商贸信病毒针对某精密仪器公司的APT攻击
2019年04月26日 10时06分16秒

  商贸信病毒针对某精密仪器公司的APT攻击○▲○▲○▲○▲▲●▲●▲●▼▲▼▲▼▲▼▼▽●▽●▼▼▽●▽●▼▼▽●▽●▼▼▽●▽●▼▼▽●▽●★◇▽▼•★◇▽▼•★◇▽▼•口▲=○▼口▲=○▼口▲=○▼口▲=○▼口▲=○▼■□■□■□■□■□▲●…△▲●…△▲●…△▲●…△▲●…△◆▼◆▼◆▼★▽…◇★▽…◇★▽…◇★▽…◇★△◁◁▽▼★△◁◁▽▼★△◁◁▽▼★△◁◁▽▼★△◁◁▽▼△▪️▲□△△▪️▲□△△▪️▲□△△▪️▲□△△▪️▲□△◇•■★▼◇•■★▼◇•■★▼◇•■★▼☆△◆▲■☆△◆▲■☆△◆▲■☆△◆▲■◆◁•◆◁•◆◁•◆◁•◆◁••●•●•●•☆■▲•☆■▲•☆■▲•☆■▲▪️•★▪️•★▪️•★近期腾讯安全御见威胁情报中监测到有黑客组织利用“商贸信”病毒针对外贸行业的APT攻击再次活跃。此轮攻击的特点为,利用2017年微软公布的office公式编辑器漏洞CVE-2017-11882构造钓鱼文档,文档触发漏洞后通过mshta.exe执行由短链接bit.ly构造的远程代码,从而将后门木马植入。

  在某例攻击中,我们发现攻击者使用的钓鱼文档名称中包含台湾某精密仪器公司的全称,并且将文档成功发送至该公司的邮箱中。该文档触发漏洞执行后会下载后门木马smbn.exe,木马释放AutoIt脚本执行器,然后将高度混淆的AutoIt脚本代码传入脚本执行器执行,并安装为启动项反复执行,木马具有检测虚拟机,禁止任务管理器启动,关闭UAC,注入恶意代码到系统进程执行等功能。

  被攻击台湾某公司为生成电脑数值控制(CNC),PCB成型机,PCB钻孔机等仪器,该公司与欧洲知名厂商合作生产,是一家全球化企业。

  针对该公司攻击时的邮件附件名为:**精密股份限公司_3Q_pdf.doc,可见黑客已经在攻击前搜集了该公司的详细信息。打开文档发现包含一张图片,标题为“commercial invoice”,其含义为商业发票(SCcommercial invoice),是卖方开立的载有货物名称、数量、价格等内容的清单,作为买卖双方交接货物和结算货款的主要单证,是进口国确定征收进口关税的依据,也是买卖双方索赔、理赔的依据。

  smbn.exe为自解压程序,运行后释放55个文件到%Temp%/08761141/目录下。其中最关键的文件有三个:lfw.exe为AutoIt脚本执行器,xql=njc为第一层脚本,phm.ppt为被加密的最终脚本。(AutoIt是一个使用类似BASIC脚本语言的免费软件,它设计用于Windows GUI(图形用户界面)中进行自动化操作,它利用模拟键盘按键,鼠标移动和窗口/控件的组合来实现自动化任务。)

  解压时会通过命令行启动mvs.vbs,该脚本将 “xql=njc”文件作为参数传递给lfw.exe执行。

  “xql=njc”文件被加入了大量杂质数据,因此有超过10M 大小,分析时发现里面包含真正执行的AutoIt脚本只有78行代码。

  分析“xql=njc”中的脚本代码,发现其功能为从phm.ppt中按照一定的特征如“S3tting”、“Dir3ctory”、“sK”、“sN”、“sData”、“esData”等定位加密数据,将加密数据解密成新的AutoIt代码后,保存至当前目录下的五位随机字符组成的文件名中,然后通过Run命令执行该脚本文件。

  生成五位随机名字符文件,取ASCII编码65至90(对应大写字母A至Z)

  解密出的随机名脚本文件共有754行代码,同样作为参数由脚本执行器lfw.exe执行,脚本实现虚拟机检测,安装启动项,解密PE数据,注入进程执行等核心功能,并且会在执行结束后被立即删除。

  1、不要打开不明来源的邮件附件,对于邮件附件中的文件要谨慎运行,如发现有脚本或其他可执行文件可先使用杀毒软件进行扫描;

  4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。

  1、不要打开不明来源的邮件附件,对于邮件附件中的文件要谨慎运行,如发现有脚本或其他可执行文件可先使用杀毒软件进行扫描;

  4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。kk棋牌app



商贸中心 | 生态农业 | 旅游度假

电话 / Tel:0123-1234-522
邮箱 / E-mail:4542222294@qq.com
地址 / Add:山东省临沂市沂蒙国际kk棋牌

Copyright 2019 kk棋牌_首页_棋牌游戏排行榜 网站地图