溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
今天就跟大家聊聊有關Buhtrap黑客組織最新0day漏洞實例分析，可能很多人都不太了解，為了讓大家更加了解，小編給大家總結了以下內容，希望大家根據這篇文章可以有所收獲。
一直以來Buhtrap組織以其針對俄羅斯的金融機構和企業而聞名。在我們的跟蹤過程中，發現并分析了該組織的主要后門以及其他工具。
自2015年底以來，該組織變為以經濟利益位目的的網絡犯罪組織，其惡意軟件出現于東歐和中亞進行間諜活動中。
2019年6月我們第一次發現Buhtrap使用0day攻擊作。 同時我們發現Buhtrap在攻擊過程中使用了本地提權漏洞CVE-2019-1132。
在Microsoft Windows中的本地權限提升漏洞利用的是win32k.sys組件中的NULL指針取消引用產生的問題。 該漏洞發現后就已經向Microsoft安全響應中心報告，該中心及時修復了漏洞并發布了補丁。
下圖中的時間表體現了Buhtrap活動中一些最重要的發展節點。
在他們的工具在網上開源的時期，很難把該組織的活動和網絡攻擊行為聯系在一起。 然而，由于該組織在目標的轉變后發生了源代碼泄漏的問題，我們迅速高效的分析了該組織攻擊的惡意軟件，明確了該組織針對的企業和銀行目標，同時確認了該組織參與了針對政府機構的攻擊。
盡管新的工具已經添加到他們的武器庫中并且替換了舊版本，但是不同時期的Buhtrap活動中使用的策略、技術和程序并沒有發生顯著變化。 他們主要通過惡意文檔作為載體，并廣泛使用NSIS安裝程序作為droppers。 此外，他們的一些工具會使用有效的代碼簽名證書進行簽名，并利用已知的合法應用程序來作為攻擊載體。
用于傳遞攻擊載荷的文件通常為設計好的釣魚文件，以避免在受害者打開時產生懷疑。對這些釣魚文件為我們的分析提供了可靠的線索。 當Buhtrap目標為企業時，釣魚文件通常是合同或發票。 下圖是該組織在2014年攻擊行為中使用的通用發票的示例。
當該組織將目標對準銀行時，釣魚文件通常與金融系統法規或Fincert的咨詢有關，Fincert是俄羅斯政府創建的一個組織，為其金融機構提供幫助和指導。
因此，當我們第一次看到與政府行動有關的釣魚文件時，我們立即開始跟蹤這些行為。2015年12月，發現了第一批惡意樣本，它下載了一個NSIS安裝程序，該安裝程序的作用是安裝buhtrap后門，釣魚文檔如下圖：
文本中的URL很有特點， 它與烏克蘭國家移民局網站dmsu.gov.ua非常相似。 該文本以烏克蘭語要求員工提供他們的聯系信息，尤其是他們的電子郵件地址，還試圖說服他們點擊文本中的惡意鏈接。
這是我們遇到眾多惡意樣本中的第一個，這些樣本被Buhtrap組織用于攻擊政府機構。 我們認為另一個更近期的釣魚文件也是由Buhtrap組織設計的，如圖所示這個文件可以吸引與政府相關的另一類群體。
該組織在0day攻擊中使用的工具與其用于企業和金融機構的工具非常相似。 我們分析的第一批針對政府組織的惡意樣本哈希為2F2640720CCE2F83CA2F0633330F13651384DD6A。 此NSIS安裝程序下載包含Buhtrap后門的常規包，并顯示如上文提到的2015年12月的釣魚文檔。
從那以后，我們看到了針對這一政府組織群體的多次攻擊。 攻擊中經常使用漏洞來提升權限，以便安裝惡意軟件。 他們利用了舊的漏洞，如CVE-2015-2387。他們最近使用的0day也采用了相同的模式：利用漏洞以最高權限運行惡意軟件。
多年來，該組織使用了具有不同功能的軟件包裝。 最近，我們發現并詳細分析了兩個全新軟件包，因為它們與該組織典型的工具集相比發生了變化。
釣魚文檔包含一個惡意宏，啟用后會刪除NSIS安裝程序。NSIS安裝程序的任務是安裝主后門。 但是此NSIS安裝程序與此組織早期使用的版本不同， 它更簡單，僅用于設置并啟動嵌入其中的兩個惡意模塊。
第一個模塊，稱為“抓取器”，是一個獨立的密碼竊取程序。 它嘗試從郵件客戶端，瀏覽器中獲取密碼，并將它們發送到C＆C服務器。 此模塊使用標準Windows API與其C＆C服務器進行通信。
第二個模塊是我們從Buhtrap操作人員得到的：一個包含合法應用程序的NSIS安裝程序，將用來安裝Buhtrap主后門。利用的是一種免費的反病毒掃描程序AVZ。
本文檔包含一個惡意宏，啟用后會刪除NSIS安裝程序，該安裝程序的任務是準備安裝主后門。 安裝過程的一部分是設置防火墻規則以允許惡意組件與C＆C服務器通信。 接下來是NSIS安裝程序用于設置這些規則的命令示例：
```
cmd.exe /c netsh advfirewall firewall add rule name=\”Realtek HD Audio Update Utility\” dir=in action=allow program=\”<path>\RtlUpd.exe\” enable=yes profile=any
```
最終的有效載荷是與Buhtrap傳統工具完全不同的東西。 在其正文中加密了兩個有效負載。 第一個是一個非常小的shellcode下載器，而第二個是Metasploit的Meterpreter。 Meterpreter是一個反向shell，允許其操作員完全訪問被攻擊的系統。
Meterpreter反向shell實際上使用DNS隧道與其C＆C服務器進行通信。對于防御者來說，檢測DNS隧道可能很困難，因為所有惡意流量都是通過DNS協議完成的，而不是常規的TCP協議。 以下是此惡意模塊的初始通信片段。
```7812.reg0.4621.toor.win10.ipv6-microsoft[.]org7812.reg0.5173.toor.win10.ipv6-microsoft[.]org7812.reg0.5204.toor.win10.ipv6-microsoft[.]org7812.reg0.5267.toor.win10.ipv6-microsoft[.]org7812.reg0.5314.toor.win10.ipv6-microsoft[.]org7812.reg0.5361.toor.win10.ipv6-microsoft[.]org[…]```
此示例中的C＆C服務器域名模仿Microsoft。 事實上攻擊者注冊了不同的域名，其中大多數都模仿微軟域名。
雖然我們不知道為什么該組織突然轉變目標，但它是說明了網絡間諜團體與網絡犯罪之間界限日益模糊。 目前還不清楚該組織中的一個或幾個成員出于什么原因改變目標，但未來會有更多的攻擊行為出現。
###ESET檢測名稱
VBA/TrojanDropper.Agent.ABMVBA/TrojanDropper.Agent.AGKWin32/Spy.Buhtrap.WWin32/Spy.Buhtrap.AKWin32/RiskWare.Meterpreter.G
###惡意軟件樣本
Main packages SHA-1：
2F2640720CCE2F83CA2F0633330F13651384DD6A
E0F3557EA9F2BA4F7074CAA0D0CF3B187C4472FF
C17C335B7DDB5C8979444EC36AB668AE8E4E0A72Grabber SHA-1：
9c3434ebdf29e5a4762afb610ea59714d8be2392
###C&C服務器
https://hdfilm-seyret[.]com/help/index.php
https://redmond.corp-microsoft[.]com/help/index.php
dns://win10.ipv6-microsoft[.]org
https://services-glbdns2[.]com/FIGm6uJx0MhjJ2ImOVurJQTs0rRv5Ef2UGoSc
https://secure-telemetry[.]net/wp-login.php###Certificates
| Company name | Fingerprint |
|---|---|
| YUVA-TRAVEL | 5e662e84b62ca6bdf6d050a1a4f5db6b28fbb7c5 |
| SET&CO LIMITED | b25def9ac34f31b84062a8e8626b2f0ef589921f |
###MITRE ATT&CK techniques
| Tactic | ID | Name | Description |
|---|---|---|---|
| Execution | T1204 | User execution | The user must run the executable. |
| T1106 | Execution through API | Executes additional malware through CreateProcess. | |
| T1059 | Command-Line Interface | Some packages provide Meterpreter shell access. | |
| Persistence | T1053 | Scheduled Task | Some of the packages create a scheduled task to be executed periodically. |
| Defense evasion | T1116 | Code Signing | Some of the samples are signed. |
| Credential Access | T1056 | Input Capture | Backdoor contains a keylogger. |
| T1111 | Two-Factor Authentication Interception | Backdoor actively searches for a connected smart card. | |
| Collection | T1115 | Clipboard Data | Backdoor logs clipboard content. |
| Exfiltration | T1020 | Automated Exfiltration | Log files are automatically exfiltrated. |
| T1022 | Data Encrypted | Data sent to C&C is encrypted. | |
| T1041 | Exfiltration Over Command and Control Channel | Exfiltrated data is sent to a server. | |
| Command and Control | T1043 | Commonly Used Port | Communicates with a server using HTTPS. |
| T1071 | Standard Application Layer Protocol | HTTPS is used. | |
| T1094 | Custom Command and Control Protocol | Meterpreter is using DNS tunneling to communicate. | |
| T1105 | Remote File Copy | Backdoor can download and execute file from C&C server. |
看完上述內容，你們對Buhtrap黑客組織最新0day漏洞實例分析有進一步的了解嗎？如果還想了解更多知識或者相關內容，請關注億速云行業資訊頻道，感謝大家的支持。
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
