末端。Rat中的C2通信指令非常基礎(chǔ)，可通過不同的組合構(gòu)造出高級(jí)指令，功能至少包括文件上傳、路徑遍歷、文件下載和遠(yuǎn)程執(zhí)行等。
?
樣本分析
偽裝信息
樣本利用偽造的資源信息，偽裝成“Adobe Reader”的可執(zhí)行程序：
殼信息
樣本使用ExeStealth V2殼：
使用SEH進(jìn)行反調(diào)試：
字符串加密
樣本使用了多種字符串加密手段，其中最主要的解密方法是部分字符位移，函數(shù)和部分字符串使用的解密秘鑰不同，但整體架構(gòu)一致，下面給出解密腳本：
從樣本中共解密出101個(gè)函數(shù)和一些特征字符串信息，解碼后的樣本主要編程環(huán)境為朝鮮語（ko-KR），通信使用的User-Agent為“User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) Chrome/28.0.1500.95 Safari/537.36”。
偽裝的服務(wù)端信息：
以表單方式上傳：
提交數(shù)據(jù)的POST路徑：
虛假證書
樣本利用以下網(wǎng)站域名制作的虛假證書進(jìn)行通信：
內(nèi)置腳本
樣本中硬編碼的腳本如下：
C2指令
共分析出28個(gè)C2功能，C2指令流程圖如下：
C2指令中包含非常多的基礎(chǔ)功能，包括文件獲取、磁盤遍歷、寫文件、重啟刪除、進(jìn)程創(chuàng)建、CMD命令執(zhí)行等，通過組合方式構(gòu)造成高級(jí)指令執(zhí)行。
?
與友商分析的其他樣本在指令區(qū)間有稍有不同，大于0x12348C或小于0x123459都無效，0x12347A為操作成功指令碼、0x12345C為操作失敗指令碼。
?
內(nèi)置IP
樣本內(nèi)置的兩個(gè)IP地址分別為218.103.37.229和23.115.75.188。
?
活動(dòng)跟蹤
2019年9月美國宣布加強(qiáng)對(duì)朝鮮的制裁，本次分析的Lazarus樣本活躍時(shí)期初步推測在該輪制裁之前。通過網(wǎng)絡(luò)空間測繪探測技術(shù)，我們了解到IP：23.115.75.188在2019年6月1日開放過443端口：
另一基礎(chǔ)設(shè)施IP：218.103.37.229在2019年8月28日開放過FTP端口：
網(wǎng)絡(luò)空間測繪得到的線索與我們從樣本中獲知的信息相對(duì)應(yīng)，從另一維度向我們描述Lazarus組織的網(wǎng)絡(luò)活動(dòng)痕跡。
?
參考鏈接
https://www.secpulse.com/archives/99324.html
https://www.freebuf.com/articles/network/164511.html
https://www.freebuf.com/sectool/154259.html
?
IOC
相關(guān)推薦
- 安恒信息圓滿支撐2019年電力行業(yè)網(wǎng)絡(luò)安全論壇暨攻防決賽
- 南京郵電大學(xué)&安恒信息開展戰(zhàn)略合作
- 范淵榮獲2019浙江省青年數(shù)字經(jīng)濟(jì)“鴻鵠獎(jiǎng)”
- 數(shù)世咨詢：2019年網(wǎng)絡(luò)安全大事記
- 2019西湖論劍·網(wǎng)絡(luò)安全大會(huì)榮獲“金匠獎(jiǎng)最佳品牌升級(jí)獎(jiǎng)”
- 安恒信息接連榮獲“盤古”“伏羲”“影響力企業(yè)”三項(xiàng)獲獎(jiǎng)
- 安恒信息第一批8個(gè)產(chǎn)學(xué)合作協(xié)同育人項(xiàng)目立項(xiàng)，看看有哪些合作高校？
