Mandiant 托管防御服务产品以主动威胁搜寻计划而被人们所熟知,旨在保护客户免受绕过传统检测机制的高级威胁参与者工具、策略和技术的侵害。2022 年 7 月,在一家媒体行业公司的主动威胁搜寻工作中,Mandiant Managed Defense 揪出了被 UNC4034 组织所利用的新一轮网络钓鱼活动。

类似构造的恶意软件,最终都是为了加载 AirDry.V2 后门这个有效载荷。钓鱼手段方面,攻击者加装自己是亚马逊的招聘评估人员。

通过分析 ISO 镜像中的文件,可知两者带有相同的木马化 PuTTY 可执行文件、以及位于自述文件中的服务器端 IP 地址。

每个样本中包含的恶意代码,会将嵌入式有效载荷写入磁盘并启动,但不同样本还可能将木马插入到代码中的不同位置。

比如 VirusTotal 检出的样本,就看到了被插入 ssh2_userauth_process_queue 函数中的恶意代码(源文件在 putty-0.77sshuserauth2-client.c)。

接下来被执行的 colorcpl.exe 二进制文件则来自 C:WindowsSystem32cmd.exe /c start /b C:ProgramDataPackageColorcolorcpl.exe 0CE1241A44557AA438F27BC6D4ACA246 。

不过在 VirusTotal 的示例中,cmd.exe 并未用于启动 colorcpl.exe —— 因为 Windows API 函数 WinExec 会执行上述命令。

两种情况下,传递过来的 colorcpl.exe 命令行参数,都与 Windows 可执行文件的合法功能无关。相反,每个参数都被恶意的动态链接库所使用。

先是通过 schtasks.exe 为 C:ProgramDataPackageColorcolorcpl.exe 建立持久性,然后借助名为PackageColor 的计划任务,在每天上午 10:30 执行该二进制文件。

至于 colorui.dll 样本,检测发现它是由商业软件保护程序 Themida 打包的。

解压后的样本,包含了揭示其用途(ShellCodeLoader)的嵌入式文件路径 ——

W:DevelopaToolShellCodeLoaderApplibressl-2.6.5cryptocryptlib.c

—— 两个样本都包含了一个名单 DAVESHELL 的相同 shellcode 有效负载。

然后使用基于 XOR 的自定义算法和动态生成的密钥对有效负载进行解密可得如上图所示的字符串。

Mandiant 指出,包含的该密钥,也可作为一种反分析机制 —— 若缺少正确的密钥,则执行 DLL 时不会触发任何重要的操作。

Mandiant曝光黑客组织假借招聘和WhatsApp发起PuTTY钓鱼攻击

Leave A Comment

Recommended Posts