多起利用PowerShell传播

Size: px

Start display at page:

Download "多起利用PowerShell传播"

徘俱宋
4 years ago
Views:

1 多起利用 POWERSHELL 传播恶意代码的事件分析安天安全研究与应急处理中心 (Antiy CERT) 报告初稿完成时间 :2016 年 03 月 16 日 13 时 21 分首次发布时间 :YYYY 年 MM 月 DD 日 hh 时 mm 分本版本更新时间 :2016 年 03 月 18 日 14 时 33 分

1 概述近日, 安天安全研究与应急处理中心 (Antiy CERT) 的研究人员发现了多起利用 PowerShell [1] 传播恶意代码的事件 PowerShell 具有许多实用与强大的功能, 在方便用户使用的同时, 也为不法份子打开了便捷之门攻击者可以利用 PowerShell 命令下载恶意代码到用户系统中运行, 这种方法可以躲避部分反病毒产品的检测 ; 同时, 还可以通过命令行调用

3 1 概述近日, 安天安全研究与应急处理中心 (Antiy CERT) 的研究人员发现了多起利用 PowerShell [1] 传播恶意代码的事件 PowerShell 具有许多实用与强大的功能, 在方便用户使用的同时, 也为不法份子打开了便捷之门攻击者可以利用 PowerShell 命令下载恶意代码到用户系统中运行, 这种方法可以躲避部分反病毒产品的检测 ; 同时, 还可以通过命令行调用 PowerShell 将一段加密数据加载到内存中执行, 实现这种无实体文件的攻击方法在去年 5 月份, 安天 CERT 所发布的一例针对中方机构的准 APT 攻击中所使用的样本分析 [2] 正是使用了这种攻击方法, 当时, 安天 CERT 的研究人员即预测利用 PowerShell 进行攻击的安全事件将越来越多本文将对近期发现的 PowerShell 攻击事件进行分析 2 利用宏病毒执行 PowerShell 进行传播恶意代码安天 CERT 近期发现多起通过社工邮件传播具有窃取网银信息功能的恶意代码家族 Dridex [3] 的事件与 2015 年利用宏脚本直接下载 Dridex 不同的是, 此次利用宏调用 PowerShell 下载 Dridex, 这种方法可以躲避部分反病毒软件的检测攻击者将后缀名为 rtf 的文档作为邮件附件, 文档中带有宏代码, 宏代码的功能是调用 PowerShell 命令, 下载指定 URL 的文件到系统中运行图 1 社工邮件安天实验室版权所有, 欢迎无损转载第 1 页

$控件内, 并把该控件缩小到最小 ( 图中为了展示方便, 修改了控件大小 ), 试图躲避分析人员的分析图 2 宏代码中的 PowerShell 脚本该脚本的功能为下载 :http:/***.com/zalupa/kurva.php, 保存到 %TEMP%\ 目录下, 命名为 :sdjgbcjkds.$

4 通常该类事件中邮件附件的文件名都具有一定的诱导性, 使用的文件名包含以下关键字 : 关键字语言中文 Advice 英语建议 ; 忠告 ; 劝告 ; 通知 Rechnung 德语法案 Protokoll 德语协议当运行附件时, 如果启用宏会调用 Document_Open() 函数, 该函数会调用 dsfsdff() 函数攻击者将 PowerShell 脚本放到了 TextBox 控件内, 并把该控件缩小到最小 ( 图中为了展示方便, 修改了控件大小 ), 试图躲避分析人员的分析图 2 宏代码中的 PowerShell 脚本该脚本的功能为下载 : 保存到 %TEMP%\ 目录下, 命名为 :sdjgbcjkds.exe, 并运行这个文件经安天 CERT 研究人员分析, 判定所下载的样本是网络僵尸类木马程序, 属于 Dridex 家族, 具有窃取用户网络银行信息的功能 3 利用安装包捆绑 PowerShell 传播恶意代码攻击者通过修改第三方应用程序, 捆绑恶意代码后上传至下载网站中用户下载并运行被捆绑恶意代码的应用程序后, 在安装完应用程序后, 会调用 PowerShell 执行下载恶意代码的操作病毒名称原始文件名 Trojan/Win32.MSShell Wextract.exe 安天实验室版权所有, 欢迎无损转载第 2 页

MD5 043088AC25FFFB64ACFFD8E4C9000764 处理器架构 X86-32 文件大小 3,746 KB(3,835,904 字节 ) 文件格式 BinExecute/Microsoft.

Commander 安装包在安装该 Total Commander 安装程序时, 会执行 PowerShell 脚本下载并运行恶意程序图 3 可执行文件中的 PowerShell 脚本图 4 被感染的安装包安装界面

5 MD AC25FFFB64ACFFD8E4C 处理器架构 X86-32 文件大小 3,746 KB(3,835,904 字节 ) 文件格式 BinExecute/Microsoft.EXE[:X86] 时间戳 525B8623-> :50:27 数字签名无加壳类型无编译语言 Microsoft Visual C++ 8 * 该样本为被恶意捆绑 PowerShell 脚本的 Total Commander 安装包在安装该 Total Commander 安装程序时, 会执行 PowerShell 脚本下载并运行恶意程序图 3 可执行文件中的 PowerShell 脚本图 4 被感染的安装包安装界面通过这种方式来执行脚本, 在一定程度上可以躲避杀毒软件的查杀, 更好的隐藏自己将恶意代码与正常应用程序捆绑后, 放到下载网站中传播恶意代码的过程中, 使用较多的是自解压类捆绑, 这类捆绑可以通过文件格式来识别, 而此次事件中使用的捆绑方式更为隐蔽安天实验室版权所有, 欢迎无损转载第 3 页

4 利用入侵 MySQL 植入 PowerShell 传播恶意代码安天 CERT 发现多起利用 PowerShell 入侵数据库事件, 攻击者将载有 PowerShell 脚本的代码植入 MySQL 数据库中, 通过调用 PowerShell 脚本下载恶意代码并尝试强制结束多款安全软件进程以往的入侵 MySQL 服务器的事件通常是植入一个恶意的可执行程序, 可见,

6 4 利用入侵 MySQL 植入 PowerShell 传播恶意代码安天 CERT 发现多起利用 PowerShell 入侵数据库事件, 攻击者将载有 PowerShell 脚本的代码植入 MySQL 数据库中, 通过调用 PowerShell 脚本下载恶意代码并尝试强制结束多款安全软件进程以往的入侵 MySQL 服务器的事件通常是植入一个恶意的可执行程序, 可见, 攻击者的攻击手段也在不断的演变 4.1 数据库入侵步骤攻击者首先攻破存在弱口令的 MySQL 服务器, 一旦用户名和密码成功破解后, 便可以植入恶意代码, 植入恶意代码通常使用的方法是利用 MySQL 语句进行建立表将恶意代码写入表, 然后将恶意代码 dump 到数据库服务器中来执行图 5 入侵数据库过程攻击者将恶意脚本植入数据库中, 尝试强制结束多款安全软件进程, 其中包括 360 QQ 安全管家卡巴斯基瑞星诺顿微软 Windows 自带安全服务等进程结束进程列表如下 : 360sd.exe 360tray.exe ccenter.ex 360safe.exe SafeDogGuardCenter.exe rsnetsvr.exe 360rp.exe SafeDogSiteIIS.exe SafeDogUpdateCenter.exe 360rps.exe kxescore.exe SafeDogServerUI.exe 360tray.exe kxetray.exe ZhuDongFangYu.exe QQPCTray.exe alg.exe QQPCTray.exe QQPCRTP.exe kavsvc.exe rfwsrv.exe QQPCMgr.exe AVP.exe Ravmond.exe egui.exe MsMpEng.exe msseces.exe ekrn.exe ccenter.ex 安天实验室版权所有, 欢迎无损转载第 4 页

下图为安天 CERT 近期发现的数起相似的攻击事件, 图中 IP 为攻击者 IP, 大多数攻击者 IP 对应地理位置是国内, 一个攻击者 IP 地理位置是美国 4.

服务器目前运行时间均在一个月内, 是黑客刚刚组建的恶意服务器, 用来传播恶意代码所用

8 图 7 PowerShell 脚本源码上图包含两个恶意代码下载地址, 其下载服务器是黑客搭建的轻型文件服务器 (Http File Server), 具体有关 HFS 服务器相关内容参见安天 2015 年度发布的大量 HFS 搭建的服务器被黑客利用进行恶意代码传播 [4] 报告本事件中的两个 HFS 服务器目前均属于活跃状态, 根据下图可以看到该 HFS 服务器目前运行时间均在一个月内, 是黑客刚刚组建的恶意服务器, 用来传播恶意代码所用该服务器中的绝大多数样本均属于恶意样本图 8 HFS 服务器 5 安全防御建议 Windows 默认安全设置不能阻止 PowerShell 脚本执行安天实验室版权所有, 欢迎无损转载第 6 页

虽然 Windows 对 PowerShell 的安全性做了考虑, 在系统安装后,Windows PowerShell 默认策略设置为受限的, 这个默认策略可以阻止 PowerShell 脚本的运行, 在执行 PowerShell 脚本时会出现禁止运行提示图 9 阻止 PowerShell 脚本运行的提示但是, 现实情况是, 攻击者通过各种手段可以绕过这些安全策略比如下面两种情况 :

9 虽然 Windows 对 PowerShell 的安全性做了考虑, 在系统安装后,Windows PowerShell 默认策略设置为受限的, 这个默认策略可以阻止 PowerShell 脚本的运行, 在执行 PowerShell 脚本时会出现禁止运行提示图 9 阻止 PowerShell 脚本运行的提示但是, 现实情况是, 攻击者通过各种手段可以绕过这些安全策略比如下面两种情况 : 通过设置 Bypass 标志来绕过 PowerShell 的安全策略使用 Invoke-Expression 来绕过 PowerShell 的安全策略该命令会接受任何字符串输入并将它视为 PowerShell 代码综上所述, 对于用户来讲, 需要进行一些安全性的防御操作, 可以参考以下两点建议 1 彻底删除禁用 PowerShell, 有两种操作手法 : a) 进入以下两处 PowerShell 程序路径, 获取 TrustedInstaller 权限, 强制删除或替换 PowerShell 程序 C:\windows\system32\WindowsPowerShell\v1.0\powershell.exe C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe b) 企业版旗舰版系统, 进入组策略 : 计算机配置 Windows 设置安全设置应用程序控制策略 AppLocker, 在可执行规则中添加一条拒绝 PowerShell 的规则安天实验室版权所有, 欢迎无损转载第 7 页

图 10 添加拒绝 PowerShell 的规则 2 修改 PowerShell 名称进入 PowerShell

PowerShell.exe 文件名为 power.exe 例如 : 将 PowerShell.exe 命名为 power.

需要输入修改后的名称 power 命令即可图 12 使用 power 命令代码 PowerShell 3

10 图 10 添加拒绝 PowerShell 的规则 2 修改 PowerShell 名称进入 PowerShell 程序路径, 通过获取 TrustedInstaller 权限, 将 PowerShell 重新命名图 11 修改 PowerShell.exe 文件名为 power.exe 例如 : 将 PowerShell.exe 命名为 power.exe, 那么就可以阻止恶意代码调用 PowerShell 执行命令当用户使用 PowerShell 时, 需要输入修改后的名称 power 命令即可图 12 使用 power 命令代码 PowerShell 3 安装安全防护产品, 保护系统和数据的安全安天智甲终端防护系统 IEP 可以有效阻止此类利用 PowerShell 传播的恶意代码安天实验室版权所有, 欢迎无损转载第 8 页

11 6 涉及的样本 HASH 列表 MD5 308e2344fed5953b59c3c888b95e d713203b216e651fc598605f bf369180d0cd6ab5cf2b10ce490d3593 9fef2a8f98c5baf49fe7a31a9f97ed87 dee695427fbb39f0ad97a585f90bf1a3 b0a d7e5712f07d21004ee4672 f06cbd27d0d603ce119d b68 d01613aa61c05a725ebc9326dec7610 9ccae224b171e30b05f45c1c7c5f bd20f0cfa299bd4703ffaaee2c6b 7f3a6dee12a b5c50d89bd5fed c02e f9f67a131f2aebd 4bcd056aa553e5559e57d2fd4beb9cf3 0b7d9898e478c303f b85cfab ac25fffb64acffd8e4c 附录一 : 参考资料 [1] Windows PowerShell 维基百科 [2] 一例针对中方机构的准 APT 攻击中所使用的样本分析 [3] 利用路由器传播的 DYREZA 家族变种分析 ( 安天 CERT 将 Dridex 家族称为 DYREZA 家族 ) [4] 黑客用 HFS 搭建服务器来传播恶意代码附录二 : 关于安天安天从反病毒引擎研发团队起步, 目前已发展成为拥有四个研发中心监控预警能力覆盖全国产品与服务辐射多个国家的先进安全产品供应商安天历经十五年持续积累, 形成了海量安全威胁知识库, 并安天实验室版权所有, 欢迎无损转载第 9 页

12 综合应用网络检测主机防御未知威胁鉴定大数据分析安全可视化等方面经验, 推出了应对持续高级威胁 (APT) 的先进产品和解决方案安天技术实力得到行业管理机构客户和伙伴的认可, 安天已连续四届蝉联国家级安全应急支撑单位资质, 亦是 CNNVD 六家一级支撑单位之一安天移动检测引擎是获得全球首个 AV-TEST(2013) 年度奖项的中国产品, 全球超过十家以上的著名安全厂商都选择安天作为检测能力合作伙伴关于反病毒引擎更多信息请访问 : 中文 ) ( 英文 ) 关于安天反 APT 相关产品更多信息请访问 : 安天实验室版权所有, 欢迎无损转载第 10 页

Trojan[DDOS]/Linux. Znaich分析笔记

Trojan[DDOS]/Linux. Znaich分析笔记安天安全研究与应急处理中心 (Antiy CERT) 目录编者按... 1 1 概述... 1 2 感染源... 1 3 样本分析... 3 4 总结... 7 附录一 : 参考资料... 7 附录二 : 关于安天... 7 安天实验室版权所有, 欢迎无损转载第 2 页编者按安天 CERT 这篇分析笔记完成于 2015 年 1 月 18 日, 但撰写后并未公开, 为让安全工作者更进一步了解 IoT