黑客开始使用双 DLL 侧载来逃避检测

admin 2023年5月5日08:33:21评论100 views字数 1517阅读5分3秒阅读模式

黑客开始使用双 DLL 侧载来逃避检测

一个名为“Dragon Breath”、“Golden Eye Dog”或“APT-Q-27”的 APT 黑客组织正在展示一种新趋势,即使用经典 DLL 旁加载技术的多种复杂变体来逃避检测。

这些攻击变体从一个初始向量开始,该向量利用一个干净的应用程序,最常见的是 Telegram,它侧载第二阶段的有效负载,有时也是干净的,这反过来又侧载恶意软件加载程序 DLL。

受害者的诱饵是木马化的 Telegram、LetsVPN 或适用于 Android、iOS 或 Windows 的 WhatsApp 应用程序,这些应用程序据称已针对中国人进行了本地化。被木马化的应用程序被认为是使用 BlackSEO 或恶意广告进行推广的。

据 跟踪威胁行为者近期攻击的Sophos 分析师 称,该活动的目标范围集中在中国、日本、中国台湾、新加坡、香港和菲律宾的讲中文的 Windows 用户。

黑客开始使用双 DLL 侧载来逃避检测

双 DLL 侧载

DLL sideloading 是一种自 2010 年以来被攻击者利用的技术,利用 Windows 加载应用程序所需的 DLL(动态链接库)文件的不安全方式。

攻击者在应用程序的目录中放置一个与所需的合法 DLL 同名的恶意 DLL。当用户启动可执行文件时,Windows 会优先考虑本地恶意 DLL,而不是系统文件夹中的恶意 DLL。

攻击者的 DLL 包含在此阶段加载的恶意代码,通过利用加载它的受信任、签名的应用程序为攻击者提供特权或在主机上运行命令。

在此活动中,受害者执行上述应用程序的安装程序,该程序会在系统上放置组件并创建桌面快捷方式和系统启动条目。

如果受害者尝试启动新创建的桌面快捷方式,这是预期的第一步,而不是启动应用程序,则会在系统上执行以下命令。

黑客开始使用双 DLL 侧载来逃避检测

该命令运行重命名版本的“regsvr32.exe”(“appR.exe”)以执行重命名版本的“scrobj.dll”(“appR.dll”)并提供 DAT 文件(“appR.dat”)作为输入它。DAT 包含由脚本执行引擎库(“appR.dll”)执行的 JavaScript 代码。

JavaScript 代码在前台启动 Telegram 应用程序用户界面,同时在后台安装各种侧载组件。

接下来,安装程序使用干净的依赖项('libexpat.dll')加载第二阶段的应用程序,以加载第二个干净的应用程序作为中间攻击阶段。

在攻击的一种变体中,干净的应用程序“XLGame.exe”被重命名为“Application.exe”,第二阶段加载器也是一个干净的可执行文件,由北京百度网通科技有限公司签名。

黑客开始使用双 DLL 侧载来逃避检测

在另一个变体中,第二阶段的干净加载程序是“KingdomTwoCrowns.exe”,它没有经过数字签名,Sophos 无法确定它除了混淆执行链之外还有什么优势。

在攻击的第三种变体中,第二阶段加载程序是干净的可执行文件“d3dim9.exe”,由惠普公司进行数字签名。

黑客开始使用双 DLL 侧载来逃避检测

这种“双 DLL 侧载”技术实现了规避、混淆和持久化,使防御者更难适应特定的攻击模式并有效地屏蔽他们的网络。

最终有效载荷

在所有观察到的攻击变体中,最终的有效负载 DLL 从 txt 文件('templateX.txt')中解密并在系统上执行。

这个 payload 是一个支持多种命令的后门,例如系统重启、注册表项修改、获取文件、窃取剪贴板内容、在隐藏的 CMD 窗口上执行命令等等。

该后门还针对 MetaMask 加密货币钱包 Chrome 扩展程序,旨在窃取受害者的数字资产。

总之,DLL 侧载仍然是黑客的一种有效攻击方法,也是微软和开发人员十多年来未能解决的一种方法。

在最新的 APT-Q-27 攻击中,分析师观察到难以跟踪的 DLL 侧载变体;因此,他们实现了更隐蔽的感染链。

原文始发于微信公众号(网络研究院):黑客开始使用双 DLL 侧载来逃避检测

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年5月5日08:33:21
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   黑客开始使用双 DLL 侧载来逃避检测https://cn-sec.com/archives/1707220.html

发表评论

匿名网友 填写信息