AhnLab安全月刊

Size: px

Start display at page:

Download "AhnLab安全月刊"

逸銮牧
4 years ago
Views:

2 Tick Group 最近攻击事例分析探索面向韩国和日本的针对性攻击的真相有一个攻击组织以韩国和日本为中心展开攻击足有 10 年他们是被称为 Tick Group 或 Tick Threat Group 的攻击小组 2013 年首次由一家海外安全公司报道, 从更早的 2008 年开始就一直在韩国活动但是, 主要被人们所知的是日本的攻击事例, 韩国的事例并不广为人知 AhnLab 安全应急响应中心 (ASEC) 最近发布了 Tick Group 攻击趋势报告, 详细介绍了主要攻击目标和攻击技术 Tick Group, 又名 Bald Knight Bronze Butler Nian 和 RedBaldknight 等, 于 2013 年首次由海外安全公司报道捕捉到该组织全面的活动是从 2014 年开始, 即该组织被命名为 Tick 的那年从那时起, 该组织尝试攻击韩国和日本的机构和企业然而在韩国发现与该组织相关的恶意代码是在更早的 2008 年因此, 估计该组织针对韩国的攻击已经超过 10 年重要的是, 该组织似乎已获取韩国和日本的基础设施的大量信息并展开攻击因为, 该组织曾经在日本的攻击事件中利用主要在日本使用的产品的漏洞, 针对韩国, 他们除了漏洞攻击, 还攻击韩国国内的防病毒软件或安全 USB 产品 2

3 我们将以韩国的攻击事例为中心, 研究 Tick Group 的攻击技术和恶意代码主要攻击事例在韩国,Tick Group 针对各种行业展开攻击, 包括国防工业国防和政治相关的组织能源电子制造安全网络托管和 IT 服务公司它主要使用鱼叉式网络钓鱼 Adobe Flash 或 Microsoft Office 的漏洞攻击以及水坑式攻击等攻击技术将垃圾数据 (Garbage data) 添加到恶意代码以妨碍分析, 或创建大小为几十到几百兆的恶意文件来试图旁路安全程序的检测攻击时期攻击目标攻击方式 2013 年 2 月未知的利用 Flash 漏洞 (CVE , CVE ) 的攻击 2014 年 3 月韩国 - 国防工业使用 Netboy 变种进行攻击该变种已在韩国有许多报告事例 2015 年 1 月韩国 - 大企业使用 A Bisodown 变种进行攻击 2015 年 5 月韩国 - 大企业使用 B Netboy 变种进行攻击 2015 年 6 月亚洲 - 金融机构无法确认 2016 年 2 月韩国 - 海洋产业使用 Daserf 变种进行攻击与韩国通信公司在 2016 年 6 月发现的 Daserf 恶意代码相同 2016 年 6 月日本 - 旅行社根据 LAC 报告 2016 年 6 月韩国 - 通信公司使用 Daserf 变种进行攻击 2016 年 9 月韩国 - 能源使用 Datper 变种进行攻击 2016 年 12 月日本 - 企业攻击日本资产管理软件漏洞 (CVE ) 并感染 2017 年 4 月韩国 - 未确认 2018 年通过 Palo Alto Unit 42 告知针对韩国安全 USB 的攻击 2018 年 5 月韩国 - 国防领域使用推测的 Bisodown 变种进行攻击根据伪装成军事内容的文件 (decoy), 估计目标是国防部门的人员 2018 年 5 月韩国 - 政治机构使用 Bisodown 进行攻击 2018 年 8 月韩国 - 国防领域使用 Bisodown 变种攻击在受感染的系统上发现了一个文件名为 Linkinfo.dll 的键盘记录程序 2018 年 9 月韩国 - 政治机构使用 Datper 变种进行攻击 2019 年 1 月韩国 - 信息安全使用 JPCERT 在 2019 年 2 月公开信息的 Datper 变种进行攻击 2019 年 1 月韩国 - 网络托管与韩国安全公司在 2019 年 1 月发现的恶意代码相同 2019 年 2 月韩国 - 电子元件使用 JPCERT 在 2019 年 2 月公开信息的 Datper 变种进行攻击 2019 年 2 月韩国 - IT 服务使用 2019 年 2 月攻击韩国电子元件公司的恶意代码相同的 Datper 变种进行攻击表 1 Tick Group 的主要攻击事件 (2013~2019) 表 1 总结了 2013 年至 2019 年 2 月该组织的执行的攻击事例详细分析主要恶意代码 Tick Group 使用的恶意代码类型有作为下载器的 Bisodown( 又名 Cpycat 或 HomamDownloader) 和 Gofarer, 具有后门功能的 Daserf Datper Hdoor Ghostrat Netboy( 又名 Domino 或 Invader) Ninezero(9002) 和 Xxmm 下面将详细介绍该组织使用的恶意代码 3

多次被用于攻击韩国国内公司和机构图 1 Bisdown 恶意代码的字符串自 2015 年以来发现的下载程序变种在创建文件时, 将垃圾数据添加到文件的末尾, 从而导致文件大小从几十到几百兆不等图

4 1. 下载器 (Downloader) 攻击者向攻击目标发送电子邮件, 伪装成与工作相关的内容将伪装成 PDF 或 Word 文档文件的可执行文件附加到邮件中当用户打开显示为文档文件的附件时, 将运行可执行文件并由下载程序下载恶意代码该组织使用的恶意下载程序是 2014 年 4 月首次发现的 Bisdown, 以及 2015 年发现的 Gofarer 截至 2019 年,Bisdown 多次被用于攻击韩国国内公司和机构图 1 Bisdown 恶意代码的字符串自 2015 年以来发现的下载程序变种在创建文件时, 将垃圾数据添加到文件的末尾, 从而导致文件大小从几十到几百兆不等图 2 创建文件时添加的垃圾值在检查 Gofarer 下载程序的数字签名结果, 它似乎拥有 Heruida Electronic 公司的证书, 如图 3 所示然而, 尚未证实该公司是否实际存在 4

Murim, ShadowWali, Wali, Wrim) 和 Datper 等 Dasaf 主要执行查看文件列表执行 cmd.

5 图 3 恶意代码的数字签名但还发现了另外四个使用相同证书签名的恶意代码其中,2015 年 7 月发现的变种和没有证书的变种都在日本发现到目前为止, 还没有证实在韩国出现 Gofarer 变种 2. 后门 (Backdoor) 具有后门功能的恶意代码有 Daserf ( 又名 Muirim, Nioupale, Postbot ) Netboy ( 又名 Domino, Invader, Kickesgo) Ninezero( 又名 9002) Xxmm( 又名 KVNDM, Minzen, Murim, ShadowWali, Wali, Wrim) 和 Datper 等 Dasaf 主要执行查看文件列表执行 cmd.exe 命令和文件上传 / 下载 / 删除 / 运行等功能它于 2019 年首次出现, 在韩国首次发现于 2011 年 4 月最初使用 C 语言编写, 但从 2013 年开始出现使用 Delphi 编写的变种 Daserf 变种的大小约为 30 至 40 千字节, 但有些变种可能有 100 千字节或更多 Daserf 变种在特定的字符串 ( 如版本信息 ) 和文件末尾具有加密的 C&C 信息它还包含版本信息, 图 4 中显示的样本的版本是 1.3G 文件的末尾有加密的 C&C 信息图 4 包含版本信息的 Daserf 恶意代码的字符串 5

6 在韩国攻击事件中,2011 年 4 月感染 Daserf 恶意代码的系统上发现了一个名为 keyll.ee 的键盘记录程序, 另外两个感染的系统上也发现了类似的键盘记录程序似乎是 Daserf 下载了键盘记录程序 Netboy 是一个用 Delphi 编写的恶意软件, 大多数变种的主字符串是用 0x7C 进行 XOR 加密的在韩国, 早期版本是在 2008 年发现的, 与其他版本一样, 主字符串是用 0xC7 进行 XOR 加密的, 但它是一个 DLL 文件这些变种的代码与 2010 年以后的样本有很大差异在韩国最多发现 Netboy 变种是在 2010 年, 之后它们全面开始活动图 5 Netboy 恶意代码的 XOR 加密代码 Netboy 将恶意代码插入到正常进程 ( 如 explorer.exe) 中, 以执行键盘记录屏幕捕获进程列表和程序运行等功能它的变种自 2013 年开始通过在代码中间添加垃圾数据来干妨碍分析 Ninezero 是 Tick Group 在 2012 年至 2013 年间使用的恶意代码, 也被称为 9002 后门, 因为它在通信时传送 9002 字符串 2012 年, 在韩国首次发现了 Ninezero 恶意代码它的长度约为 70 千字节, 当它被执行时, 它会创建一个实际后门 DL L 并作为服务运行 AhnLab 分析表明, 一些系统在感染 Netboy 后又被 Ninezero 感染 2015 年首次发现的另一个后门恶意软件名为 Xxmm, 其中包含代码中的字符串 Xxmm, 如图 6 所示但是,Tick Group 全面开始使用该恶意代码是从 2016 年起图 6 Xxmm 恶意代码的字符串 Xxmm 主要由 dropper 加载器和后门模块组成当 dropper 被运行, 它会检查操作系统以生成 32 位恶意代码或 64 位加载程 6

序恶意代码当加载程序被运行, 加密的后门恶意代码被注入内存并执行 Xxmm 还添加垃圾数据, 将文件长度从 50 兆字节增加到 100 兆字节 Datper 是用 Delphi 编写的恶意代码, 从 2015 年到 2019 年 3 月持续被发现与 Tick Group 使用的其他恶意代码一样, 代码中包含了垃圾数据

$exe 的键盘记录程序当该键盘记录程序被运行, 用户输入的键的内容将保存到 c\windows\log.txt 文件中图 7 2011 年键盘记录程序的字符串在 2017 年和 2018 年, 在感染 Bisdown 或 Datper 恶意代码的系统上发现了另一个键盘记录程序该键盘记录程序的文件名是 apphelp.$

7 序恶意代码当加载程序被运行, 加密的后门恶意代码被注入内存并执行 Xxmm 还添加垃圾数据, 将文件长度从 50 兆字节增加到 100 兆字节 Datper 是用 Delphi 编写的恶意代码, 从 2015 年到 2019 年 3 月持续被发现与 Tick Group 使用的其他恶意代码一样, 代码中包含了垃圾数据在一些感染了 Datper 变种的系统上, 还发现键盘记录程序或 MICKATS 恶意代码 3. 键盘记录程序 (Keylogger) 如前所述, 在 2011 年 4 月至 5 月期间, 被 Datper 恶意代码感染的某些系统上发现了名为 keyll.exe 的键盘记录程序当该键盘记录程序被运行, 用户输入的键的内容将保存到 c\windows\log.txt 文件中图年键盘记录程序的字符串在 2017 年和 2018 年, 在感染 Bisdown 或 Datper 恶意代码的系统上发现了另一个键盘记录程序该键盘记录程序的文件名是 apphelp.dll,k6.dll,linkinfo.dll 等, 长度约为 40 到 50 千字节图年键盘记录程序的字符串主要攻击工具分析 AhnLab 跟踪 Tick Group 的活动, 并确认了攻击者拥有的各种攻击工具 1. 旁路防病毒软件 (Anti-AV) Anti 1.0 是一种生成恶意代码的工具, 用于攻击在韩国国内防病毒程序 2011 年 5 月至 7 月期间制作了许多变种 7

8 图 9 用于攻击韩国国内防病毒程序的恶意代码生成器图 10 攻击韩国国内防病毒程序的代码的字符串 2. 构建器 (Builder) NForce 建于 2011 年, 是一个构建攻击漏洞的恶意 PDF 的程序图 11 恶意 PDF 构建器 - NForce ShadowDawn 构建器发现于 2016 年, 它的用户界面类似与 Xxmm 构建器 ( 参见图 13 ) 8

9 图 12 ShadowDawn 构建器 3. 控制器 (Controller) Tick Group 使用许多控制器程序制作了 Netboy 或 Xxmm 恶意代码图 13 Xxmm 构建器其中,NetGhost 是 2014 年至 2017 年发现的恶意代码生成和控制器它包含一个像 Modified From Gh0st 3.6 的字符串, 从这一点可以判断它可能是基于 Gh0st 制作图 14 NetGhost 控制器 9

10 4. Windows 凭据编辑器 (WCE) Windows 凭据编辑器 (WCE) 是一个可以知道 Windows 系统帐户信息的程序攻击者在 2013 年使用了 WCE.exe 图 15 WCE 运行界面 64 位 WCE 首次发现于 2014 年,2016 年 6 月发现的 64 位 WCE 拥有一个名为 Heruida Electronic 的供应商的证书, 就像之前提到的恶意代码的数字签名一样 5. 米米卡兹 (Minikatz) 自 2015 年以来,Tick Group 试图使用 Mimikatz 窃取帐户信息, 而不是 WCE 此外, 在感染了 Datper 恶意代码的系统上发现了名为 mi.exe 和 m3.exe 等的米米卡兹的变种图 16 Mimikatz 运行界面 10

11 AhnLab V3 产品系列通过以下诊断名检测 Tick Group 相关的恶意代码 <V3 产品群诊断名 > Dropper/Win32.Homam Trojan/Win32.Daserf Trojan/Win32.Datper Trojan/Win32.Domino Trojan/Win32.Gofarer Trojan/Win32.Homamdown Trojan/Win32.MalCrypted Trojan/Win32.Netboy Trojan/Win32.Xxmm Win-Trojan/Injector 能够识别恶意文件的移动很重要仅通过恶意代码来特定其攻击幕后组织是有限制的然而, 在 Tick Group 的攻击中出现了明显的相关性, 如一些恶意代码的证书签名相同或在感染 Daserf 的系统中发现 Netboy, 又或者在感染 Ninezero 的系统中发现 Netboy 等它也类似于大多数恶意代码使用通过添加垃圾数据来增加文件大小的方法这一点这是因为大多数安全产品不会收集太大的文件当然, 一些恶意代码也下载了基于 Bisonal 的恶意代码, 这种恶意软件难以识别相关性并被所知为其他组织的恶意代码归根到底, 为了更清楚地阐明 Tick Group 攻击的相关性, 我们应该了解 C&C 服务器的特征以及恶意代码特别是, 有必要掌握恶意代码在攻击目标内部移动的过程, 即横向移动 (Lateral movement) 因此, 成为 Tick Group 攻击目标的企业和机构应该能够从恶意文件的流入点 ( 尤其是端点 ) 识别和跟踪恶意文件的移动路径行为和与其他文件的相关关系, 并构建方案还需要与安全公司积极共享信息此外, 由于 Tick Group 主要针对韩国和日本展开攻击, 因此应该促进国家之间的合作 AhnLab 安全响应中心 (ASEC) 发布的 Tick Group 攻击趋势报告全文可在 AhnLab 官网确认 (* 目前仅提供韩文版 ) 下载 Tick Group 攻击趋势报告 11

12 cn.ahnlab.com 关于 AhnLab Ahnlab 的尖端技术和服务不断满足当今世界日新月异的安全需求, 确保我们客户的业务连续性, 并致力于为所有客户打造一个安全的计算环境我们提供全方位的安全阵容, 包括经过证实的适用于桌面和服务器的世界级防病毒产品移动安全产品网上交易安全产品网络安全设备以及咨询服务 AhnLab 已经牢固地确立了其市场地位, 其销售伙伴遍布全球许多国家和地区北京市朝阳区望京阜通东大街 1 号望京 SOHO 塔 2 B 座室上海市闵行区万源路 2158 号 18 幢泓毅大厦 1201 室电话 : ( 北京 ) / ( 上海 ) cn.sales@ahnlab.com 2019 AhnLab, Inc. All rights reserved.

AhnLab安全月刊

AhnLab安全月刊 2016.11 Vol. 48 PowerShell 恶意软件基于 PowerShell 的恶意软件分析解密传播勒索软件的 PowerShell 恶意软件今年出现了大量的利用 PowerShell 传播勒索软件的恶意软件 PowerShell 是一个强大的命令行工具, 是微软公司为 Windows 环境开发的脚本语言技术,Windows Vista 以后版本默认内置 PowerShell PowerShell