AI智能體專區(qū)
立即體驗(yàn)恒腦安全智能體 
立即解鎖AI安服數(shù)字員工 
行業(yè)解決方案
技術(shù)解決方案
利用網(wǎng)絡(luò)空間探測引擎跟蹤Lazarus組織的活動痕跡
摘要
Lazarus是來自朝鮮的APT組織，該組織通常使用魚叉式釣魚郵件作為樣本投遞手段，主要以韓國和美國為攻擊目標(biāo)，其攻擊活動還涉及金融和數(shù)字貨幣等領(lǐng)域。本次分析結(jié)合了網(wǎng)絡(luò)空間測繪探測技術(shù)跟蹤到該組織相關(guān)Rat程序的網(wǎng)絡(luò)基礎(chǔ)設(shè)施活動痕跡。
?
背景
本次獲取到的三個Lazarus組織樣本公開時間在2019年6月左右，被ExeStealth V2殼加密。三份樣本的架構(gòu)和硬編碼C2完全一致。樣本主體是Lazarus組織使用的Rat程序，屬于APT攻擊感染鏈的末端。Rat中的C2通信指令非常基礎(chǔ)，可通過不同的組合構(gòu)造出高級指令，功能至少包括文件上傳、路徑遍歷、文件下載和遠(yuǎn)程執(zhí)行等。
?
樣本分析
偽裝信息
樣本利用偽造的資源信息，偽裝成“Adobe Reader”的可執(zhí)行程序：
殼信息
樣本使用ExeStealth V2殼：
使用SEH進(jìn)行反調(diào)試：
字符串加密
樣本使用了多種字符串加密手段，其中最主要的解密方法是部分字符位移，函數(shù)和部分字符串使用的解密秘鑰不同，但整體架構(gòu)一致，下面給出解密腳本：
從樣本中共解密出101個函數(shù)和一些特征字符串信息，解碼后的樣本主要編程環(huán)境為朝鮮語（ko-KR），通信使用的User-Agent為“User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) Chrome/28.0.1500.95 Safari/537.36”。
偽裝的服務(wù)端信息：
以表單方式上傳：
提交數(shù)據(jù)的POST路徑：
虛假證書
樣本利用以下網(wǎng)站域名制作的虛假證書進(jìn)行通信：
內(nèi)置腳本
樣本中硬編碼的腳本如下：
C2指令
共分析出28個C2功能，C2指令流程圖如下：
C2指令中包含非常多的基礎(chǔ)功能，包括文件獲取、磁盤遍歷、寫文件、重啟刪除、進(jìn)程創(chuàng)建、CMD命令執(zhí)行等，通過組合方式構(gòu)造成高級指令執(zhí)行。
?
與友商分析的其他樣本在指令區(qū)間有稍有不同，大于0x12348C或小于0x123459都無效，0x12347A為操作成功指令碼、0x12345C為操作失敗指令碼。
?
內(nèi)置IP
樣本內(nèi)置的兩個IP地址分別為218.103.37.229和23.115.75.188。
?
活動跟蹤
2019年9月美國宣布加強(qiáng)對朝鮮的制裁，本次分析的Lazarus樣本活躍時期初步推測在該輪制裁之前。通過網(wǎng)絡(luò)空間測繪探測技術(shù)，我們了解到IP：23.115.75.188在2019年6月1日開放過443端口：
另一基礎(chǔ)設(shè)施IP：218.103.37.229在2019年8月28日開放過FTP端口：
網(wǎng)絡(luò)空間測繪得到的線索與我們從樣本中獲知的信息相對應(yīng)，從另一維度向我們描述Lazarus組織的網(wǎng)絡(luò)活動痕跡。
?
參考鏈接
https://www.secpulse.com/archives/99324.html
https://www.freebuf.com/articles/network/164511.html
https://www.freebuf.com/sectool/154259.html
?
IOC
