主持人 > 博客 > 管理 > RATKing：带有远程访问木马的新活动

RATKing：带有远程访问木马的新活动

XNUMX 月底，我们发现了一场分发远程访问木马 (RAT) 恶意软件的活动，该程序允许攻击者远程控制受感染的系统。

我们检查的组的特点是它没有选择任何特定的 RAT 家族进行感染。 在活动中的攻击中发现了多个特洛伊木马（所有这些都被广泛使用）。 凭借这一特征，该小组让我们想起了鼠王——一种由尾巴缠绕在一起的啮齿动物组成的神话动物。

RATKing：带有远程访问木马的新活动
原文摘自 K. N. Rossikov 的专着《小鼠和类小鼠啮齿动物，最经济上最重要的》（1908）

为了纪念这种生物，我们将我们正在考虑的团队命名为“RATKing”。 在这篇文章中，我们将详细介绍攻击者如何实施攻击、他们使用了哪些工具，并分享我们对此次活动归因的想法。

攻击进展

该活动中的所有攻击都是根据以下算法进行的：

  1. 用户收到一封钓鱼电子邮件，其中包含 Google 云端硬盘的链接。
  2. 使用该链接，受害者下载了一个恶意 VBS 脚本，该脚本指定了一个 DLL 库以将最终有效负载加载到 Windows 注册表中，并启动 PowerShell 来执行它。
  3. DLL 库将最终的有效负载（实际上是攻击者使用的 RAT 之一）注入到系统进程中，并在自动运行中注册 VBS 脚本，以便在受感染的计算机中站稳脚跟。
  4. 最终的有效负载在系统进程中执行，使攻击者能够控制受感染的计算机。

它可以示意性地表示如下：

RATKing：带有远程访问木马的新活动

接下来，我们将重点关注前三个阶段，因为我们对恶意软件传递机制感兴趣。 我们不会详细描述恶意软件本身的运行机制。 它们被广泛使用——或者在专门的论坛上出售，或者甚至作为开源项目分发——因此并不是 RATKing 组织独有的。

攻击阶段分析

第 1 阶段. 网络钓鱼电子邮件

攻击始于受害者收到一封恶意信件（攻击者使用不同的文本模板；下面的屏幕截图显示了一个示例）。 该消息包含指向合法存储库的链接 drive.google.com，据称这会导致 PDF 文档下载页面。

RATKing：带有远程访问木马的新活动
网络钓鱼电子邮件示例

然而事实上，加载的根本不是PDF文档，而是VBS脚本。

当您单击上面屏幕截图中电子邮件中的链接时，会出现一个名为 Cargo Flight Details.vbs。 在这种情况下，攻击者甚至没有尝试将该文件伪装成合法文档。

与此同时，作为该活动的一部分，我们发现了一个名为 Cargo Trip Detail.pdf.vbs。 它已经可以被视为合法的 PDF，因为 Windows 默认隐藏文件扩展名。 诚然，在这种情况下，其图标仍然可能引起怀疑，因为它与 VBS 脚本相对应。

在这个阶段，受害者可以识别出欺骗行为：只需仔细查看下载的文件一秒钟即可。 然而，在此类网络钓鱼活动中，攻击者通常依赖于不专心或匆忙的用户。

第二阶段.VBS脚本运行

用户可能无意中打开的 VBS 脚本在 Windows 注册表中注册了一个 DLL 库。 该脚本被混淆了：其中的行被编写为由任意字符分隔的字节。

RATKing：带有远程访问木马的新活动
混淆脚本的示例

反混淆算法非常简单：从混淆字符串中排除每三个字符，然后将结果从 base16 解码为原始字符串。 例如，从值 57Q53s63t72s69J70r74e2El53v68m65j6CH6Ct （在上面的屏幕截图中突出显示）结果行是 WScript.Shell.

为了对字符串进行反混淆，我们使用了 Python 函数：

def decode_str(data_enc):   
    return binascii.unhexlify(''.join([data_enc[i:i+2] for i in range(0, len(data_enc), 3)]))

下面的第 9-10 行，我们突出显示了反混淆后生成 DLL 文件的值。 下一阶段使用PowerShell启动的正是他。

RATKing：带有远程访问木马的新活动
带有混淆 DLL 的字符串

VBS 脚本中的每个函数都是在字符串被反混淆时执行的。

运行脚本后，函数被调用 wscript.sleep ——它被用来执行延迟执行。

接下来，该脚本与 Windows 注册表一起工作。 他为此使用了 WMI 技术。 在它的帮助下，创建了一个唯一的密钥，并将可执行文件的主体写入其参数。 使用以下命令通过 WMI 访问注册表：

GetObject(winmgmts {impersonationLevel=impersonate}!\.rootdefault:StdRegProv)

RATKing：带有远程访问木马的新活动
由 VBS 脚本在注册表中创建的条目

第三阶段. DLL库的操作

在第三阶段，恶意DLL加载最终的有效负载，将其注入系统进程，并确保VBS脚本在用户登录时自动启动。

通过 PowerShell 运行

该 DLL 是在 PowerShell 中使用以下命令执行的：

[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0

该命令执行了以下操作：

  • 收到带有名称的注册表值数据 rnd_value_name — 该数据是在.Net平台上编写的DLL文件；
  • 将生成的 .Net 模块加载到进程内存中 powershell.exe 使用该功能 [System.Threading.Thread]::GetDomain().Load() （Load()函数详细说明 可在 Microsoft 网站上找到);
  • 执行该功能 GUyyvmzVhebFCw]::EhwwK() - DLL库的执行从它开始 - 带参数 vbsScriptPath, xorKey, vbsScriptName... 范围 xorKey 存储用于解密最终有效负载的密钥和参数 vbsScriptPath и vbsScriptName 被传输以便在自动运行中注册VBS脚本。

DLL库的描述

在反编译的形式下，引导加载程序如下所示：

RATKing：带有远程访问木马的新活动
反编译形式的加载器（DLL库开始执行的函数用红色下划线表示）

引导加载程序受 .Net Reactor 保护器保护。 de4dot 实用程序在删除此保护程序方面做得非常出色。

这个装载机：

  • 将有效负载注入到系统进程中（在本例中它 svchost.exe);
  • 我添加了一个VBS脚本来自动运行。

有效负载注入

让我们看一下 PowerShell 脚本调用的函数。

RATKing：带有远程访问木马的新活动
PowerShell 脚本调用的函数

该函数执行了以下操作：

  • 解密了两个数据集（array и array2 在屏幕截图中）。 它们最初使用 gzip 进行压缩，并使用密钥使用 XOR 算法进行加密 xorKey;
  • 将数据复制到分配的内存区域。 数据来自 array - 到所指向的内存区域 intPtr (payload pointer 在屏幕截图中）； 数据来自 array2 - 到所指向的内存区域 intPtr2 (shellcode pointer 在屏幕截图中）；
  • 称为函数 CallWindowProcA (描述 该功能可在微软网站上找到） 具有以下参数（参数名称如下所列，在屏幕截图中它们的顺序相同，但具有工作值）：
    • lpPrevWndFunc - 指向数据的指针 array2;
    • hWnd — 指向包含可执行文件路径的字符串的指针 svchost.exe;
    • Msg - 指向数据的指针 array;
    • wParam, lParam — 消息参数（在本例中，这些参数未使用且值为 0）；
  • 创建了一个文件 %AppData%MicrosoftWindowsStart MenuProgramsStartup<name>.url哪里 <name> - 这些是参数的前 4 个字符 vbsScriptName （在屏幕截图中，执行此操作的代码片段以命令开头 File.Copy）。 通过这种方式，恶意软件会在用户登录时将 URL 文件添加到自动运行文件列表中，从而附加到受感染的计算机。 URL 文件包含脚本的链接：

[InternetShortcut]
URL = file : ///<vbsScriptPath>

为了了解注入是如何进行的，我们解密了数据数组 array и array2。 为此，我们使用了以下 Python 函数：

def decrypt(data, key):
    return gzip.decompress(
        bytearray([data[i] ^ key[i % len(key)] for i in range(len(data))])[4:])

结果，我们发现：

  • array 是一个 PE 文件 - 这是最终的有效负载；
  • array2 是执行注入所需的 shellcode。

来自数组的 Shellcode array2 作为函数值传递 lpPrevWndFunc 变成一个函数 CallWindowProcA. lpPrevWndFunc — 回调函数，其原型如下：

LRESULT WndFunc(
  HWND    hWnd,
  UINT    Msg,
  WPARAM  wParam,
  LPARAM  lParam
);

所以当你运行该函数时 CallWindowProcA 带参数 hWnd, Msg, wParam, lParam 执行数组中的 shellcode array2 有参数 hWnd и Msg. hWnd 是一个指向包含可执行文件路径的字符串的指针 svchost.exe和 Msg — 指向最终有效负载的指针。

shellcode 接收到的函数地址来自 kernel32.dll и ntdll32.dll 基于名称中的哈希值并将最终的有效负载注入到进程内存中 svchost.exe使用 Process Hollowing 技术（您可以在此处阅读更多相关信息） 文章）。 注入shellcode时：

  • 创建了一个进程 svchost.exe 使用该功能处于暂停状态 CreateProcessW;
  • 然后将该部分的显示隐藏在进程的地址空间中 svchost.exe 使用功能 NtUnmapViewOfSection。 这样，程序就释放了原进程的内存 svchost.exe然后为该地址处的有效负载分配内存；
  • 在进程地址空间中为有效负载分配的内存 svchost.exe 使用功能 VirtualAllocEx;

RATKing：带有远程访问木马的新活动
注射过程开始

  • 将有效负载的内容写入进程地址空间 svchost.exe 使用功能 WriteProcessMemory （如下面的屏幕截图所示）；
  • 恢复该过程 svchost.exe 使用功能 ResumeThread.

RATKing：带有远程访问木马的新活动
完成注入过程

可下载的恶意软件

由于所描述的操作，受感染的系统上安装了多个 RAT 级恶意软件之一。 下表列出了攻击中使用的恶意软件，我们可以放心地将其归因于一组攻击者，因为样本访问了相同的命令和控制服务器。

恶意软件的名称

第一次见到

SHA-256

C＆C

进行注射的过程

黑暗轨迹

16-04-2020

ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702

kimjoy007.dyndns[.]org:2017

SVCHOST

视差

24-04-2020

b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043

kimjoy007.dyndns[.]org:2019

SVCHOST

战区

18-05-2020

3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3

kimjoy007.dyndns[.]org:9933

SVCHOST

网线

20-05-2020

6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d

kimjoy007.dyndns[.]org:2000

SVCHOST

使用同一控制服务器的分布式恶意软件示例

这里有两件事值得注意。

首先，攻击者同时使用了多个不同的 RAT 系列这一事实。 对于知名网络组织来说，这种行为并不常见，这些组织通常使用与他们熟悉的大致相同的工具集。

其次，RATKing 使用的恶意软件要么在专门的论坛上低价出售，要么甚至是一个开源项目。

本文末尾给出了该活动中使用的恶意软件的更完整列表（附带一个重要警告）。

关于团体

我们无法将所描述的恶意活动归因于任何已知的攻击者。 目前，我们认为这些攻击是由一个全新的组织发起的。 正如我们在开头所写的，我们将其称为 RATKing。

为了创建 VBS 脚本，该小组可能使用了类似于该实用程序的工具 VBS加密器 来自开发商 NYAN-x-猫。 该程序创建的脚本与攻击者的脚本相似，表明了这一点。 具体来说，他们都：

  • 使用函数执行延迟执行 Sleep;
  • 使用WMI；
  • 将可执行文件的主体注册为注册表键参数；
  • 使用 PowerShell 在其自己的地址空间中执行此文件。

为了清楚起见，比较一下从注册表运行文件的 PowerShell 命令，该文件由使用 VBS-Crypter 创建的脚本使用：

((Get-ItemPropertyHKCU:SoftwareNYANxCAT).NYANxCAT);$text=-join$text[-1..-$text.Length];[AppDomain]::CurrentDomain.Load([Convert]::FromBase64String($text)).EntryPoint.Invoke($Null,$Null);

使用攻击者脚本使用的类似命令：

[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0

请注意，攻击者使用 NYAN-x-CAT 的另一个实用程序作为有效负载之一 - 莱姆RAT.

C&C 服务器的地址表明了 RATKing 的另一个显着特征：该组更喜欢动态 DNS 服务（请参阅 IoC 表中的 C&C 列表）。

国际奥委会

下表提供了最有可能归因于所描述的活动的 VBS 脚本的完整列表。 所有这些脚本都很相似，并且执行大致相同的操作序列。 它们都将 RAT 类恶意软件注入到受信任的 Windows 进程中。 它们都具有使用动态 DNS 服务注册的 C&C 地址。

但是，我们不能声称所有这些脚本都是由同一攻击者分发的，但具有相同 C&C 地址的样本除外（例如 kimjoy007.dyndns.org）。

恶意软件的名称

SHA-256

C＆C

进行注射的过程

视差

b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043

kimjoy007.dyndns.org

SVCHOST

00edb8200dfeee3bdd0086c5e8e07c6056d322df913679a9f22a2b00b836fd72

Hope.doomdns.org

SVCHOST

504cbae901c4b3987aa9ba458a230944cb8bd96bbf778ceb54c773b781346146

kimjoy007.dyndns.org

SVCHOST

1487017e087b75ad930baa8b017e8388d1e99c75d26b5d1deec8b80e9333f189

kimjoy007.dyndns.org

SVCHOST

c4160ec3c8ad01539f1c16fb35ed9c8c5a53a8fda8877f0d5e044241ea805891

franco20.dvrdns.org

SVCHOST

515249d6813bb2dde1723d35ee8eb6eeb8775014ca629ede017c3d83a77634ce

kimjoy007.dyndns.org

SVCHOST

1b70f6fee760bcfe0c457f0a85ca451ed66e61f0e340d830f382c5d2f7ab803f

franco20.dvrdns.org

SVCHOST

b2bdffa5853f29c881d7d9bff91b640bc1c90e996f85406be3b36b2500f61aa1

Hope.doomdns.org

SVCHOST

c9745a8f33b3841fe7bfafd21ad4678d46fe6ea6125a8fedfcd2d5aee13f1601

kimjoy007.dyndns.org

SVCHOST

1dfc66968527fbd4c0df2ea34c577a7ce7a2ba9b54ba00be62120cc88035fa65

franco20.dvrdns.org

SVCHOST

c6c05f21e16e488eed3001d0d9dd9c49366779559ad77fcd233de15b1773c981

kimjoy007.dyndns.org

CMD

3b785cdcd69a96902ee62499c25138a70e81f14b6b989a2f81d82239a19a3aed

Hope.doomdns.org

SVCHOST

4d71ceb9d6c53ac356c0f5bdfd1a5b28981061be87e38e077ee3a419e4c476f9

2004para.ddns.net

SVCHOST

00185cc085f284ece264e3263c7771073a65783c250c5fd9afc7a85ed94acc77

Hope.doomdns.org

SVCHOST

0342107c0d2a069100e87ef5415e90fd86b1b1b1c975d0eb04ab1489e198fc78

franco20.dvrdns.org

SVCHOST

de33b7a7b059599dc62337f92ceba644ac7b09f60d06324ecf6177fff06b8d10

kimjoy007.dyndns.org

SVCHOST

80a8114d63606e225e620c64ad8e28c9996caaa9a9e87dd602c8f920c2197007

kimjoy007.dyndns.org

SVCHOST

acb157ba5a48631e1f9f269e6282f042666098614b66129224d213e27c1149bb

Hope.doomdns.org

CMD

bf608318018dc10016b438f851aab719ea0abe6afc166c8aea6b04f2320896d3

franco20.dvrdns.org

SVCHOST

4d0c9b8ad097d35b447d715a815c67ff3d78638b305776cde4d90bfdcb368e38

Hope.doomdns.org

SVCHOST

e7c676f5be41d49296454cd6e4280d89e37f506d84d57b22f0be0d87625568ba

kimjoy007.dyndns.org

SVCHOST

9375d54fcda9c7d65f861dfda698e25710fda75b5ebfc7a238599f4b0d34205f

franco20.dvrdns.org

SVCHOST

128367797fdf3c952831c2472f7a308f345ca04aa67b3f82b945cfea2ae11ce5

kimjoy007.dyndns.org

SVCHOST

09bd720880461cb6e996046c7d6a1c937aa1c99bd19582a562053782600da79d

Hope.doomdns.org

SVCHOST

0a176164d2e1d5e2288881cc2e2d88800801001d03caedd524db365513e11276

paradickhead.homeip.net

SVCHOST

0af5194950187fd7cbd75b1b39aab6e1e78dae7c216d08512755849c6a0d1cbe

Hope.doomdns.org

SVCHOST

战区

3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3

kimjoy007.dyndns.org

SVCHOST

db0d5a67a0ced6b2de3ee7d7fc845a34b9d6ca608e5fead7f16c9a640fa659eb

kimjoy007.dyndns.org

SVCHOST

网线

6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d

kimjoy007.dyndns.org

SVCHOST

黑暗轨迹

ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702

kimjoy007.dyndns.org

SVCHOST

WSH大鼠

d410ced15c848825dcf75d30808cde7784e5b208f9a57b0896e828f890faea0e

anekesolution.linkpc.net

监管机构

青柠

896604d27d88c75a475b28e88e54104e66f480bcab89cc75b6cdc6b29f8e438b

softmy.duckdns.org

监管机构

类星鼠

bd1e29e9d17edbab41c3634649da5c5d20375f055ccf968c022811cd9624be57

darkhate-23030.portmap.io

监管机构

12044aa527742282ad5154a4de24e55c9e1fae42ef844ed6f2f890296122153b

darkhate-23030.portmap.io

监管机构

be93cc77d864dafd7d8c21317722879b65cfbb3297416bde6ca6edbfd8166572

darkhate-23030.portmap.io

监管机构

933a136f8969707a84a61f711018cd21ee891d5793216e063ac961b5d165f6c0

darkhate-23030.portmap.io

监管机构

71dea554d93728cce8074dbdb4f63ceb072d4bb644f0718420f780398dafd943

chrom1.myq-see.com

监管机构

0d344e8d72d752c06dc6a7f3abf2ff7678925fde872756bf78713027e1e332d5

darkhate-23030.portmap.io

监管机构

0ed7f282fd242c3f2de949650c9253373265e9152c034c7df3f5f91769c6a4eb

darkhate-23030.portmap.io

监管机构

aabb6759ce408ebfa2cc57702b14adaec933d8e4821abceaef0c1af3263b1bfa

darkhate-23030.portmap.io

监管机构

1699a37ddcf4769111daf33b7d313cf376f47e92f6b92b2119bd0c860539f745

darkhate-23030.portmap.io

监管机构

3472597945f3bbf84e735a778fd75c57855bb86aca9b0a4d0e4049817b508c8c

darkhate-23030.portmap.io

监管机构

809010d8823da84cdbb2c8e6b70be725a6023c381041ebda8b125d1a6a71e9b1

darkhate-23030.portmap.io

监管机构

4217a2da69f663f1ab42ebac61978014ec4f562501efb2e040db7ebb223a7dff

darkhate-23030.portmap.io

监管机构

08f34b3088af792a95c49bcb9aa016d4660609409663bf1b51f4c331b87bae00

darkhate-23030.portmap.io

监管机构

79b4efcce84e9e7a2e85df7b0327406bee0b359ad1445b4f08e390309ea0c90d

darkhate-23030.portmap.io

监管机构

12ea7ce04e0177a71a551e6d61e4a7916b1709729b2d3e9daf7b1bdd0785f63a

darkhate-23030.portmap.io

监管机构

d7b8eb42ae35e9cc46744f1285557423f24666db1bde92bf7679f0ce7b389af9

darkhate-23030.portmap.io

监管机构

def09b0fed3360c457257266cb851fffd8c844bc04a623c210a2efafdf000d5c

darkhate-23030.portmap.io

监管机构

50119497c5f919a7e816a37178d28906fb3171b07fc869961ef92601ceca4c1c

darkhate-23030.portmap.io

监管机构

ade5a2f25f603bf4502efa800d3cf5d19d1f0d69499b0f2e9ec7c85c6dd49621

darkhate-23030.portmap.io

监管机构

189d5813c931889190881ee34749d390e3baa80b2c67b426b10b3666c3cc64b7

darkhate-23030.portmap.io

监管机构

c3193dd67650723753289a4aebf97d4c72a1afe73c7135bee91c77bdf1517f21

darkhate-23030.portmap.io

监管机构

a6f814f14698141753fc6fb7850ead9af2ebcb0e32ab99236a733ddb03b9eec2

darkhate-23030.portmap.io

监管机构

a55116253624641544175a30c956dbd0638b714ff97b9de0e24145720dcfdf74

darkhate-23030.portmap.io

监管机构

d6e0f0fb460d9108397850169112bd90a372f66d87b028e522184682a825d213

darkhate-23030.portmap.io

监管机构

522ba6a242c35e2bf8303e99f03a85d867496bbb0572226e226af48cc1461a86

darkhate-23030.portmap.io

监管机构

fabfdc209b02fe522f81356680db89f8861583da89984c20273904e0cf9f4a02

darkhate-23030.portmap.io

监管机构

08ec13b7da6e0d645e4508b19ba616e4cf4e0421aa8e26ac7f69e13dc8796691

darkhate-23030.portmap.io

监管机构

8433c75730578f963556ec99fbc8d97fa63a522cef71933f260f385c76a8ee8d

darkhate-23030.portmap.io

监管机构

99f6bfd9edb9bf108b11c149dd59346484c7418fc4c455401c15c8ac74b70c74

darkhate-23030.portmap.io

监管机构

d13520e48f0ff745e31a1dfd6f15ab56c9faecb51f3d5d3d87f6f2e1abe6b5cf

darkhate-23030.portmap.io

监管机构

9e6978b16bd52fcd9c331839545c943adc87e0fbd7b3f947bab22ffdd309f747

darkhate-23030.portmap.io

RegAsm⁠

来源： habr.com

添加评论