1er avril Lei Feng net de la micro-étape en ligne a appris que les pirates étrangers « éléphant blanc » après une période de repos de temps, au début de Mars de cette année, crise nationale.
À la fin de Décembre 2017, après la firme de sécurité étrangère exposition Trend Micro de leurs attaques, le groupe désactiver rapidement tous les noms de domaine, IP et d'autres infrastructures, pour entrer dans la « période de repos ». Cependant, à la mi-Mars à début Mars de cette année, un gang « éléphant blanc » à nouveau lancé divers aspects de la cyber-attaques contre notre pays, les documents d'appât sont utilisés au cours d'un sujet de nouvelles en particulier, impliquant militaire, sociale, juridique et ainsi de suite.
Cette fois-ci, Baixiang Li documents appât, implantés par des vulnérabilités Office au cheval de Troie de porte dérobée hôte affecté lié à l'utilisation antérieure de la structure des gangs de Troie et la fonction fondamentalement la même, un contrôle total sur l'hôte victime contrôle à distance selon les instructions envoyées par le serveur. Les attaques par courrier électronique phishing lancées par le Département de l'unité ou un individu, et les attaques se sont poursuivies.
Selon les échantillons de capture de documents en ligne micro-étape a montré que le « éléphant blanc » plus appât utilisé par le document sont stockés sur des bandes fprii.net, ifenngnews.com et chinapolicyanalysis.org tels que l'enregistrement des sites de faux documents concernant « la dernière 2018 les troupes de politique salariale d'ajustement « (6 aspect Mars), » Ministère des Affaires civiles a annoncé un certain nombre d'organisation sociale illégale « (généré 14 Mars), » République de Chine loi sur la surveillance populaire (projet) « (15 génération Mars), et défense Institut de recherche du Japon a publié l'édition 2018 du « rapport sur la stratégie de sécurité de la Chine » (aspect 13 Mars) et d'autres sujets d'actualité pour une période donnée, avec une forte confusion et ciblée.
Lei Feng réseau appris ces appâts documents utilisent la plus récente vulnérabilité Microsoft Office CVE-2017-8570, l'utilisateur n'installe pas rapidement le patch dès que vous ouvrez un document déclenchera un code malveillant et est implanté backdoors.
Analyse d'échantillon
Ce qui suit est un problème en ligne micro-étape d'analyse de l'échantillon:
Notre échantillon appelé « Chinas_Arctic_Dream.doc » Le (21f5514d6256a20dcf9af315ee742d6d2a5b07009b200b447c45b2e8f057361d) comme un exemple des chevaux de Troie impliqués dans l'attaque sont analysées comme suit:
1. Procédé d'échantillon Résumé
Et l'échantillon en Décembre 2017 différence capturée est que l'échantillon est plus concis que le processus de déchiffrement plus tôt exemple, le déchiffrement exécuter Troie de porte dérobée est pas en mémoire, mais exécuté directement après l'atterrissage. processus de comparaison figure est la suivante:
Décembre 2017 échantillon
Mars 2018 échantillons
Micro résultat de détection de bac à sable Buyun
2. Analyse Droper (qrat.exe)
a. document Word après avoir été ouvert, sera publié par le déclenchement de la vulnérabilité et exécuter qrat.exe, des échantillons C # développement, afin d'éviter toute confusion et de faire l'analyse.
b. Cet échantillon Droper et capturé échantillon « éléphant blanc » classique fonctionnellement similaire, rootkits est principalement installé. Après que l'échantillon a publié Microsoft.Win32.TaskScheduler.dll et traversera les ressources microsoft_network.exe. Les deux fichiers sont stockés dans le qrat.exe des ressources dans la section des ressources contient deux en-tête de fichier PE est le début de la porte dérobée MZ, tandis que le second est d'ajouter une tâche planifiée tête MZ de dll. Vous pouvez voir les caractéristiques des fichiers évidentes PE PE grâce à l'outil.
Afin de vérifier la conjecture, peuvent être extraites et isolées par des outils de PE et éditeur hexadécimal pour cette ressource ont ensuite été obtenir les fichiers microsoft_network.exe de porte arrière et d'une bibliothèque de liens dynamiques Microsoft.Win32.TaskScheduler.dll.
c. libérer la porte arrière sur le chemin% APPDATA% \ Microsoft Network de l'microsoft_network \ répertoire 1.0.0.0, start-up et vous inscrire en appelant Microsoft.Win32.TaskScheduler.dll Ajouter une tâche, effectuée une fois toutes les 5 minutes programmé.
qrat.exe compilation pour 2 Février, 2018
3. Analyse de la porte arrière (de microsoft_network.exe)
a. échantillons d'une vue de la compilation est le 23 Janvier 2018, écrit en C # en utilisant le même, faire la même confusion, enlever la confusion trouve la télécommande échantillons de Troie. Les chevaux de Troie usages du compilateur open source de contrôle à distance XRAT, utilise la bande « éléphant blanc ». Les chevaux de Troie peuvent fonctionner dans l'échantillon par rapport à Décembre de l'année dernière, et il n'y a pas de changement fonctionnel, mais les options du fichier de configuration sont le chiffrement AES et un codé en base64. Comme indiqué ci-dessous:
Quels sont les chevaux de Troie numéro de version interne 2.0.0.0 RELEASE3, en ligne nom de domaine tautiaos.com (actuel 43.249.37.199 analytique, a été incapable de se connecter), en ligne numéro de port 23558, le mot de passe de connexion g00gle@209.58.185.36, mutex est eohSEArfS1nJ0SBOsCLroQlBlnYZnEjM, configuration information clé de déchiffrement est Kkbnev10lq5zOdKl51Aq. Par rapport aux échantillons précédents capturés les informations de configuration pour l'échantillon ont été effectuées modifié, mais toujours utiliser le numéro de port 23588.
B. Après l'obtention d'un échantillon exécuter les informations du système d'exploitation de base, l'accès à l'emplacement de la victime par « freegeoip.net », puis créer un mutex et ainsi de suite. les fonctions de base de contrôle à distance comprennent:
a) les fonctions de base: Shell à distance, la gestion des processus, la gestion de l'écran, les opérations de fichiers, l'accès à l'information hôte, voir l'entrée de démarrage, l'arrêt à distance, redémarrage et ainsi de suite;
b) tuer confrontation douce, la détection de pare-feu;
c) mise à jour automatique, injection dll;
d) acquérir des informations sur d'autres dispositifs dans le même domaine.
Analyse de corrélation
ifenngnews.com, chinapolicyanalysis.org association des noms de domaine malveillants impliqués dans la découverte, en plus de datapeople-cn.com, sinamilnews.com, ustc-cn.org et beaucoup d'autres que nous avions déjà maîtrisé les actifs de gangs, nous avons également constaté, y compris wipikedia xyz, armynews.today et d'autres noms de domaine suspect au 19 Janvier, 2018 date d'enregistrement, jugé à partir d'un bureau d'enregistrement de domaine, informations sur le serveur, et que ce nom de domaine est encore un gang « éléphant blanc » de tous, comme indiqué ci-dessous:
De plus, il y a l'intelligence, un gang « éléphant blanc » a attaqué l'utilisation principale du phishing e-mail pour diffuser lien malveillant télécharger le document à des unités spécifiques et aux particuliers, en date du 21 Mars 2018, la majorité des liens malveillants peuvent toujours accéder au téléchargement (par exemple hxxp: //fpriinet/The_Four_Traps_for_China.doc), prouvent que les attaques se poursuivent. Lei Feng réseau a appris que les utilisateurs peuvent télécharger ou visualiser l'écran dans votre journal, que les gangs récentes préoccupations des unités liées.
