部分利用社工技巧的群发邮件样本关联分析

Size: px

Start display at page:

Download "部分利用社工技巧的群发邮件样本关联分析"

础庵暨
5 years ago
Views:

1 部分利用社工技巧的群发邮件样本关联分析安天实验室首次发布时间 :2015 年 04 月 28 日 16 时 37 分本版本更新时间 :2015 年 05 月 27 日 16 时 37 分

3 1 背景近年来, 安天诱饵信箱系统持续捕获大量利用社工技巧进行批量传播的带毒邮件安天分析人员从诱饵信箱中随机抽取了两封附件攻击手段一致的邮件作为分析起点其中第一封邮件的捕获时间为 2015 年 4 月 11 号, 这是一封伪装成摩根大通集团的钓鱼邮件, 邮件包括一个 ZIP 压缩包, 压缩包解压后是一个 PDF 图标的 PE 文件, 运行 PE 文件后会从后端下载其它文件, 另一封邮件的捕获时间为 2015 年 4 月 13 号, 这两封邮件的附件行为一致安天 CERT 分析人员首先对第一封邮件样本进行了分析, 随后对两封邮件的传播手段附件文件的技巧方法进行了关联, 最后通过提取类似特点挖掘出更多的类似攻击邮件进行了整体的关联分析与总结 2 邮件一分析邮件一内容 : 图 1 原始邮件正文邮件内容翻译如下 : 请检查附件了解您的在线帐户的最新的帐户文件, Deann Koch 三级账户管理主任办公分机 Deann.Koch@jpmorgan.com 证券和保险产品的投资有 : 无 FDIC 保险 / 无银行担保 / MAY LOSE VALUE 2015 年摩根大通

4 特别提醒 : 此消息中的内容, 包括任何附件, 是保密的, 仅发送给个人实体使用者如果您不是此消息的预期收件人, 请注意, 任何传播, 分发或使用该消息的内容是严格禁止的如果你错误的接收到了此邮件, 请通知发信人同时永久删除原始邮件和任何连接文档的所有副本谢谢 2.1 邮件元数据提取邮件主题 JP Morgan Access Secure Message 发送时间 2015/4/11 ( 周六 ) 2:24 发件人 JP Morgan Access [service@jpmorgan.com] 附件 1 名称 JP Morgan Access Secure.zip 附件 2 名称未命名的附件 txt 该邮件是假冒摩根大通集团发送注 : 摩根大通集团是全球盈利最佳的银行之一, 总部位于美国纽约市,2008 年总资产 20,360 亿美元, 总存款 10,093 亿美元, 占美国存款总额 10.51% 的比例居第二, 商业银行部旗下分行 5410 家 2011 年 10 月, 摩根大通的资产规模超越美国银行成为美国最大的金融服务机构 ( 信息来源为 : 维基百科 ) 该邮件利用社会工程学技巧诱使用户打开社会工程学攻击是一种利用人性的心理弱点本能反应好奇心信任贪婪等心理陷阱所采取的欺骗伤害来进行收益的手段邮件恶意代码的社会工程学的攻击手段主要通过发送带有欺骗伪装等主题内容的邮件, 诱使受害者点击附件该邮件利用摩根银行拥有庞大的用户群这一事实, 通过在线银行的账户文件的敏感话题为诱饵, 引诱用户点击附件查看账单, 并且特别提醒声称邮件内容为机密信息如果用户并没有摩根的在线银行或者错误的接收到此邮件, 看到机密信息内容通过社会工程学特点处于好奇心也会对此附件感兴趣邮件附件是一个下载者病毒, 邮件附件为一个 ZIP 压缩包, 压缩包解压后是个以 PDF 为图标且扩展名为 src 的文件,src 为屏幕保护程序的扩展名, 实际上是一个 PE 可执行程序, 通过多数人对此并不了解的情况下双击之, 也会自动运行 PE 文件以下为邮件结构和行为链图图 2 结构 + 行为链安天实验室版权所有, 欢迎无损转载第 2 页

5 2.2 样本分析样本标签 : 病毒名称 Trojan[Downloader]/Win32.Upatre 原始文件名 JP Morgan Access - Secure.src MD5 32E1F5DED6E9C573293BB6343F785A9F 处理器架构 X86-32 文件大小 24,064 字节文件格式 BinExecute/Microsoft.EXE[:X86] 时间戳 :06:14 数字签名 NO 加壳类型无编译语言 Microsoft Visual C++ VT 首次上传时间 VT 检测结果 48 / 57 样本定性 Downloader 2.3 本地行为描述概括描述 : 样本是长度仅有 24KB 的可执行文件, 并具有反调试功能, 经过一系列的解密将恶意代码解密执行样本利用 Windows 消息机制创建隐藏窗口, 将恶意代码写在自定义函数中运行后, 查看临时目录是否有进程副本, 如果有继续运行, 如果没有将自身复制到临时目录下更名为 raturas.exe, 样本运行过程中采取自修改指令方式, 将关键代码以文件形式加密保存在自身进程中, 运行后将加密数据进行解密后开始重新加载自身进程进行从网络上下载其他进程文件细节分析 : 恶意代码首先创建一个线程, 通过消息机制进行线程切换, 将线程放在消息自定义函数中执行在线程中恶意代码首先将加密数据放在内存中随后经过如下解密 1 代码段进行初步解密将解密后的数据放在内存段, 此时恶意代码已经完成了初步解密, 在经过第二次解密通过 403CCC 完成, 完成后的代码放在中, 它是一个新的 PE 可执行文件安天实验室版权所有, 欢迎无损转载第 3 页

6 text: inc edx.text: push ebp.text: add esp, 4.text: push ecx.text: push ebp.text: a push ebp.text: b push eax.text: c mov eax, esp.text: e pop eax.text: f pop ebp.text: pop ebp.text: pop ecx.text: test ah, ah.text: xor [edx-1], al.text: push ebx.text: push ebx.text: test eax, 0D36A6A5Ch.text: E pop ebx.text: f pop ebx.text: std.text: cld.text: push esi.text: rol cl, 90h.text: pop esi.text: cmp edi, edx.text: jnb short loc_ text: b lea eax, byte_4040d9 text:00403ccc push ebp.text:00403ccd mov ebp, esp.text:00403ccf sub esp, 4.text:00403CD2 mov [ebp+var_4], FCh.text:00403CD9 mov eax, 1.text:00403CDE push ebp.text:00403cdf jge short loc_403ce7.text:00403ce1 xor esp, 0.text:00403CE7.text:00403CE7 loc_403ce7: ; CODE XREF: sub_403ccc+13j.text:00403ce7 pop ebp.text:00403ce8 js short loc_403cef.text:00403cea push 0FFFFFFB5h.text:00403CEC add esp, 4.text:00403CEF.text:00403CEF loc_403cef: ; CODE XREF: sub_403ccc+1cj.text:00403cef cld.text:00403cf0 lea ecx, [ebp+var_4].text:00403cf3 add eax, ecx.text:00403cf5 cmc.text:00403cf6 sar ebx, 60h.text:00403CF9 push esi.text:00403cfa and eax, 0FFFFFFFFh.text:00403CFF pop esi.text:00403d00 cld.text:00403d01 dec eax.text:00403d02 push ecx.text:00403d03 jnz short loc_403d0c.text:00403d05 jz short loc_403d0c.text:00403d07 push edi.text:00403d08 add ebp, 0.text:00403D0B pop edi 图 3 左侧为解密 1, 右侧为解密 2 4VTuo7Ru7u/u7u5s6u7eERHu7lbu1sPv7q7q1vfuhu7i4PHuVODuWucjz1bu76Ijz7qGh 53szu7qj86+q86L7paLjZuaj4yC7ovj5Mq+q+ 7u5qLv7OSQDu7t73Tl75Lk6m7u7o787uoU/u7tzupr7 +Xu2Orw6OkS7t7t+e/u7ejuxu/F6OlZ6Ojt7u6his49w+ 4GbsVsanbhwJqLlppu7dK55uqmb5vlbe+jjsDunIqPmo/u7msF755vk+hu+JlW5ozyXvxO 5u/eLu+u7H7u/e79DvZbtS7u+rUnwtvd0u7lrqEbv2Z6uO7n1lm/rdLohD7merJmWTUr nd7i5ljmu+z9vt7i3qqtlvmuei7kwvai6bggud7rzj6qznq1ld 一次解密?MZ...?.0 xecutabl.e..$pe..l.~??...`.?.?.6?0..(+?..od?. 鑰 + 倓?.text <WH 乽?M`..rdata.. 呺 p 亇.??*....).0> 婾?E 紥肧 3?? 饌笉 4 啲. 塃軏攘? 丅二次解密 is a PE 媢 3 纅瓑 E 葖 } 糤 3 缷葖袎 ; 兠?t.f 图 4 解密数据还原当完成解密后, 该恶意代码进行创建子进程, 在子进程中进行申请空间写入代码执行代码等操作随后子进程开始运行并连接网络安天实验室版权所有, 欢迎无损转载第 4 页

7 2.4 网络行为描述恶意代码运行后与远程服务器通信, 进行文件下载访问如下域名与服务器 : 域名 IP GET result checkip.dyndns.org ********** 本机 IP milbrookelt d.co.uk /cufon/sdocn.pdf 失效 nationalpalletdelivery.com /demo/documentation/sdocn.pdf 失效失效 1) 恶意代码运行后首先在系统临时目录下创建文件名为 r657temp.log 的 TXT 文件, 内容为 : C : J P M o r g a n A c c e s s - S e c u r e. e x e 随后进行调用删除命令进行文件删除, 该 PE 文件是样本创建的副本 2) 恶意代码链接 checkip.dyndns.org 域名, 该域名是获取本地 IP 地址的功能, 恶意代码是利用该域名测试网络连接是否正常获取本地 IP 后, 打开 milbrookelt d.co.uk nationalpalletdelivery.com 域名链接进行下载指定文件最后进行 IP( ) 地址链接循环进行此步骤下图为整个恶意代码的流程主程序创建线程进行连接网络将加密数据加载到内存删除桌面副本程序进行解压数据是否在临时目录有副本在临时目录创建副本执行重新修改自身指令加密代码执行图 5 程序流程图 2.5 样本小结该邮件首先是以社会工程学攻击为前导, 当用户点击附件后, 将文件副本隐匿在临时目录下进行连接网络操作, 样本是一个下载者病毒, 不涉及任何启动项功能整体附件样本的代码技术简练而且有效安天实验室版权所有, 欢迎无损转载第 5 页

3 邮件二分析图 6 邮件正文 3.1 邮件元数据提取邮件主题 Invoice***** 发送时间 2015/4/14 12:24 发件人 ****** 附件 1 名称 Invoice_***.zip 附件 2 名称未命名的附件 00625.txt 3.2 样本标签病毒名称 Trojan[Downloader]/Win32.

8 3 邮件二分析图 6 邮件正文 3.1 邮件元数据提取邮件主题 Invoice***** 发送时间 2015/4/14 12:24 发件人 ****** 附件 1 名称 Invoice_***.zip 附件 2 名称未命名的附件 txt 3.2 样本标签病毒名称 Trojan[Downloader]/Win32.Upatre 原始文件名 Invoice_004AP71 MD DBDA17782BB8DC31CF223A188 处理器架构 X86-32 文件大小字节文件格式 BinExecute/Microsoft.EXE[:X86] 时间戳 :46:41 数字签名 NO 加壳类型无编译语言 Microsoft Visual C++ VT 首次上传时间 VT 检测结果 41 / 56 样本定性 Downloader 安天实验室版权所有, 欢迎无损转载第 6 页

3.3 本地行为描述该样本本地行为和邮件一中的样本相同 3.4 网络行为描述域名 IP GET result checkip-iad.dyndns.com ** 本地 IP kapil.amsinformatics.com 216.245.213.210 GET /images/monuk14.png 失效 syc.mxserver.ro 176.223.122.

9 3.3 本地行为描述该样本本地行为和邮件一中的样本相同 3.4 网络行为描述域名 IP GET result checkip-iad.dyndns.com ** 本地 IP kapil.amsinformatics.com GET /images/monuk14.png 失效 syc.mxserver.ro GET/wp-includes/images/monuk14.png PDF 文件该附件运行后, 连接网络, 尝试下载两个文件到本机执行, 其中, 一个文件下载失效, 另一个样本文件下载的是 PDF 文件, 如下图所示 : 该 PDF 文件从后端下载并且打开后, 让用户觉得附件是个真正的 PDF, 其实不然, 当该 PDF 打开之时, 附件文件已经完成了网络下载恶意代码功能图 7 PDF 文件该 PDF 文件的内容可以看出和社工邮件正文内容 ( 发票相关 ) 并不一致, 安天分析人员猜测, 这种情况可能是由于邮件攻击作者批量投放多种社工技巧攻击手法邮件及与之配套的主题 PDF 文件, 导致其中出现的关联混乱但也不排除是作者手法粗略并没有考虑一致性所导致另外一种可能是, 这就是攻击者想要达成的效果, 让受害人认为这不过是一封垃圾邮件 4 亲缘关系分析两个邮件均是 2015 年 4 月份捕获到的, 我们通过对两个邮件的整体结构, 以及附件代码的手法进行了亲缘关系分析, 发现两个邮件的亲缘关系紧密, 猜测属于同一作者进行的批量攻击, 以下是通过三个方面的亲缘关系关联与对比结构链代码行为代码结构安天实验室版权所有, 欢迎无损转载第 7 页

4.1 结构链对比图 8 结构 + 行为链对比两封邮件的结构链几乎完全一致, 均是一个压缩包, 压缩包解压后为一个 PDF 图标的

1 网络行为图 13 网络行为相似性两个样本均是首先访问 checkip-iad.dyndns.

12 图 12 解密后代码结构两个样本均是以消息机制为整体代码编写方式, 将恶意代码写在自定义函数之中, 并且两个样本均是将代码解密出来后运行, 并且所有 API 均是解密动态获取如上图所示两个样本的代码结构几乎一致网络行为图 13 网络行为相似性两个样本均是首先访问 checkip-iad.dyndns.com 域名来测试网络连通状态可见联网方式的亲缘关系也是一致的 4.4 小结通过分析两封邮件的邮件结构结构链样本本地行为网络行为样本代码等多方面的关联分析得知两封邮件具有高度亲缘性安天实验室版权所有, 欢迎无损转载第 10 页

13 通过上述两封邮件的分析与关联, 安天 CERT 分析人员通过邮件的结构链, 以及附件行为和代码结构等特征在库中抽取了更多的邮件进行批量分析 4.5 社工手段通过附件特征与结构的亲缘密切关系安天 CERT 分析人员抽取了 110 个类似邮件, 邮件附件的大小均在 23~32kb 中间, 邮件的攻击手段有的是通过银行支票作为诱饵, 有的是通过扫描件作为诱饵, 经过统计我们对 110 个邮件进行攻击技巧标签化, 共划分为 14 个标签 : 附件带 document 字样信用检测无正文内容固定签名问候公司薪资年度报告扫描件银行账单交易类汽车保险合作伙伴更新网上银行银行密码重置分类说明 : 附件带 document 字样该类邮件使用攻击的附件名称均包括 document 名称而邮件的主题内容不一致, 有的是银行支票, 有的是空内容, 或者简短的内容但附件攻击代码一致例如图 14 带有支票相关内容的邮件安天实验室版权所有, 欢迎无损转载第 11 页

图 15 带有银行相关的邮件无正文内容图 16 无正文内容该类邮件无邮件内容 :

Sent date: Wed, 01 Apr 2015 11:01:48 +0100.

15 图 17 固定签名通过分析发现, 同一类邮件的攻击时间和攻击人基本是一致的, 如上图所示, 那么, 我们的推断是否完全正确呢, 下一节我们对 110 封邮件进行发送时间聚合分析从下图可以看出附件为 document 的攻击邮件最多, 而信用检测无内容群发固定签名问候等也是常用的攻击手段图 18 攻击手段统计 4.6 攻击时间分析通过对 110 封邮件的社工技巧手段与发送时间的分析发现, 几乎所有采用同一社工技巧的邮件都是同一时间发送, 如下图所示安天实验室版权所有, 欢迎无损转载第 13 页

16 2 银行密码重置 :35: :35:31 2 更新网上银行 :48: :31:38 3 合作伙伴 :52: :42: :43:08 4 汽车保险 :04: :04: :04: :04:00 4 交易类 :41: :47: :44: :26:53 5 银行账单支票账单 :53: :31: :46: :46: :36:00 5 扫描件 :06: :20: :29: :28: :07:47 5 年度报告 :48: :48: :48: :59: :52:58 薪资表 :00: :15: :55: :42:00 公司薪资公司薪资工资单 :25: :25: :25: :14: :14:29 安天实验室版权所有, 欢迎无损转载第 14 页

17 10 问候 thanks HI :54: :19: :45: :25: :25: :25: :25: :25: :25: :25:30 11 固定签名 :14: :16: :17: :25: :30: :33: :30: :35: :36: :06: :11:52 14 批量群发无内容 :40: :20: :24: :25: :42: :45: :50: :53: :54: :58: :01: :09: :15: :10:36 16 信用检测 :56: :56: :56:03 安天实验室版权所有, 欢迎无损转载第 15 页

航空 2015-03-11 21:59:22 2015-03-11 21:59:22 2015-03-11 21:59:22 2015-03-11 21:59:22 银行 2015-04-10 11:00:00 2015-04-10 11:00:00 2015-04-10 15:19:47 2015-04-10 17:07:24 20 document 附件名发票 2015-04-13

18 航空 :59: :59: :59: :59:22 银行 :00: :00: :19: :07:24 20 document 附件名发票 :23: :23: :48: :31: :28: :43: :15:14 简短内容 :32: :52: :52: :10: :10: :28: :06: :06: :32:49 图 19 提取所有抽取邮件的攻击时间图 20 攻击时间与数目通过对 110 个邮件的时间摘取分析发现, 同一类别邮件攻击者一般采取批量攻击, 也就是说在相同时间点发送批量邮件进行攻击, 而且通过时间发现, 这批同手法邮件的最早发送时间是 2014 年,2015 年 3 月又开始进行批量攻击, 到 2015 年 4 月进行大规模性投放安天实验室版权所有, 欢迎无损转载第 16 页

19 5 总结邮件攻击在互联网时代可以说是常见而又泛滥的攻击手法, 早在 1999 年爆发的 Happy99 病毒梅丽莎 (Melissa) 病毒等作为邮件病毒的鼻祖, 之后对照梅丽莎的蓝本又爆发了爱虫 (LoveLetter) 病毒马吉斯 (Magistr) 病毒这些病毒均属于蠕虫类型, 具备自我扩散的能力, 传播范围广, 传播次数快, 短时间快速传播, 一方面会对网络带来很大压力, 也很容易被感知和发现但今天的邮件入口, 已经完全告别了当时的天真病毒时代, 邮件病毒从宏病毒和其他使用邮件 API 自动发送的二进制样本, 到使用格式文档溢出的 APT 攻击等攻击手法从普通的邮件攻击钓鱼攻击到鱼叉式钓鱼攻击攻击手法从粗糙到精密, 攻击目标从扩散扫射到狙击尽管此次分析的相关邮件并不具有高度定向性, 但其可能会呈现出小批量选择性发送的特点, 但对受到欺骗的用户来说也是会造成相应的损失在邮件采用了较为精细的社工技巧后, 在批量投送中, 必然有一定比例的用户会被欺骗, 这种攻击对受害用户来说, 达成了与定向攻击类似的效果正如安天 CERT 在此前发布 " 攻击 WPS 样本 " 实为敲诈者分析报告中, 所揭示的敲诈者病毒同样大量采用邮件方式进行投放一样邮件威胁依然猖獗, 毕竟, 当浏览器主机服务器系统的安全在进一步的加固情况下, 邮件对攻击者来说是个可以直达目标的上佳入口, 这意味着通过邮件进行攻击的方法无论在高级威胁, 还是类似扩散僵尸网络敲诈其他的一般性的网络犯罪中, 都将挥之不去 ( 国家计算机病毒应急处理中心梁宏同志对本文有重要贡献 ) 附录一 : 参考信息 [1] 来源 : " 攻击 WPS 样本 " 实为敲诈者附录二 : 关于安天安天从反病毒引擎研发团队起步, 目前已发展成为拥有四个研发中心监控预警能力覆盖全国产品与服务辐射多个国家的先进安全产品供应商安天历经十五年持续积累, 形成了海量安全威胁知识库, 并综合应用网络检测主机防御未知威胁鉴定大数据分析安全可视化等方面经验, 推出了应对持续高级威胁 (APT) 的先进产品和解决方案安天技术实力得到行业管理机构客户和伙伴的认可, 安天已连续四届蝉联国家级安全应急支撑单位资质, 亦是 CNNVD 六家一级支撑单位之一安天移动检测引擎是获得全球首个 AV-TEST(2013) 年度奖项的中国产品, 全球超过十家以上的著名安全厂商都选择安天作为检测能力合作伙伴关于安天反病毒引擎更多信息请访问 : 中文 ) ( 英文 ) 关于安天反 APT 相关产品更多信息请访问 : 安天实验室版权所有, 欢迎无损转载第 17 页

Trojan[DDOS]/Linux. Znaich分析笔记

Trojan[DDOS]/Linux. Znaich分析笔记安天安全研究与应急处理中心 (Antiy CERT) 目录编者按... 1 1 概述... 1 2 感染源... 1 3 样本分析... 3 4 总结... 7 附录一 : 参考资料... 7 附录二 : 关于安天... 7 安天实验室版权所有, 欢迎无损转载第 2 页编者按安天 CERT 这篇分析笔记完成于 2015 年 1 月 18 日, 但撰写后并未公开, 为让安全工作者更进一步了解 IoT