建站
咨詢
售后
建站咨詢
新聞中心
摘要
成都網(wǎng)絡公司-成都網(wǎng)站建設公司創(chuàng)新互聯(lián)公司10余年經(jīng)驗成就非凡，專業(yè)從事網(wǎng)站建設、成都網(wǎng)站設計，成都網(wǎng)頁設計，成都網(wǎng)頁制作，軟文營銷，廣告投放等。10余年來已成功提供全面的成都網(wǎng)站建設方案，打造行業(yè)特色的成都網(wǎng)站建設案例，建站熱線：18980820575，我們期待您的來電！
近些年來，通過網(wǎng)絡竊取機密的事情屢見不鮮。各路媒體爭相報道以APT為代表的計算機攻擊以及其危害。頻發(fā)于網(wǎng)絡的數(shù)字攻擊已經(jīng)影響到現(xiàn)實的生產(chǎn)和生活，我們必須從戰(zhàn)略上解決這一問題。
AIRBUS Defense & Space不僅可為顧客提高網(wǎng)絡安全事故的應急響應服務，而且能夠指導顧客擬定完整的解決方案。
今天，我們決定公開一個叫做“Pitty Tigger” 的APT組織的相關(guān)信息。這片報道所涉及的資料，均是AIRBUS Defense & Space的Threat Intelligence組織的第一手信息。
我們的資料表明，Pitty Tiger組織在2011年就鋒芒畢露。他們攻擊過多個領(lǐng)域的各種單位。他們對國防和通訊業(yè)的承包商下過手，也對一個(或更多)政府部門發(fā)起過攻擊。
我們投入了大量精力以追蹤這個組織，現(xiàn)在已經(jīng)能夠披露他們的各類信息。我們已經(jīng)對他們“惡意軟件軍火庫”的情況了如指掌，甚至足以披露他們的技術(shù)人員結(jié)構(gòu)。
調(diào)查表明，目前為止Pitty Tigger未曾用過任何0day Exploits。與眾不同的是，他們喜歡使用自己開發(fā)的、專用的惡意軟件。雖然Pitty Tiger能夠潛入目標深藏不露，但是并不如我們發(fā)現(xiàn)的其他組織那樣老到。
基本可以斷定Pitty Tiger不是政府背景的網(wǎng)絡入侵組織。無論從經(jīng)驗還是從財力方面看，他們都有明顯區(qū)別。我們認為，這個組織屬于機會主義的入侵組織，他們把被害目標(多數(shù)是私人企業(yè))的資料賣給商業(yè)競爭對手。
結(jié)合這個組織的有關(guān)資料，我們可以看出Pitty Tiger是個相當小的組織，應該不是發(fā)起APT攻擊的那種大規(guī)模組織。當然，我們的數(shù)據(jù)來源有限，所以這種結(jié)論可能不正確。
本文將在最后揭示Pitty Tiger的顯著特征，以幫助讀者判斷他們是否深受其害。
一、犯罪手法：APT攻擊
APT的攻擊手段足以說明其危害的嚴重程度。它的攻擊手段可以概括為下圖：
1、偵查階段/Reconnaissance
入侵者選好目標并開始收集信息的時候，他就會發(fā)起偵查。
這方面能夠獲取的資料非常有限，可以說幾乎沒有。如果要收集這種資料就要監(jiān)控所有入侵者的探測行為，不過這種做法的可行性很低。
入侵者在這個階段的工作越到位，他們對整個目標的理解能力也就越強，他們就能更為有效的滲透到目標企業(yè)的網(wǎng)絡系統(tǒng)中去。
偵查工作能夠通過信息搜集找到攻破目標系統(tǒng)的手段，更能探測到目標系統(tǒng)隔離保護的目標(例如關(guān)鍵人員的姓名等因素)。
而且，互聯(lián)網(wǎng)的大量公開信息源都為入侵者的偵查工作敞開方便之門：社交網(wǎng)站、出版讀物、白皮書、企業(yè)網(wǎng)站、搜索引擎，等等。各種掃瞄漏洞的主動掃瞄程序也能挖掘出大量信息。
2、初始階段/Initial Infections
在前一階段里，APT攻擊人員已經(jīng)充分了解了目標(包括關(guān)鍵人員信息)，知道從何處下手進入企業(yè)網(wǎng)絡。而后，他們將會實施攻擊，在企業(yè)內(nèi)網(wǎng)的一臺或數(shù)臺服務器里安裝永久性后門。
在這一階段，他們通常會使用魚叉式攻擊(Spear Phishing)或偷渡式下載(Drive-by Downloads)的手段，攻陷一臺或數(shù)臺電腦(通常是工作站)。
魚叉式攻擊通常就針對特定Email地址發(fā)起的釣魚式攻擊。采用這一手段的入侵者，會向特定人群定點發(fā)送Email，而且Email總數(shù)不會很多。實際上，他們往往僅發(fā)送一封Email。這種針對特定受害者的花招，就是給受害人發(fā)送以假亂真的email，誘使后者點擊某個鏈接以下載惡意軟件，或者誘使他們打開有問題的郵件附件。
一些攻擊者也會用“水坑”技術(shù)，成功攻破目標。要實施一個水坑攻擊，攻擊者首先要攻陷某個第三方網(wǎng)站。這種第三方網(wǎng)站通常是目標單位的目標人群通常會訪問的承包商的網(wǎng)站。一旦有人訪問這些第三方網(wǎng)站，他們的電腦就會中招。該方法有一個主要的缺點：網(wǎng)站會感染目標群體以外的人群。當然，攻擊者會事先擬定對策避免這種情況。只要他們在偵察階段做的工作足夠充分，他們就會知道目標公司所有的IP地址。只要在腳本里添加幾行識別IP的代碼，就能夠鑒別出訪問該網(wǎng)站的終端是否屬于他們要攻擊的范圍。
此外，入侵者還可以直接攻擊目標單位的服務器，滲透到它們的網(wǎng)絡中去。
3、擴大戰(zhàn)果與后續(xù)行動/Access Strengthening
一旦入侵者能夠訪問到目標企業(yè)的內(nèi)部電腦，他們就需要在這些電腦上安裝后門程序，以便后續(xù)繼續(xù)控制這些電腦。在安裝后門的時候，如果一個程序不行，他們就會換其他后門程序。
在他們認為自己有足夠權(quán)限之后，他們會開始做兩件事：按照既定計劃挖掘知識產(chǎn)權(quán)相關(guān)的文件、在被攻陷的網(wǎng)絡里繼續(xù)提升權(quán)限(以方便后續(xù)滲透)。對于行家里手來說，從拿下一臺終端到攻破域管理員權(quán)限、獲取全部Active Directory內(nèi)容，并不需要太長的時間。
接下來，入侵者會在網(wǎng)絡里四處游蕩、以攫取他們感興趣的內(nèi)容。對于被害者來說，這種“游蕩”行為很難檢測。主要因為他們都會使用正確有效的登陸信息，使用正當?shù)墓芾砉ぞ?諸如psExec)。
4、攫取數(shù)據(jù)/Data Exfiltration
攻擊的最終目的就是要攫取數(shù)據(jù)。只是即使達成了目的，還有可能無法滿足入侵者無休無止的貪欲。
攻擊者通常將他們感興趣的文件進行打包，然后通過遠程管理工具RAT或FTP/HTTP傳輸出去。
這一環(huán)節(jié)并非是APT的終點。攻擊者會滾雪球般擴大他們的權(quán)限，不斷的竊取更多的信息，賴在網(wǎng)絡里不停收集數(shù)據(jù)。
我們在blog里更詳細的介紹了APT的各個階段(http://blog.cassidiancybersecurity.com/tag/APT)。#p#
二、“Pitty Tiger”事件背景
在我們常規(guī)的APT案件調(diào)查中，一個前所未見的惡意軟件引起了我們的注意。我們決定調(diào)查這個軟件，最終發(fā)現(xiàn)只有一個特定的團體才會使用它。在反病毒界，這個系列的程序都被認為是“Pitty Tiger”出品的惡意軟件。
自2014年6月它被發(fā)現(xiàn)以來，它背后的服務器(C&C)一直在運轉(zhuǎn)。
我們的研究表明，“Pitty Tiger”在2011年就開始制作惡意軟件。結(jié)合他人的公開資料， 則基本可以推斷這個組織的活動至少可以追溯到2010年。
這個組織不僅會使用自產(chǎn)的Pitty Tiger RAT工具進行APT行動，他們還會使用其他的惡意軟件。
這個組織多次用到臭名昭著的Gh0st的變種程序，一個叫做“游俠/Paladin”的RAT程序。此外，他們也會使用自己開發(fā)的RAT程序，例如“MM RAT” (aka Troj/Goldsun-B)和“CT RAT”。在他們的C&C服務器上，還存在Gh0st的另外一種變種的痕跡——Leo。
在他們攻陷的工作站上，我們也找到了“Troj/ReRol.A”。這個程序用來收集系統(tǒng)信息，并可用來安裝其他的惡意軟件。在攻陷第一批主機后的情報偵查階段，它主要承擔木馬下載和系統(tǒng)數(shù)據(jù)采集的任務。Pitty Tiger小組主要通過Email的Office附件傳播這個病毒。
Pitty Tiger在服務器配置方面的水平不高。我們成功的收集到他們3臺C&C服務器的信息。這些信息揭示出2013年底到2014年初的很多情況。
在調(diào)查C&C服務器數(shù)據(jù)的同時，我們了解了Pitty Tiger的運作環(huán)境。
本白皮書旨在披露我們對Pitty Tiger的解讀，重點揭示他們的基礎設施和技術(shù)實力。我們希望這本白皮書能夠起到拋磚引玉的作用，帶動業(yè)內(nèi)深入各種反入侵的分析，促進全球?qū)W(wǎng)絡威脅的認知。#p#
三、入侵途徑
1、魚叉式攻擊+全副武裝的郵件附件
在這方面，Pitty Tiger和多數(shù)APT組織沒有什么區(qū)別，他們都用魚叉式Email攻擊目標網(wǎng)絡，以尋求立足點。
我們找到了這個組織所發(fā)的、以目標企業(yè)的內(nèi)部員工的身份發(fā)出的一封Email：
From: XXXXXXX
To: XXXXXXX
File: 1 Attachment: Bird’s Eye Point of View.doc
While the holiday season means clustering clustering ‘time for a vacation’ for many, there are Those That Will Be of us staying home this year. That’s why we’ve Decided to take you on a trip around the world from a bird’s eye view of the item! It’s safe to say That MOST of the lucky people on vacation Will not see breathtaking sights like these. Remember to look down!
XXXXXX
這封Email的附件是一個Microsoft Office Word文檔。若打開該文檔，則會觸發(fā)編號為CVE-2014-1761的漏洞，繼而感染打開附件的計算機：
利用Troj/ReRol.A感染計算機的word文檔
以魚叉式攻擊的角度來看，這種攻擊手段未免過于業(yè)余。不過在他們所發(fā)的其他email之中，包含了被害企業(yè)的一些被盜信息。所以我們認為這個組織發(fā)起過更像模像樣的攻擊。這些感染源能夠在目標主機上安裝Troj/ReRol.A，我們將在后文詳細討論這個問題。
換而言之，Pitty Tiger能夠使用偷來的材料發(fā)起魚叉式攻擊。他們可能發(fā)送Email給被害單位的其他人，也可能發(fā)送Email給目標單位競爭對手，或者是其他目標。
Pitty Tiger會偽造有問題的Excel文件。不過，迄今為止，我們僅在他們發(fā)送的email里發(fā)現(xiàn)過只含有同種(Troj/ReRol.A )病毒的Excel文件。
2、直接攻擊
雖然我們沒有證據(jù)表明他們的exploits直接攻擊了目標企業(yè)的服務器，但是我們有記錄表明他們C&C服務器發(fā)起過多次漏洞掃瞄。
這些攻擊人員用過多種不同的漏洞掃瞄程序。他們使用過各種“常規(guī)”的漏洞掃瞄工具，例如與Nmap相似的Hscan和流光。此外，他們還使用過特定漏洞的掃瞄工具，例如針對ZyWall和飛塔產(chǎn)品的專用掃描器。
Pitty Tiger組織能夠成功利用HeartBleed漏洞獲取目標系統(tǒng)的信息。HeartBleed是存在于老版本OpenSSL的一種漏洞，可泄露目標主機內(nèi)存中的敏感信息。正是借助這一漏洞，Pitty Tiger成功獲取了一臺主機上的管理員登錄信息。
Pitty Tiger通過HeartBleed漏洞竊取到的內(nèi)存數(shù)據(jù)
不過，在信息采集階段里，使用自動化的漏洞掃描器掃瞄大量IP的主機，或者掃瞄多個domain的系統(tǒng)，這種行為非常容易暴露。如果他們想要鬼鬼祟祟的潛伏下去，應該不會采用這種不明智的做法。但是，他們的C&C服務器竟然會無所忌憚的發(fā)起了這種漏洞掃瞄。所以 我們認為，即使他們在APT的進攻方面有所建樹，但是很明顯他們的基本功并不扎實。#p#
四、惡意軟件信息
1、TROJ/REROL.A
Pitty Tiger主要通過微軟Word文件攻擊特定漏洞的手段攻擊計算機。
殺毒軟件將惡意軟件識別為“Troj/ReRol.A”。它們主要被用作Pitty Tiger入侵攻擊的敲門磚。
1.1、漏洞利用原理
我們發(fā)現(xiàn)，這組人員的一個文件(MD5 hash: e70c0479cdb9aa031a263740365e7939)攻擊編號為CVE- 2012-0158的漏洞。這個漏洞存是微軟Office 2010的一個早期漏洞，微軟在2012年4月發(fā)布的MS12-027已經(jīng)修復了這個問題。我們還發(fā)現(xiàn)了可以利用編號為CVE-2014-1761的漏洞，這就是個較新的漏洞。
他們發(fā)送過各種格式的Office文件，利用攻擊編號為CVE-2012-0158的漏洞。因為這些文件包含受害單位的機要信息，我們決定不公開這些文件。
他們能夠利用的漏洞最多是2014年6月的漏洞。這多數(shù)意味著Pitty Tiger無法接觸到0day exploits，或者他們沒有錢買這些程序。也可能因為攻擊目標的運維水平不高，Pitty Tiger使用這些過時exploits就足以攻破目標網(wǎng)絡。
我們發(fā)現(xiàn)的最初樣本是個測試文件。打開這個文件后，會發(fā)現(xiàn)里面只有一行中文的“你好!”。
你好!
Pitty Tiger的誘餌測試文檔
1.2、安裝
在成功觸發(fā)目標主機上的漏洞之后，exploit會在當前用戶的臨時文件夾里存放并執(zhí)行“svohost.exe”程序(MD5 hash: 1752aacc08ee0acd58405e9bc10b0dbb)。
C:\DOCUME~1\USER\LOCALS~1\Temp\svohost.exe
根據(jù)Sophos的命名規(guī)則，這個可執(zhí)行程序被命名為“Troj/ReRol.A”。如果使用sandbox打開這個程序，將會立刻觸發(fā)sandbox的警報：
Troj/ReRol.A觸發(fā)的sandbox警報
這個程序還會在當前用戶的Application Data里保存自己的副本。
在sandbox用戶文件夾中創(chuàng)建的Pitty Tiger惡意軟件副本
它通過連接time.windows.com檢查主機是否連接到網(wǎng)絡，然后會和C&C服務器開始通訊——mac.avstore.com.tw。
Troj/ReRol.A與C&C服務器之間的加密通訊
Troj/ReRol.A的變種程序不多。我們發(fā)現(xiàn)的變種程序所用的user-Agent都是：
Mozilla/4.0 (compatible;)
它會在注冊表的中的“shell”下添加記錄，以保證目標主機持續(xù)調(diào)用病毒程序：
Key Path: \REGISTRY\USER\ \Software\Microsoft\Windows NT\CurrentVersion\Winlogon Value Name: Shell Value: explorer.exe,C:\DOCUME~1\XXXXXX\APPLIC~1\svohost.exe,
svohost程序可以收集主機信息，并把這些信息上傳到C&C服務器。它還能下載和執(zhí)行程序。
1.3、命令&控制
它所發(fā)送的POST信息，數(shù)據(jù)包頭都是0x11字節(jié)長。其中第一個字節(jié)都是0xC3,后續(xù)的0x10字節(jié)是加密密鑰。包頭里的密鑰用來加密后面的數(shù)據(jù)正文，加密算法是RC4。在解密后，明文的最后一個字節(jié)應當還是0xC3。
經(jīng)過相應的處理，我們就能解密C&C服務器和中招終端之間的通訊。
通過技術(shù)上的匿名處理，可以得到下述的通訊內(nèi)容：
HostName :xxx
UserName :xxx
SysType :32bit
Windows 7 Enterprise Service Pack 1 6.1 7601 Organization:
Owner:xxx
————–Server Info——————-
- AdobeARMservice
- Adobe Acrobat Update Service
- AeLookupSvc
- Application Experience
- AudioEndpointBuilder
- … (list goes on)
————–Soft Info——————-
1 Adobe AIR 4.0.0.1390
2 Adobe Shockwave Player 12.0 12.0.9.149
3 FileZilla Client 3.7.4.1 3.7.4.1
4 Mozilla Thunderbird 24.3.0 (x86 en-US) 24.3.0
5 … (list goes on)
————–IP Config——————-
Adapt Type: Ethernet
NetCardNum: 11
NetCard Name: {XXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}
Description : Realtek RTL8139C+ Fast Ethernet NIC
MAC-ADDR: XX-XX-XX-XX-XX-XXX
IP-Addr: 10.xxx.xxx.xxx
IP-Mask: 255.255.255.0
GateWay: 10.xxx.xxx.xxx
DHCP Serv: 1
DHCP Host: 10.xxx.xxx.xxx
WINS Serv: 0
WINS PriHost:
WINS SecHost:
Troj/ReRol.A收集的樣例信息
攻擊者需要這些信息：它列出了系統(tǒng)上安裝的所有軟件和服務。
在把這些數(shù)據(jù)上傳到C&C服務器之后，程序會響應C&C命令從中下載、安裝其他惡意軟件。
C&C服務器有2個文件：
1、dr.asp：實現(xiàn)控制的ASP前端，它能夠設置變量、發(fā)送payload。
2、JHttpSrv.DLL：通過”regsvr32”實現(xiàn)的控制程序。ASP前端以4種方式調(diào)用這個程序：
·SETIP：設置bot的IP地址;
·AddKeyword(strKeyword, strFilePath): 在服務器上綁定關(guān)鍵字;
·Work(lpByteArray, nDataLength): 解密playload，搜索注冊的關(guān)鍵詞、生成相關(guān)log;
·ResponseBinary(): 回傳符合特定關(guān)鍵字的可執(zhí)行程序。
dr.asp注冊的關(guān)鍵字有：
·“SysType :32bit” 設置程序為 “32.exe”
·“SysType :64bit” 設置程序為“64.exe”
現(xiàn)在，服務器上的文件名已經(jīng)不再是32.exe/64.exe了。在過去，32.exe曾以下列文件名出現(xiàn)過：
·3200.exe
·322.exe
·32m.exe
·32mm.exe
其中322.exe是很傻很天真的合法中文calc.exe程序，這個文件用于測試目的。其余3個文件是接來下來要介紹的Rats工具。
2、Pitty Tiger RAT
RAT是這群入侵者的名稱的由來。“Pitty Tiger”是他們的標志。在這個RAT的網(wǎng)絡通信里也會出現(xiàn)“Pitty Tiger”字樣的字符串。
2.1、安裝
在Sandbox里執(zhí)行這個惡意軟件(MD5 hash：be18418cafdb9f86303f7e419a389cc9)時，將會觸發(fā)下列警報：
Pitty Tiger RAT觸發(fā)的sandbox警報
它將藏匿于“C:\Windows\System32”。
Sandbox中Pitty Tiger釋放的文件
“qmgrxp.exe”僅僅是原始二進制文件的簡單復制，它會釋放一個名為“packet64.dll”的文件，并將其注入到“explorer.exe”進程中。執(zhí)行之后，會創(chuàng)建名為“PittyTiger”的互斥量(mutex)。
程序駐留則通過添加“qmgrxp.exe”文件路徑到注冊表WinlogonUserInit鍵值中：
Key Path: \REGISTRY\USER\ \Software\Microsoft\Windows NT\CurrentVersion\Winlogon Value Name: UserInit Value: C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\qmgrxp.exe,
“packet64.dll”是RAT的主要payload。在注入進程之后，便開始發(fā)送Hello數(shù)據(jù)包到C&C服務器：
PittyTiger RAT的樣例通訊
2.2、命令&控制
所有發(fā)送給C&C服務器的請求都在“/FC001/”字符串后附加有bot id，而bot id則是由被感染的計算機名稱、破折號和小寫的磁盤序列號組成。
發(fā)送出的數(shù)據(jù)只是簡單地進行base64編碼，絲毫沒有做加密處理。被感染后的計算機所發(fā)出的Hello數(shù)據(jù)包被編碼后，是下面這樣：
————————–PittyTigerV1.0 ———————
————– ^ ^ —————————-
————– ^ —————————-
Version:NULL
我們的樣本有三個C&C服務器配置：
jackyandy.avstore.com.tw:80
chanxe.avstore.com.tw:443
newb02.skypetm.com.tw:80
接下來被執(zhí)行的有以下命令：
文件下載(get)和上傳(put)
8bit(prtsc)和16bit(prtsc2)屏幕截取
遠程shell(ocmd/ccmd)
配置上傳(setserv/freshserv)
直接命令執(zhí)行
至于控制端部分，我們發(fā)現(xiàn)有兩個不同的版本：
僅處理PittyTiger連接的Delphi程序
處理PittyTiger和CT連接的.NET程序
其中處理PittyTiger和CT連接的程序界面很有意思。我們已經(jīng)能夠確認有兩個不同家族的惡意軟件出自同一個作者之手，另一個惡意軟件是后面我們將看到的“CT RAT”。
Pitty Tiger RAT控制端部分
3、CT RAT
這個遠程管理工具常常被Pitty Tiger組織使用。我們已經(jīng)能夠獲取到這個工具的客戶端和服務器端部分。
我們發(fā)現(xiàn)了來自同一款程序的兩個樣本的兩個不同的名字——32mm.exe和mm32.exe。
這個RAT看起來像是PittyTiger RAT的升級版本，因為我們發(fā)現(xiàn)的一個特殊的服務器端部分可以處理來自CT和PittyTiger的請求，說明它和PittyTiger是兼容的。此外，兩者可執(zhí)行的命令也是相同的。
3.1、安裝
不出所料，當我們在sandbox中運行時，CT RAT觸發(fā)了和PittyTiger同樣的警報：
CT RAT觸發(fā)的sandbox警報
CT RAT會釋放兩個文件在“C:\Program Files\Internet Explorer”：
Sandbox中由CT RAT釋放的文件
“ieupdate.exe”是一個注入DLL文件到“explorer.exe”進程的簡單二進制程序。
程序駐留通過修改以下注冊表鍵值來實現(xiàn)：
Key Path: \REGISTRY\USER\ \Software\Microsoft\Windows NT\CurrentVersion\Windows Value Name: load Value: c:\PROGRA~1\INTERN~1\ieupdate.exe
在注入之后，RAT會發(fā)送一個初始登陸數(shù)據(jù)包至C&C服務器：
被CT RAT感染的計算機發(fā)出的加密通訊
3.2、命令&控制
RAT通訊是通過HTTP請求完成的，被發(fā)送的數(shù)據(jù)通過RC4加密和base64編碼，其中RC4密鑰是請求URL的Unicode形式。
經(jīng)過解碼和解密之后的登陸數(shù)據(jù)包包含如下字符串：
Login ->C:PC-XXX ->U:User-XXX ->L:10.10.10.1 ->S:Microsoft Windows XP Service Pack 3 5.1 2600 ->M:Nov 13 2013 ->P:1033
它包含計算機名稱、用戶名、內(nèi)網(wǎng)IP、系統(tǒng)版本、RAT內(nèi)部版本和系統(tǒng)語言ID。
接著CT RAT接收來自C&C服務器的命令。通常被執(zhí)行的RAT功能如下：
文件下載(GET)和上傳(PUT)
遠程shell(ocmd/ccmd)
配置上傳(cfg)
休眠(sleep)
3.3、版本和作者(們)
關(guān)于RAT配置，我們的樣本是和“sop.avstore.com.tw”進行通訊，其中包含的“Mov 13 2013”字符串應該是版本識別碼。
C&C服務器部分是用.NET編寫的Windows二進制程序。我們發(fā)現(xiàn)了兩個版本：
僅作為CT控制端的版本 2013.10
可作為CT和PittyTiger控制端的版本 2013.12
“關(guān)于”窗口給出了開發(fā)者(們)的名字：
和測試主機交互的CT RAT控制端
能夠處理PittyTiger和CT請求的控制端版本顯示的作者(們)也是一樣：
CT/PittyTiger控制端
正如這些截屏所示，從PittyTiger到CT的轉(zhuǎn)變很可能是在2013年的下半年。
幸虧有Google翻譯，翻譯后的作者信息如下：
CT console (compatible pittytiger) v1.3
2013.12 by Trees and snow
關(guān)于該作者的更多描述在后面我們會提到。
4、MM RAT(AKA TROJ/GOLDSUN-B)
在調(diào)查之初，且尚未命名為“Troj/Goldsun-B”之前，我們將這個惡意軟件名為為“MM RAT”。這是Pitty Tiger的小伙伴常使用的另一個遠程管理工具。我們已經(jīng)能夠獲得它的客戶端和服務器端部分。
4.1、安裝
我們發(fā)現(xiàn)的樣本名字是3200.exe，在sandbox中觸發(fā)的警報如下：
Troj/Goldsun-B觸發(fā)的sandbox警報
“release.tmp”文件被釋放到系統(tǒng)中：
惡意軟件釋放的文件
這個二進制文件也被復制到用戶目錄下的“Application Data”目錄，并且注入“release.tmp”文件到“explorer.exe”進程中。
程序駐留通過添加程序路徑到Winlogon Shell鍵值中實現(xiàn)：
Key Path: \REGISTRY\USER\ \Software\Microsoft\Windows NT\CurrentVersion\Winlogon Value Name: Shell Value: explorer.exe,C:\DOCUME~1\ \APPLIC~1\ ,
MM RAT嵌入有自己的DNS服務器IP地址來做C&C域名解析。這些DNS地址的列表如下：
63.251.83.36 64.74.96.242 69.251.142.1 212.118.243.118 216.52.184.230 61.145.112.78 218.16.121.32
4.2、命令&控制
MM RAT在進程注入后開始進行域名解析，并立即發(fā)送請求。首次請求用來檢查更新(GET /httpdocs/update/update.ini)，然后發(fā)送Hello數(shù)據(jù)包：
Troj/Goldsun-B發(fā)送給C&C服務器的Hello數(shù)據(jù)包
感染之后的bot接著重復發(fā)送GET請求到“/httpdocs/mm/ /ComMand.sec”獲取遠程命令。
通訊協(xié)議相當簡單：GET請求被用來接收來自C&C服務器的數(shù)據(jù)，POST請求用來發(fā)送數(shù)據(jù)。在POST命令中，CGI名稱表示命令。
可以執(zhí)行的功能如下：
使用密碼進行C&C服務器驗證 遠程Shell 遠程命令 文件下載/上傳/刪除/搜索 終止Bot
Bot能夠請求的CGI文件如下：
Vip：測試連接情況 Owpp4：注冊新bot CReply：響應遠程命令 Clrf：清除遠程文件(讀取之后清除ComMand.sec) CFile：傳輸文件(文件傳輸或響應命令) Cerr：發(fā)送錯誤
在本地的配置文件名為“schmup.sys”，該文件使用RC4加密，并采用“rEdstArs”的MD5值作為密鑰。
我們的樣本使用“mca.avstore.com.tw”、“star.yamn.net”和“bz.kimoo.com.tw”作為C&C服務器，它包含“1.6.0”的版本號，并用“9ol.8ik,”作為密碼來驗證bots。
不同于其他的C&C程序，MM RAT的C&C部分沒有圖形化界面，但是能夠遠程接收請求來管理bots。除此之外，bots不需要發(fā)送驗證請求到C&C服務器(但是需要知道已配置密碼和bots交互)。
管理協(xié)議和bots協(xié)議一樣，但使用不同的CGI文件：
-Shudown：關(guān)閉C&C -Cnor：為一個bot增加一條新命令(寫入到“ComMand.sec”) -Mlist：得到bots列表 -Mlist2：寫入bots列表到“Online.dat”文件
Bots對遠程命令的響應可以通過請求“Reply.sec”文件得到(比如：GET /httpdocs/mm/ /Reply.sec)。
4.3、網(wǎng)絡模式
這些網(wǎng)絡模式可能會在一些研究員的腦中響起警鐘。MM RAT使用的網(wǎng)絡模式和之前Lurid組織(APT攻擊者)以及其他在中國的邪惡角色們所使用的Enfal惡意軟件一樣。
代碼檢查顯示MM RAT并沒有和Enfal惡意軟件有相似之處，我們目前還無法知道為何這個惡意軟件使用了相同的網(wǎng)絡通訊模式。
5、PALADIN(游俠) RAT
這是Pitty Tiger組織使用的另一款遠程管理工具。我們能夠獲取到它的客戶端和服務器端。
5.1、安裝
我們發(fā)現(xiàn)的二進制文件會釋放一個惡意Word文檔。下面是在sandbox中觸發(fā)的警報：
Paladin RAT在sandbox中觸發(fā)的警報
Wrod文件所包含的shellcode會釋放并執(zhí)行以下文件：
C:\Documents and Settings\ \Local Settings\Temp\svohost.exe
該程序逐個釋放以下文件：
Sandbox中惡意軟件釋放的文件
這些tmp文件接著被復制到“C:\Windows\system32\Nwsapagentex.dll”并在系統(tǒng)中注冊名為“Nwsapagent”的服務。
這款惡意軟件是臭名昭著的Gh0st RAT的變種，不同的是我們手中的樣本采用“ssss0”作為網(wǎng)絡通訊的前綴而非“Gh0st”。
5.2、命令&控制
用于通訊協(xié)議的命令I(lǐng)D也會改變，但是功能卻是一樣的。
PALADIN RAT將配置信息直接寫入在二進制程序中，并在運行時做解密。原本有多達5臺C&C服務器可以被配置，但我們的樣本只有一臺：“ey.avsotre.com.tw:53”。
“EY”可能表示的是“Ernst & Young”，這一點都不奇怪，因為許多不同的攻擊組織都確實在用反病毒廠商或其他大公司的名字，顯得更合法一些。Pitty Tiger也不例外，具體細節(jié)在報告后面提及。
我們也發(fā)現(xiàn)了兩個C&C二進制程序，分別是Paladin RAT控制端的2.1版本和2.2版本。2.1版本網(wǎng)絡通訊以“ssss0”為開頭，而2.2版本網(wǎng)絡通訊以“Gh0st”開頭。
測試機中的Paladin控制端
Paladin的多種功能：文件傳輸、截屏、cmd shell
6、LEO RAT
除了Paladin(游俠)RAT，我們還發(fā)現(xiàn)了另一款Gh0st RAT變種，名為“Leo”。盡管我們是在Pitty Tiger的C&C服務器中發(fā)現(xiàn)的它，但是沒有證據(jù)表明它被Pitty Tiger所使用，與之相反，Paladin RAT經(jīng)常被Pitty Tiger所用。
此外，我們在相同文件夾中發(fā)現(xiàn)了一款已編譯的惡意軟件被配置為連接到本地IP地址，很可能出于測試的目的。
Leo惡意軟件控制端截圖——Gh0st RAT的變種
五、基礎架構(gòu)
我的調(diào)查集中在Pitty Tiger使用的三個特別的C&C服務器上。這些C&C服務器不同于他們使用的其他C&C服務器的是他們被錯誤地配置了。一旦被解析成功，它將給我們提供更多的內(nèi)幕。
我們發(fā)現(xiàn)了幾個Pitty Tiger所使用的域名，其中最有趣的一個將會在這部分詳細展示。
Pitty Tiger，像其他APT攻擊者一樣，在注冊域名或創(chuàng)建子域名時常常用反病毒的“耳熟能詳之名”。其中的樣例包括avstore.com.tw、sophos.skypetm.com.tw、symantecs.com.tw、trendmicro.org.tw等等。
1、AVSTORE.COM.TW
1.1、WHOIS信息
這個域名的注冊信息從2013年6月4日開始就未曾變動：
Domain Name: avstore.com.tw Registrant: information of network company longsa [email protected] +86.88885918 No.520.spring road.shenyang shanghai, shanghai CN
這些信息也被用來注冊其他域名，像是skypetm.com.tw，同樣是被Pitty Tiger所使用。
1.2、惡意軟件家族
我們的研究引導我們發(fā)現(xiàn)了和avstore.com.tw子域名相關(guān)的四個不同的惡意軟件家族：
PittyTiger RAT(又叫Backdoor:Win32/Ptiger.A) Troj/ReRol.A CT RAT Paladin RAT(Gh0st RAT的變種)
?連接到avstore.com.tw的文件MD5列表
惡意軟件樣本、惡意軟件家族和avstore.com.tw子域名的關(guān)聯(lián)
1.3、C&C服務器和IP地址
Avstore.com.tw基礎架構(gòu)：主機和子域名
2、SKYPETM.COM.TW
2.1、WHOIS信息
這個域名歷史上有兩次不同的WHOIS信息：
2011年12月29日至2013年1月2日
Registrant :chenzhizhong Email : [email protected] Telephone : +86.2426836910
2013年11月32日至今
Registrant : long sa Email : [email protected] Telephone : +86.88885918
2.2、惡意軟件家族
和子域名skypetm.com.tw進行通訊且已識別的有六個惡意軟件家族：
MM RAT
Pitty Tiger RAT
Troj/ReRol.A
CT RAT
Paladin
Exadog?
|
MD5 |
惡意軟件家族 |
C&C服務器 |
|
81fa811f56247c236566d430ae4798eb |
MM RAT |
ms11.skypetm.com.tw |
|
55e456339936a56c73a7883ea1ddb672 |
Backdoor:Win32/Ptiger.A |
botemail.skypetm.com.tw |
|
d5da60d678d5a55a847e1e6723c7a4d0 |
Backdoor:Win32/Ptiger.A |
aniu.skypetm.com.tw |
|
0750569cf1733d4fbb01169476387cc2 |
Backdoor:Win32/Ptiger.A |
aniu.skypetm.com.tw zeng.skypetm.com.tw |
|
abb0abfab252e4bfb9106273df3c1c2 |
Backdoor:Win32/Ptiger.A |
aniu.skypetm.com.tw zeng.skypetm.com.tw |
|
c0656b66b9f4180e59e1fd2f9f1a85f2 |
Troj/Rerol.A |
zeng.skypetm.com.tw |
|
ce15fa3338b7fe780e85c511d5e49a98 |
Troj/Rerol.A |
zeng.skypetm.com.tw |
|
8a54adb3976d1c03605656ca55be7400 |
Backdoor:Win32/Ptiger.A |
super.skypetm.com.tw |
|
a1ea6dc12b983c7262fe76c1b3663b24 |
Backdoor:Win32/Ptiger.A |
qinoo.skypetm.com.tw |
|
b6380439ff9ed0c6d45759da0f3b05b8 |
Troj/Rerol.A dropper |
sophos.skypetm.com.tw |
|
5e2360a8c4a0cce1ae22919d8bff49fd |
Troj/ReRol.A |
sophos.skypetm.com.tw |
|
79e48961d1ee982a466d222671a42ccb |
Troj/ReRol.A |
sophos.skypetm.com.tw |
|
4ab74387f7a02c115deea2110f961fd3 |
ReRol.A |
sophos.skypetm.com.tw |
|
bf95e89906b8a17fd611002660ffff32 |
Troj/ReRol.A |
sophos.skypetm.com.tw |
|
包含受害者信息 |
Word文件-Rerol.A dropper |
sophos.skypetm.com.tw |
|
4ce8593c9de2b27b5c389f651c81638b |
CT RAT |
newb02.skypetm.com.tw |
|
8df89df484ca5c376b763479ea08d036 |
Paladin |
newb02.skypetm.com.tw |
|
22e47c5e3809a4150d0db7fc99a68cc0 |
Excel文件-Rerol.A dropper |
margo.skypetm.com.tw |
|
dd87c68c1e71bb104a48a6be87a2349f |
Backdoor:Win32/Ptiger.A |
ripper.skypetm.com.tw |
|
068870c2c165a1d29fc2f3d3edfed3ae |
Win32/Exadog.AA |
link.skypetm.com.tw |
|
未知 |
Backdoor:Win32/Ptiger.A |
asdf.skypetm.com.tw |
Skypetm.com.tw基礎架構(gòu)：子域名和惡意軟件連接
