InfoSteal 竊聽程式攻擊事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 5 月

Size: px

Start display at page:

Download "InfoSteal 竊聽程式攻擊事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 5 月"

哥窟铎
4 years ago
Views:

1 InfoSteal 竊聽程式攻擊事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 5 月

2 一事件簡介 1. 在 2019/2 中旬趨勢科技研究員在掃描中國台灣義大利與香港的漏洞主機時, 發現一個新型態攻擊工具包結合了木馬與工具來散播挖礦程式與竊取資料, 並且會透過 Internet 與區域網路散播自己, 下圖為 2019/1/22~2019/2/10 中國與台灣每日受感染的主機數量統計 2. 在成功地侵入受害主機後, 多階段的感染過程會使用趨勢科技稱為 Trojan.Win32.INFOSTEAL.ADS 的惡意程式來開始, 它將會連線 C2 伺服器來傳送主機資訊, 並且下載惡意程式的負載 (payload) 3. 在學術網路內,INFOSTEAL 惡意程式的偵測規則為 MALWARE-CNC Win.Trojan.Fakewmi variant outbound connection attempt, 而且在 2019/3 首次偵測到有 18 件資安事件, 至 2019/4 上升為 38 件, 整個呈現上升趨勢 4. 為了瞭解此類型攻擊行為可能造成的影響, 本中心取得起始的惡意程式樣本來進行檢測二事件檢測 1. 首先, 使用一台安裝 Windows 7 64 位元作業系統的虛擬主機進行隔離環境測 1

試, 將樣本 InfoSteal.exe(SHA256: bdbfa96d17c2f06f68b3bcc84568cf445915e194f130b0dc2411805cf889b6cc) 放於主機上執行在執行前, 其經 Virustotal 檢測之惡意程度為 61/70 2.

exe 執行時有開啟三個 port:65531~65533, 連線狀態一直為 Listening 3.

3 試, 將樣本 InfoSteal.exe(SHA256: bdbfa96d17c2f06f68b3bcc84568cf445915e194f130b0dc cf889b6cc) 放於主機上執行在執行前, 其經 Virustotal 檢測之惡意程度為 61/70 2. 程式 InfoSteal.exe 在執行後, 即於所在的資料夾中消失觀察主機對外的網路連線狀況, 發現 svchost.exe 會對外連線美國 IP: :80, 也發現 Process ID 908 與 1684 的程式 svchost.exe 執行時有開啟三個 port:65531~65533, 連線狀態一直為 Listening 3. 檢查主機上防火牆的輸入規則設定, 發現三個非系統本身預設的規則, 分別為 ShareService UDP 與 UDP2, 這三個規則開啟了本機端的與 65531port, 允許主機上的任何程式執行時, 讓任何人從遠端任何位址來進行連線, 推測這些 port 的開啟為駭客的攻擊行為之一 4. 檢視背景程式運作情形, 發現有三個程式的 Description 與 Company Name 為空白, 正常的程式應該有資訊, 推測可能為惡意程式 2

$exe 在主機內的檔案存放位置, 發現在那些位置無法看到這些程式, 要透過將資料夾選項的檢視設定修改為不隱藏保護的作業系統檔之後才看得到這些檔案, 讓使用者不容易發現它們的存在修改設定後發現在 c:\windows\syswow64\drivers 與$ $c:\windows\syswow64 這兩個資料夾出現程式 taskmgr.exe svchost.exe wmiex.exe 與 svhost.exe, 而其中 taskmgr.exe 與 svchost.$

4 5. 查看程式 svchost.exe wmiex.exe 與 taskmgr.exe 在主機內的檔案存放位置, 發現在那些位置無法看到這些程式, 要透過將資料夾選項的檢視設定修改為不隱藏保護的作業系統檔之後才看得到這些檔案, 讓使用者不容易發現它們的存在修改設定後發現在 c:\windows\syswow64\drivers 與 c:\windows\syswow64 這兩個資料夾出現程式 taskmgr.exe svchost.exe wmiex.exe 與 svhost.exe, 而其中 taskmgr.exe 與 svchost.exe 這兩個系統檔案所在位置不是系統預設的存放位置另外, 由建立日期判斷此為 InfoSteal.exe 執行後所產生的檔案, 其中 svchost.exe 與 svhost.exe 兩者建立時間相同, 而且檔案大小相同, 推測可能為相同檔案 6. 從程式 svchost.exe wmiex.exe 與 taskmgr.exe 的屬性 Strings 內容, 發現這三個程式的字串都提到賽門鐵克的憑證與憑證下載網址, 推測這三個惡意程式可能被嵌入賽門鐵克的憑證, 這樣竊取憑證的設計容易造成防毒軟體判定它為合法的程式 3

5 4

6 7. 程式 taskmgr.exe svchost.exe wmiex.exe 與 svhost.exe 經 virustotal 檢測其惡意比例分別為 50/71 63/72 56/69 與 63/72, 其中 svchost.exe 與 svhost.exe 的檢測結果相同, 也發現 svchost.exe 與一開始樣本 InfoSteal.exe 的 SHA256 值相同, 推測惡意程式 InfoSteal.exe 執行後除了刪除自己外, 另在系統檔所在資料夾中複製一份自己, 並且隱藏起來, 此種攻擊手法不容易讓使用者發現它的存在 5

7 8. 查看連線美國 IP: 的封包內容, 發現該 IP 會對應到兩個網址與從 IP: 所回應內容, 可以得知受害主機連線至該 IP 下載賽門鐵克所核發的憑證 6

$exe(PID:1708) 執行後它會在 C:\Windows\temp 內產生 ttt.exe, 之後會執行 taskkill.exe(pid:1720) 來強制結束程式 wmiex.exe 接著會透過 cmd.exe 執行 schtasks.$

8 9. 檢視背景程式的 Process Tree 紀錄, 發現 InfoSteal.exe 執行後, 會呼叫幾個程式來執行, 大致可將執行程序以主要程式分成 InfoSteal.exe(PID:1708) svchost.exe(pid:908) wmiex.exe(pid:3852) 與 svchost.exe(pid:1684) 等幾個部分 (1) InfoSteal.exe(PID:1708) 執行後它會在 C:\Windows\temp 內產生 ttt.exe, 之後會執行 taskkill.exe(pid:1720) 來強制結束程式 wmiex.exe 接著會透過 cmd.exe 執行 schtasks.exe 來強制刪除任務名稱為 WebServers 的排程, 之後建立一個新的 WebServers 排程工作, 來執行 c:\windows\syswow64 資料夾內的 wmiex.exe 7

$InfoSteal.exe 執行後也會呼叫 cmd.exe(pid 624) 來強制結束排程 svhost.exe svhhost.exe 與 svvhost.exe 等程序, 並且移動 svvhost.exe 與 svchost.exe 至 c:\windows\temp 內, 而且會刪除位於 c:\windows\system32 內的 svhhost.$

9 InfoSteal.exe 執行後也會呼叫 cmd.exe(pid 624) 來強制結束排程 svhost.exe svhhost.exe 與 svvhost.exe 等程序, 並且移動 svvhost.exe 與 svchost.exe 至 c:\windows\temp 內, 而且會刪除位於 c:\windows\system32 內的 svhhost.exe 與位於 c:\windows\syswow64 內的 svhhost.exe 接著 cmd.exe 會執行一個判斷程序, 當 process 名稱為 svhost.exe svhhost.exe 或 svvhost.exe 時終止該程序的執行之後 cmd.exe 會透過 WMIC.exe 去執行下列判斷程序 :(1) 如果 Process 的執行路徑在 %drivers% 的路徑內, 而且檔案名稱為 taskmgr.exe, 則結束該程序 (2) 如果 Process 的執行路徑在 %drivers% 的路徑內, 而且檔案名稱為 svchost.exe, 則結束該程序 (3) 如果 Process 的執行路徑在 %emp% 的路徑內, 而且檔案名稱為 svchost.exe, 則結束該程序, 推測此行為是駭客用來偵測主機是否曾經感染過此惡意程式的判斷程序 InfoSteal.exe 執行時也會透過 cmd.exe 來執行 netsh 指令, 開啟 3 個 65531~65533 的 port, 這些 port 的規則名稱分別為 UDP2 UDP 與 ShareService 8

$c:\windows\syswow64\drivers 資料夾內的 svchost.exe (2) svchost.$ $exe 會分別執行位於 c:\windows\syswow64\wmiex.exe 與 c:\windows\syswow64\drivers\svchost.$

10 接著會透過 cmd.exe 執行 schtasks.exe 來強制刪除任務名稱為 Ddrivers 的排程, 之後建立一個新的 Ddrivers 排程工作, 來執行 c:\windows\syswow64\drivers 資料夾內的 svchost.exe (2) svchost.exe(pid:908) 執行後它會呼叫 taskeng.exe 來執行 cmd.exe, 而 cmd.exe 會分別執行位於 c:\windows\syswow64\wmiex.exe 與 c:\windows\syswow64\drivers\svchost.exe 的兩個程式, 來開始 WebServers 與 Ddriver 兩個工作排程 (3) wmiex.exe(pid:3852) 執行後它會呼叫 wmic.exe(pid:3180) 來取得 UUID 與 macaddress 資訊 (4) svchost.exe(pid:1684) 執行後在 c:\windows\syswow64\drivers 資料夾內的 svchost.exe 執行後, 它會呼 9

$檢視主機啟動後程式執行設定排程工作與服務內容, 發現 c:\windows\syswow64\drivers 資料夾內的 svchost.exe 與 c:\windows\syswow64 資料夾內的 wmiex.$

11 叫位於同一個資料夾內的程式 taskmgr.exe, 接著會使用 cmd.exe 執行 8 次 WMIC.exe, 來檢查 taskmgr.exe svchost.exe explorer.exe spoolsv.exe conhost.exe csrss.exe services.exe 與 msdtc.exe 等 8 個程式的執行路徑, 若不符合則終止該程式的程序之後會使用 cmd.exe 一直重複執行這 8 次的 WMIC.exe 此外, 它也會透過執行 wmic.exe 來取得 UUID macaddress 與 VideoController 等資訊 10. 檢視主機啟動後程式執行設定排程工作與服務內容, 發現 c:\windows\syswow64\drivers 資料夾內的 svchost.exe 與 c:\windows\syswow64 資料夾內的 wmiex.exe 在主機重新啟動後會自動執行, 而且也列入工作排程與服務內容之一 10

$惡意程式在受害主機上被執行後, 產生下列各個行為 : (1) 刪除自己並執行本身修改後另存為 temp\ttt.$ $exe 的副本 (2) 將自己移動到 %system%\wmiex.$

12 三事件攻擊行為示意圖 1. 使用者從惡意網站感染下載惡意程式 2. 惡意程式在受害主機上被執行後, 產生下列各個行為 : (1) 刪除自己並執行本身修改後另存為 temp\ttt.exe 的副本 (2) 將自己移動到 %system%\wmiex.exe (3) 建立工作排程 WebServers 來執行 wmiex.exe (4) 執行 wmiex.exe 取得 UUID 與 macaddress 資訊 (5) 檢查檔名為 svhost.exe svhhost.exe 或 svvhost.exe 時, 則終止程序 11

13 (6) 檢查 taskmgr.exe 與 svchost.exe 的執行路徑, 若符合則終止程序 (7) 開啟主機的 65531~65533 port (8) 建立本身的副本並將它另存為 %system%\svhost.exe (9) 將自己移動到 %system%\drivers\svchost.exe (10) 建立持續性的工作排程 Ddriver (11) 刪除自己並執行 %system%\drivers\taskmgr.exe (12) 執行 %system%\drivers\svchost.exe (13) 檢查 taskmgr.exe svchost.exe explorer.exe... 等 8 個程式的執行路徑, 若不符合則終止程序 3. 連線賽門鐵克憑證伺服器 ( 美國 IP: ) 下載憑證四建議與總結 1. 本個案的攻擊手法主要在感染主機後, 將惡意程式安裝於 Windows 系統檔存放的資料夾內, 會檢查是否有相關的舊版本軟體存在, 透過刪除與初始化將這些舊版本軟體檔案和程序重新安裝與設定, 來讓受害主機感染最新版的惡意軟體 2. 該惡意程式在執行後, 會利用自己本身的資源建立一個 c:\windows\temp\ttt.exe 來啟動更新作業 3. 它會檢查檔案名稱是否為 svhost.exe svhhost.exe 或 svvhost.exe, 如果不是, 則會終止所有舊版的惡意軟體啟用防火牆, 並且開放 port 4. 它會在驅動程式中植入修改後的自身副本, 並建立一個工作排程來執行 wmiex.exe, 作為線上連線來傳送系統資訊 5. 由於它開啟 65531~65533port, 能讓任何程式從任何來源來使用這些 port, 容易讓駭客為遠端管理植入駭客工具於主機內 6. 放於主機系統檔資料夾內的惡意程式, 一般是隱藏狀態, 如果不解除隱藏 12

保護, 則使用者看不到它們的存在, 將使它們持續潛伏在受害主機內來竊取資訊 7. 關於本個案之資安防護措施, 有下列幾點建議提供參考 (1) 不隨意瀏覽不明來源的網站 (2) 不隨意點選不明來源的連結 (3) 定期更新系統修補漏洞與更新病毒碼 (4) 定期檢視主機 port 開啟的狀況 (5) 定期使用防毒軟體進行全系統的完整掃描五相關報導 1.

14 保護, 則使用者看不到它們的存在, 將使它們持續潛伏在受害主機內來竊取資訊 7. 關於本個案之資安防護措施, 有下列幾點建議提供參考 (1) 不隨意瀏覽不明來源的網站 (2) 不隨意點選不明來源的連結 (3) 定期更新系統修補漏洞與更新病毒碼 (4) 定期檢視主機 port 開啟的狀況 (5) 定期使用防毒軟體進行全系統的完整掃描五相關報導 1. Monero Miner-Malware Uses RADMIN, MIMIKATZ to Infect, Propagate via Vulnerability -uses-radmin-mimikatz-to-infect-propagate-via-vulnerability/ 13

NSA 攻擊工具事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 6 月

NSA 攻擊工具事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 6 月 NSA 攻擊工具事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 6 月一事件簡介 1. 在 2019/3 月底本中心發現在學術網路內從 2019/3 起陸續有來自 http:// 47[.]106[.]217[.]147/svchosa.exe 與 http://m9f[.]oss-cn-beijing[.]aliyuncs[.]com /svchosa.exe

InfoSteal 竊聽程式攻擊事件 分析報告 臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 5 月

InfoSteal 竊聽程式攻擊事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 5 月