Turla Mosquito行动的发展趋势分析

TRex 系统安全 2018年5月29日发布
Favorite收藏

导语:ESET研究人员观察到臭名昭著的间谍组织Turla发生了重大变化。

Turla是一个臭名昭着的间谍组织,至少已经活跃了十年。它在2008年攻击美国国防部时被曝光[1]。此后,Turla涉及了多起政府和国防工业等敏感企业的安全事件[2]。

我们2018年1月的白皮书[3]首次公开分析了Turla Mosquito行动。我们还公布了IoC指标[4]。从那以后,Mosquito行动一直非常活跃,攻击者一直在忙着改变策略,尽可能隐身。

从2018年3月开始,我们观察到该行动发生了重大变化:现在它利用开源开发框架Metasploit,放弃了定制的Mosquito后门。当然,这并不是Turla第一次使用通用工具。过去,我们已经看到了使用开源的口令dump工具,如Mimikatz。然而,据我们所知,这是Turla首次将Metasploit用作第一阶段后门,而不是依靠自己的工具,如Skipper [5]。

传播

正如我们之前的分析[3]所描述的那样,典型的Mosquito行动其攻击媒介仍然是一个伪装的Flash安装程序,实际上其安装了Turla后门和合法的Adobe Flash Player。其典型的目标仍然是东欧的使领馆。

我们展示了当用户通过HTTP从get.adobe.com下载Flash安装程序时发生的危害。在终端和Adobe服务器之间的节点上截获流量,Turla的运营者用木马化版本替换了合法的Flash可执行文件。下图显示了理论上可以拦截流量的不同节点。请注意,我们认为可以排除第五种可能性,因为就我们所知Adobe/Akamai没有受到危害。

尽管后来发现无法拦截流量,但我们发现了一个仍在模拟Flash安装程序的新可执行文件,名为flashplayer28_xa_install.exe。因此,我们认为最早的攻击方法仍在使用中。

分析

在2018年3月初,作为定期追踪Turla的一部分,我们观察到了Mosquito行动的一些变化。尽管他们没有采用开创性的技术,但这是Turla战术、技术和程序(TTPs)的重大转变。

以前,感染链是一个伪装的Flash安装程序释放一个加载程序和主后门。如下图所示:

最近,我们观察到最终后门投放的方式发生了变化。Turla的行动仍然依赖伪装的Flash安装程序,但不是直接释放这两个恶意DLL,而是执行Metasploit shellcode,并从Google Drive中下载合法Flash安装程序并安装。之后,shellcode下载一个Meterpreter,这是一个典型的Metasploit有效载荷[6],允许攻击者控制被入侵的机器。最后,机器可能会收到典型的Mosquito后门。下图总结了新的过程。

由于使用了Metasploit,我们猜测操作人员会手动进行利用过程。攻击的时间框架相对较短,因为最后的后门在入侵开始后的三十分钟内被投放。

shellcode是一个典型的Metasploit shellcode,使用shikata_ga_nai编码器[7]进行七次迭代保护。下面的屏幕截图显示了编码和解码的有效载荷。

一旦shellcode被解码,它会通过https://209.239.115 [.] 91/6OHEJ联系C&C,指导下载另一阶段的shellcode。根据遥测技术,我们确定下一个阶段是Meterpreter。该IP地址已被指向之前看到的Mosquito的C&C域名psychology-blog.ezua [.] com,该域名于2017年10月正式解析。

最后,伪装的Flash安装程序从Google Drive URL下载合法的Adobe安装程序,然后执行该安装程序,让用户认为所有内容都正确无误。

其它工具

除了新的伪Flash安装程序和Meterpreter,我们还观察到其他几个被使用的工具。

· 一个只包含Metasploit shellcode的自定义可执行文件,用于维护对Meterpreter会话的访问。它被保存到:C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msupdateconf.exe,开机自启动。

· 另一个用于执行PowerShell脚本的自定义可执行文件。

· 使用Google Apps脚本作为C&C服务器的Mosquito JScript后门程序。

· 使用Metasploit模块ext_server_priv.x86.dll [8]进行权限提升。

总结

本文介绍了过去几个月Turla Mosquito行动的发展趋势。我们观察到的主要变化是使用开源渗透测试项目Metasploit作为定制Mosquito后门的第一阶段。这对防御针对涉及Turla的攻击事件做出事件响应可能有参考价值。

C&C

· https://209.239.115[.]91/6OHEJ

· https://70.32.39[.]219/n2DE3

合法Flash installer的链接

· https://drive.google[.]com/uc?authuser=0&id=1s4kyrwa7gCH8I5Z1EU1IZ_JaR48A7UeP&export=download

IoCs

1.png

参考文献

[1] B. KNOWLTON, “Military Computer Attack Confirmed,” New York Times, 25 08 2010. [Online]. Available: https://www.nytimes.com/2010/08/26/technology/26cyber.html?_r=1&ref=technology. [Accessed 09 04 2018].

[2] MELANI, ” Technical Report about the Malware used in the Cyberespionage against RUAG,” 23 05 2016. [Online]. Available: https://www.melani.admin.ch/melani/en/home/dokumentation/reports/technical-reports/technical-report_apt_case_ruag.html.

[3] ESET, “Diplomats in Eastern Europe bitten by a Turla mosquito,” ESET, 01 2018. [Online]. Available: https://www.welivesecurity.com/wp-content/uploads/2018/01/ESET_Turla_Mosquito.pdf.

[4] ESET, “Mosquito Indicators of Compromise,” ESET, 09 01 2018. [Online]. Available: https://github.com/eset/malware-ioc/tree/master/turla#mosquito-indicators-of-compromise.

[5] M. Tivadar, C. Istrate, I. Muntean and A. Ardelean, “Pacifier APT,” 01 07 2016. [Online]. Available: https://labs.bitdefender.com/wp-content/uploads/downloads/pacifier-apt/.

[6] “About the Metasploit Meterpreter,” [Online]. Available: https://www.offensive-security.com/metasploit-unleashed/about-meterpreter/.

[7] “Unpacking shikata-ga-nai by scripting radare2,” 08 12 2015. [Online]. Available: http://radare.today/posts/unpacking-shikata-ga-nai-by-scripting-radare2/.

[8] “meterpreter/source/extensions/priv/server/elevate/,” Rapid7, 26 11 2013. [Online]. Available: https://github.com/rapid7/meterpreter/tree/master/source/extensions/priv/server/elevate.

本文翻译自:https://www.welivesecurity.com/2018/05/22/turla-mosquito-shift-towards-generic-tools/如若转载,请注明原文地址: http://www.4hou.com/system/11786.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论