真船借箭:盘点行动中攻击者的绝密武器

华盟原创文章投稿奖励计划

文章来源于公众号:黑鸟

近日全国性网络攻防行动结束,无论是攻击方和防守方都尽力拼搏,有坚守到最后的,有一开始就出局的,想祝贺各位,在此先不谈结果如何,即使活动结束,网络攻防依然继续。

如今网络世界不稳定,无论是大国(中美俄等)单边作战,还是小国多国联合作战(德国和荷兰刚建立了第一个联合军事互联网,,该项目被视为未来统一其他北约成员军事网络的试验),未来的网络战场中,作战形式的多样化,越发证明了目前网络战场的激烈。

而所有的防守方务必要从过去一个月的假想敌,转变为防守境外攻击组织的思路,只能说,像过去很多的只为了应急的防守手段,能否敌得过境外攻击组织的连续炮轰一个月,这都是需要考虑。

当然攻击方就不多说了,干就是了。

声明:样本VT都有,意味着样本已经公开,并不存在涉密行为,如有兴趣请手打图片中的Hash进行分析。

下文为来自 中电科网安 TOD安全团队 K  先生过去几次攻击活动中发现的一些工具,无论是对防守方和攻击方,都具有思考价值。

最近在内网中发现了9款攻击者使用的工具,其中6款工具国内的安全软件都无法检测。

 1.进程隐藏工具libprocesshider.so

此工具作用为劫持系统的readdir64和readdir函数,隐藏”proxy”进程。

核心功能如下图:

真船借箭:盘点行动中攻击者的绝密武器

当readdir函数被调用时,先调用系统的readdir函数,在readdir返回的进程名字里面去比较进程名字是否含有”proxy”,如果是proxy进程,则不将readdir的结果返回给调用者,以此达到隐藏进程的目的。

真船借箭:盘点行动中攻击者的绝密武器

根据virustotal信息,此工具国内杀软无检测:

 

真船借箭:盘点行动中攻击者的绝密武器

2.流量代理工具proxy

Proxy为Dog Tunnel(狗洞),https://github.com/vzex/dog-tunnel/,go语言编写的流量代理工具:

真船借箭:盘点行动中攻击者的绝密武器

 

根据virustotal信息,该工具无安全软件检测:

真船借箭:盘点行动中攻击者的绝密武器

3.冰蝎一句话木马AdvanceSearchStyle.jsp

 

作为新型加密网站管理客户端,冰蝎算是作为中国菜刀的替代者。此次发现的样本为冰蝎JSP一句话木马

真船借箭:盘点行动中攻击者的绝密武器冰蝎一句话木马相对于传统的一句话木马的优点是传输内容进行了AES算法加密,使得流量抓取也无法分析攻击者行为。

Virustoal检测结果:

 

真船借箭:盘点行动中攻击者的绝密武器

冰蝎客户端提供了丰富的shell管理功能:

真船借箭:盘点行动中攻击者的绝密武器

加密传输的流量样本:

真船借箭:盘点行动中攻击者的绝密武器

4.JSP WEB后门live_index_bank3.jsp

这是一个常规的JAVA WEB后门,通过调用.jsp?nox=”命令”来执行命令

真船借箭:盘点行动中攻击者的绝密武器

Virustoal检测结果:

真船借箭:盘点行动中攻击者的绝密武器

模拟环境中调用如图:

真船借箭:盘点行动中攻击者的绝密武器

5.Linux辅助提权工具LinEnum.sh

LinEnum.sh脚本是一个shell脚本,可以自动执行65个以上的Linux命令,当攻击者尝试提高目标系统上的权限时,这些命令对信息收集可能会非常有用。

该脚本还允许用户在*.conf和* .log文件中搜索关键字。将显示任何匹配项以及标识关键字的完整文件路径和行号。

真船借箭:盘点行动中攻击者的绝密武器

Virustoal检测结果:

真船借箭:盘点行动中攻击者的绝密武器

该脚本是一个提权辅助脚本,主要功能是枚举机器信息,发现敏感信息筛选弱点,确定了弱点后还需攻击者寻找匹配的提权工具进行提权,敏感信息将会以黄色字样标出:

真船借箭:盘点行动中攻击者的绝密武器

 

6.脏牛提权工具c0w64

Cow64是脏牛漏洞提权工具,是一款针对Linux的提权工具,漏洞编号为CVE-2016-5195

真船借箭:盘点行动中攻击者的绝密武器

真船借箭:盘点行动中攻击者的绝密武器

这个在linux,有几个部署杀软。

真船借箭:盘点行动中攻击者的绝密武器

7.内网流量代理工具agent.exe

agent.exe是nps工具(https://github.com/cnlh/nps),

是一款轻量级、高性能、功能强大的内网穿透代理服务器。目前支持tcp、udp流量转发,可支持任何tcp、udp上层协议(访问内网网站、本地支付接口调试、ssh访问、远程桌面,内网dns解析等等……),此外还支持内网http代理、内网socks5代理、p2p等,并带有功能强大的web管理端:

真船借箭:盘点行动中攻击者的绝密武器

攻击者使用命令如下:

真船借箭:盘点行动中攻击者的绝密武器

安全工具检测情况如下:

真船借箭:盘点行动中攻击者的绝密武器

 

8  powershell木马

从流量中发现了可疑powershell下载

真船借箭:盘点行动中攻击者的绝密武器

该脚本主要包含三层静态加密内容:

第一层:

内容首先被 gzip 压缩,再通过 base64 编码

第二层:

第一层解开后的内容如下:

真船借箭:盘点行动中攻击者的绝密武器

代码的主要作用为将一段加密的字符串通过 base64 解码后,再与’35’进行异或后解密,并在内存 中分配申请一段内存,将解密后的 shellcode 拷贝到新申请的内存中并执行,shellcode 不出现在 任何 PE 文件或者其他常见的攻击文件中,借此绕过杀软。

通过 virustotal 信息可以看到,国内所有杀软对此都无检测。

真船借箭:盘点行动中攻击者的绝密武器

第三层 shellcode:

通过 virustotal 信息可以看到,国内所有杀软对此shellcode 文件都无检

测:

真船借箭:盘点行动中攻击者的绝密武器

shellcode 通过读取 peb 中 dll 中的 IAT 地址来实现函数调用:

真船借箭:盘点行动中攻击者的绝密武器

并且不通过函数名字而通过函数名字 hash 值得的方法来获得函数地址,以避免 函数字符串被轻易发现:

真船借箭:盘点行动中攻击者的绝密武器

使用工具 jmp2it.exe调试 shellcode

通过动态调试获取shellcode 调用的函数名字:

真船借箭:盘点行动中攻击者的绝密武器

经过分析,得出此shellcode 功能如下:

真船借箭:盘点行动中攻击者的绝密武器

 

9 端口扫描工具autoGetv2.exe

 

autoGetv2.exe是一款基于Python脚本的端口扫描工具。

 

逆向发现pe文件中有pyinstaller的字符串

真船借箭:盘点行动中攻击者的绝密武器

使用pyinstxtractor.py解包得到如下文件:

真船借箭:盘点行动中攻击者的绝密武器

添加pyc文件头:

真船借箭:盘点行动中攻击者的绝密武器

再使用easypython decompiler从pyc(pyo)文件得到py文件:

真船借箭:盘点行动中攻击者的绝密武器

通过日志查询发现攻击者使用了如下的命令:

真船借箭:盘点行动中攻击者的绝密武器

查杀情况如下:

真船借箭:盘点行动中攻击者的绝密武器

 

总结

不打不相识

真船借箭:盘点行动中攻击者的绝密武器

www.idc126.com

不多BB,求点个在看吧

本文原创,作者:jia91921314,其版权均为华盟网所有。如需转载,请注明出处:https://www.77169.net/html/238435.html

发表评论