【木马分析】供应链幽灵再现:CCleaner软件攻击分析报告

阅读量135509

|

发布时间 : 2017-09-19 18:42:18

http://p5.qhimg.com/t01180c97a5478a21c7.png

概述

近日,360安全中心检测到流行系统优化软件CCleaner官方Piriform公司发布的正规安装包被植入恶意代码,该攻击使用了和前段时间xshell后门类似的供应链攻击手法,这是今年第二起大规模的供应链攻击事件,该软件在全球有超过1亿用户使用, 360核心安全事业部分析团队检测到该攻击后已第一时间推送查杀,并分析捕获的攻击样本。


攻击时间轴

2017年8月2日,CCleaner被攻击,官方编译的主程序文件被植入恶意代码。

2017年8月3日,CCleaner官方Piriform给被感染软件打包签名开始对外发布。

2017年9月12日,Piriform 官方发布新版软件CCleaner version 5.34去除被污染文件。

2017年9月14日,第三方注册恶意代码中预设的云控域名,阻止攻击。

2017年9月18日,Piriform 官方发布安全公告,公告称旗下的CCleaner version 5.33.6162和CCleaner Cloud version 1.07.3191版本软件被篡改并植入了恶意代码。

 https://p1.ssl.qhimg.com/t01f3224ee18d63cbee.png

攻击样本分析

此次攻击主要分为代码加载信息收集云控攻击三个阶段,下面我们摘取5.33.6162版本的CCleaner感染文件进行技术分析。

 http://p9.qhimg.com/t01235113f5f25c30e4.png

代码加载阶段

1.程序在进入Main函数前会提前进入sub_40102C执行其中恶意代码。

 http://p2.qhimg.com/t013349708ba840a9cb.png

2.通过对存在放在0x0082E0A8偏移处的shellcode进行解密。

 http://p3.qhimg.com/t01d397441dacaa6f69.png

ShellCode

 http://p9.qhimg.com/t0141ab0ee25809fc42.png

shellcode解密代码

3.解密后,获取到一个被抹去DOS头的DLL(动态库文件)

 http://p2.qhimg.com/t01495d683f163b6a26.png

信息收集阶段

调用解密后的DLL模块,恶意代码将创建一个独立线程。

 http://p0.qhimg.com/t011031ab3fc7bec019.png

线程的主要行为:

1.收集本地信息,并对收集到的信息进行加密

 http://p7.qhimg.com/t01a8278996c059e519.png

2.获取CC地址 216[.]126[.]225[.]148

http://p5.qhimg.com/t01cbfcf3f88db0c03c.png

3.将加密信息发送到CC地址,通信上采用HTTPS POST和伪造host为speccy[.]piriform[.]com的方式进行传输。

 http://p6.qhimg.com/t01b3ff6a72e680ad9a.png

http://p2.qhimg.com/t014b4c40de7772c405.png

伪造host

云控攻击阶段

接下来恶意代码会接受运行216[.]126[.]225[.]148(目前已失效)下发的任意payload,为了保持长期的控制,恶意代码还使用了DGA(domain name generator)的方式躲避追踪,通过下列算法每个月生成一个云控域名方便远程控制

http://p0.qhimg.com/t0185b246600d553822.png

DGA域名列表

http://p1.qhimg.com/t01cd8c7dd02c8c28a1.png

总结

通过技术分析,我们发现这次的攻击是一整套不亚于xshellghost供应链攻击木马,这是今年公开的第二起黑客入侵供应链软件商后进行的有组织有预谋的大规模定向攻击,我们仍将会持续关注此次攻击的进一步发展,建议广大用户使用360安全卫士查杀此次被出现的供应链软件木马和防御可能的供应链软件攻击。

本文由360安全卫士原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/86882

安全客 - 有思想的安全新媒体

分享到:微信
+10赞
收藏
360安全卫士
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66