AI+安全
數(shù)據(jù)安全
數(shù)據(jù)基礎設施
態(tài)勢感知
云安全
基礎安全
終端安全
商用密碼
軟件供應鏈安全
網(wǎng)絡空間靶場
工業(yè)互聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)安全
安全托管服務
運營管理服務
利用網(wǎng)絡空間探測引擎跟蹤Lazarus組織的活動痕跡
摘要
Lazarus是來自朝鮮的APT組織，該組織通常使用魚叉式釣魚郵件作為樣本投遞手段，主要以韓國和美國為攻擊目標，其攻擊活動還涉及金融和數(shù)字貨幣等領域。本次分析結合了網(wǎng)絡空間測繪探測技術跟蹤到該組織相關Rat程序的網(wǎng)絡基礎設施活動痕跡。
?
背景
本次獲取到的三個Lazarus組織樣本公開時間在2019年6月左右，被ExeStealth V2殼加密。三份樣本的架構和硬編碼C2完全一致。樣本主體是Lazarus組織使用的Rat程序，屬于APT攻擊感染鏈的末端。Rat中的C2通信指令非?；A，可通過不同的組合構造出高級指令，功能至少包括文件上傳、路徑遍歷、文件下載和遠程執(zhí)行等。
?
樣本分析
偽裝信息
樣本利用偽造的資源信息，偽裝成“Adobe Reader”的可執(zhí)行程序：
殼信息
樣本使用ExeStealth V2殼：
使用SEH進行反調試：
字符串加密
樣本使用了多種字符串加密手段，其中最主要的解密方法是部分字符位移，函數(shù)和部分字符串使用的解密秘鑰不同，但整體架構一致，下面給出解密腳本：
從樣本中共解密出101個函數(shù)和一些特征字符串信息，解碼后的樣本主要編程環(huán)境為朝鮮語（ko-KR），通信使用的User-Agent為“User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) Chrome/28.0.1500.95 Safari/537.36”。
偽裝的服務端信息：
以表單方式上傳：
提交數(shù)據(jù)的POST路徑：
虛假證書
樣本利用以下網(wǎng)站域名制作的虛假證書進行通信：
內置腳本
樣本中硬編碼的腳本如下：
C2指令
共分析出28個C2功能，C2指令流程圖如下：
C2指令中包含非常多的基礎功能，包括文件獲取、磁盤遍歷、寫文件、重啟刪除、進程創(chuàng)建、CMD命令執(zhí)行等，通過組合方式構造成高級指令執(zhí)行。
?
與友商分析的其他樣本在指令區(qū)間有稍有不同，大于0x12348C或小于0x123459都無效，0x12347A為操作成功指令碼、0x12345C為操作失敗指令碼。
?
內置IP
樣本內置的兩個IP地址分別為218.103.37.229和23.115.75.188。
?
活動跟蹤
2019年9月美國宣布加強對朝鮮的制裁，本次分析的Lazarus樣本活躍時期初步推測在該輪制裁之前。通過網(wǎng)絡空間測繪探測技術，我們了解到IP：23.115.75.188在2019年6月1日開放過443端口：
另一基礎設施IP：218.103.37.229在2019年8月28日開放過FTP端口：
網(wǎng)絡空間測繪得到的線索與我們從樣本中獲知的信息相對應，從另一維度向我們描述Lazarus組織的網(wǎng)絡活動痕跡。
?
參考鏈接
https://www.secpulse.com/archives/99324.html
https://www.freebuf.com/articles/network/164511.html
https://www.freebuf.com/sectool/154259.html
?
IOC
