如前所述，為了保證攻擊者的攻擊持續(xù)處于活動狀態(tài)，我們虛構了對攻擊者來說非常感興趣的目標：一位處理安全問題的政府智庫人員。

創(chuàng)建欺騙網絡

• 首先，創(chuàng)建SMB共享，映射到目標電腦并顯示網絡備份；

• 其次，把一個運行云端服務的RDP憑據存放于電腦中，同時在遠程云端系統(tǒng)中部署欺騙數據，形成蜜罐系統(tǒng)，同時造成正常服務的假象。

蜜罐文件系統(tǒng)

用 RDP憑據引向蜜罐系統(tǒng)

（1） 當一個 PowerPoint PPS文件被打開之后，釋放有效攻擊載荷。即CVE-2014-4114漏洞利用代碼（曾用作SandWorm沙蟲攻擊）。

釋放的Driver.inf 文件內容

（2）  主機被以下可執(zhí)行文件感染：

         • sysvolinfo.exe   – 執(zhí)行編譯腳本.

        • PowerShell 以 HTTPS Meterpreter方式執(zhí)行攻擊腳本 ,同時保持與C2控制服務器連接，發(fā)起以下網絡請求：

（3）  目標電腦上的文件被攻擊者以加密通道方式上傳至遠程控制服務器，由于Meterpreter的“sstagerverifysslcert”功能 開啟，所以我們沒有檢測到相應的SSL通道；

（4） 攻擊者釋放第二階段惡意軟件7zip.exe，利用此程序掃描硬盤并連接遠程IP地址  212.83.191.156。

（5）7zip.exe復制自身在C:\Windows\SysWOW64\目錄下生成netvmon.exe文件，并添加進程序自啟動路徑，實現長期控制目的。

（6）在最初感染的前三天，攻擊者開始對SMB共享文件夾發(fā)起訪問；

（7）惡意軟件開始訪問映射共享，并掃描所有固定磁盤驅動器上的文件；

（8）在MazeRunner 系統(tǒng)的第一個警報產生之后，由于誘餌系統(tǒng)的IP地址被內置在RDP憑據文件里，所以，我們看到了攻擊者試圖利用RDP憑據連接誘餌系統(tǒng)的數據。警報提示攻擊發(fā)起于

IP 212.129.7.146，整個攻擊持續(xù)了12分鐘；

（9）從我們收到Mazerunner的警報綜合受害主機內的RDP連接文件表明，攻擊者登錄失敗了幾次，但讓我們感興趣的是，攻擊者并沒有使用系統(tǒng)密碼獲取工具Mimikatz。

（10）我們相信以上兩起攻擊連接發(fā)起于同一個攻擊源，因為：

           • 攻擊者用來連接我們蜜罐系統(tǒng)的兩個IP地址都屬于rev.poneytelecom.euf 域名；

          •  內部警報表明，兩起攻擊連接事件發(fā)生在同一天。

攻擊發(fā)起的網絡規(guī)劃圖

 我們通過另一個合作伙伴，成功地接手并控制了攻擊者的一個C&C服務器，服務器中包含了大量文件：

•  種類多樣的PPS文件–用作釣魚攻擊的惡意文件
•  大量的惡意代碼包

而且這些釣魚文件內容都與中國主題或色情性質相關，以下是一些樣本文件：

在C&C服務器中，我們還提取到了PPS文件的修改日期，這些日期從2015年12月持續(xù)到2016年1月。從日期上可以清晰看出攻擊者準備和實施攻擊的時間線。

最新評論