這篇文章的內容主要圍繞APT28樣本實例分析進行講述,文章內容清晰易懂,條理清晰,非常適合新手學習,值得大家去閱讀。感興趣的朋友可以跟隨小編一起閱讀吧。希望大家通過這篇文章有所收獲!
公司主營業務:成都網站設計、成都網站制作、移動網站開發等業務。幫助企業客戶真正實現互聯網宣傳,提高企業的競爭能力。創新互聯是一支青春激揚、勤奮敬業、活力青春激揚、勤奮敬業、活力澎湃、和諧高效的團隊。公司秉承以“開放、自由、嚴謹、自律”為核心的企業文化,感謝他們對我們的高要求,感謝他們從不同領域給我們帶來的挑戰,讓我們激情的團隊有機會用頭腦與智慧不斷的給客戶帶來驚喜。創新互聯推出瑪沁免費做網站回饋大家。
奇幻熊組織又被人們稱為APT28,他是俄羅斯的間諜組織,2019年,奇幻熊組織的活動異常頻繁。從今年年初的智囊團入侵事件,到隨后的大小攻擊,都有APT28的身影。奇幻熊的歷史已經非常悠久,2016年,該組織因為入侵美國民主黨全國委員會的電子郵件,試圖影響美國總統大選而聞名于世。魚叉式網絡釣魚、0Day攻擊是該組織慣用的攻擊方法,并且他們使用的工具非常迅速的更新。在2015年一年中,使用了不少于6種不同的0Day漏洞,這是一個相當大的工程,需要大量安全人員在常用的軟件中尋找大量的未知漏洞。
本次樣本分析的樣本來自于我單位捕獲到的樣本數據,經過分析為Zepakab下載器。在此做一個簡單的分析,以窺探Zepakab的技術秘密。
首先,我們對樣本稍作分析就可以知道,該樣本使用了UPX加了一層殼,不過并沒有做更多的處理。使用UPX即可以正常將其解壓,生成正常的樣本。
在解壓后的樣本中,我們可以從資源RCData/SCRIPT中看到”AU3!”的字樣,并且在其代碼中可以看到一系列的證據,都可以表明,該樣本是由AutoIt編譯而來。AutoIt是使用類似BASIC的語言,主要用于設計和Windows圖形界面自動化交互的程序。使用這樣的語言來開發惡意程序,可以很容易的躲避殺毒軟件的檢測。
然后,我們將Zepakab中的AutoIt代碼反編譯,提取出其中的源碼。可以看到,”main”函數是Zepakab的主要例程。Zepakab的主要功能是不斷的在一個循環中獲取系統信息,截取屏幕快照,發送給服務器。并且在需要的時候下載惡意樣本駐留在系統中。
系統信息的收集是在”info”函數內完成的,info調用了”_computergetoss”函數。”_computergetoss”使用了Windows管理規范(WMI)的AutoIt接口,使用了查詢語句”SELECT * FROM Win32_OperatingSystem”來查詢系統信息。
該惡意軟件通過下面的scr函數將桌面屏幕快照保存到”%TEMP%\ tmp.jpg”中。
在從服務器上下載了有效負載后,Zepakab會將它同過”crocodile”函數保存到”C:\ ProgramData\Windows\Microsoft\Settings\srhost.exe”中。
除了上述的一些主要功能外,Zepakab還有一些比較只能化的功能。例如反虛擬機,它會查找一些當前比較重要的虛擬機文件、進程以及通過特別算法計算的標識,從而實現虛擬機逃逸。
此外,”_sofware”函數通過注冊表
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall"
解析已安裝的軟件。同時通過systeminfo系統命令輸出系統信息,并檢索進程并將其納入到系統信息中。
這份代碼,并沒有使用復雜的混淆技術,所以可以輕松的看到Downloader的服務器地址是185.236.203.53,uri是”locale/protocol/volume.php”。Downloader使用HTTP方式和服務器通信,并且使用base64編碼和加密的方式發送和接受數據。
Zepakab在整個2019年是異常活躍的,雖然其開發方式非常簡單,但是其危害程度并不低,而且APT28組織也異常快速地更新他們的武器。正因為簡單的開發方式,其更新速度才得以更快。奇幻熊仍然更多地使用他們慣用的方法,魚叉式攻擊,0Day漏洞等等。在這種低成本的開發方式下,奇幻熊組織得以更有效地進行他們的網絡攻擊。
感謝你的閱讀,相信你對“APT28樣本實例分析”這一問題有一定的了解,快去動手實踐吧,如果想了解更多相關知識點,可以關注創新互聯網站!小編會繼續為大家帶來更好的文章!
網站標題:APT28樣本實例分析
轉載來于:http://m.newbst.com/article48/iigcep.html
成都網站建設公司_創新互聯,為您提供外貿建站、網站排名、定制開發、商城網站、企業建站、營銷型網站建設
聲明:本網站發布的內容(圖片、視頻和文字)以用戶投稿、用戶轉載內容為主,如果涉及侵權請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網站立場,如需處理請聯系客服。電話:028-86922220;郵箱:631063699@qq.com。內容未經允許不得轉載,或轉載時需注明來源: 創新互聯