黑产团伙金指狗技术升级，使用Nday漏洞发动组合拳攻击

概述

近日，奇安信病毒响应中心在日常黑产挖掘过程中发现之前披露过的金指狗木马架构又转入活跃状态，更新了漏洞组件，在执行链中首次出现了该团伙使用的新型Loader程序，该架构主要出现在全球华语地区。

新版本的木马架构依旧延续了良好的免杀效果，使用Total VideoPlayer栈溢出漏洞执行后续shellcode，抛弃以往使用的Photodex ProShow Producer软件栈溢出漏洞，从被修改过的带有数字签名的文件中解密数据，经过几轮内存加载后最终运行大灰狼远控，远程控制受害者电脑。

由于本次使用的栈溢出漏洞并未被厂商纳入监测范围，故奇安信病毒响应中心判断危害较大，为防止威胁进一步扩散，奇安信病毒响应中心负责任地对该木马架构进行披露和分析。

样本分析

执行流程如下   

样本信息如下：

VT查杀效果如下，从上传到现在已经过去了一个多月，但VT上只有三家报毒。

诱饵文件如下：

压缩包内容如下：

解压后显示如下,其余文件被隐藏：

各组件功能如下

月会员充值亏损报表.com实际上为带有漏洞的Total Video Player主程序

攻击者将其改名为com后缀的目的是为了掩盖播放器的图标，在exploitDB上可以看到该软件存在多个漏洞，本次活动所使用的为Settings.ini配置文件导致栈溢出

Settings.ini文件内容如下

在主程序执行过程中会读取Settings.ini 中[AssociateType]的值用于让加载play back模块使执行流到达漏洞所在位置

漏洞出现在主程序初始化界面的过程中

会读取Settings.ini文件中的[Support Groups]的值，作为参数传入402D80中

调用不安全的函数sprintf将[Support Groups]的值写入栈，而且并没有对V3 的值进行有效的验证从而导致了当V3等于-1时执行delete函数时触发异常导致shellcode执行，非常经典的栈溢出漏洞。

覆盖的SEH如下

会跳转到hskin.dll模块中，pop两次后执行后续的shellcode

动态获取API后，读取同目录下的X文件并执行第二阶段shellcode

接着读取同目录下的经过修改并带有数字签名的A文件，经过简单的异或操作揭秘出一个PE文件

我们将其命名为gifaLoader，读取同目录下的gifa文件并解密

之后进行进程替换，替换后的PE如下

为该组织常用的CopyLoader，第一次执行时将相关组件复制到

C:UsersPublickeleba或者

C:UsersPublicDownloads目录下。

弹出诱饵文件

当以C:UsersPublickeleba下的svchost.exe启动时会进入反射式DLL注入流程，内存加在另一个PE

PE信息如下:

样本为经过修改的大灰狼远控，运行时会还会将cmd.exe重命名为QQgame.exe移动到C:UsersPublickeleba目录下并启动，进行伪装，之后创建线程在线程中启动远控模块

C2：202.61.84.30:8880

关联分析

通过关联，我们找到了该金指狗投放的其余样本

均使用了老的漏洞组件即利用Photodex ProShow Producer的栈溢出漏洞

其中名为Dsp的压缩包还包含了一层DLL-SideLoading执行链，增加了网络验证流程。

白签名的暴风影音5播放器加载StormPlayer.dll

会读取并解密同目录下的RW.txt文件

解密逻辑与样本分析部分的解密逻辑对比

解密的PE如下：

检测与C2的连通性之后拼接URL

URL如下：

www.xssmsyk.com:99/XiaoMaYZ/getinfo.asp?name=12704408365DSP&password=12704408365DSP

判断返回的数据是否包含“12704408365DSP”字符串

如果包含则调用ShellExecuteA执行Lnk文件

Lnk文件指向

SXProShowProducerCodeAlert.exe，该文件是带有漏洞的Photodex ProShowProducer软件，之后进入漏洞利用流程与上述类似

C2：

118.107.43.58:1527

106.54.88.79:1527

归属分析

本次活动漏洞利用第二阶段shellcode与上半年活动的对比

经过修改带有数字签名的文件A对比

CopyLoader对比

故我们将本次活动与金指狗团伙关联在一起，除此之外我们还发现执行链中没有持久化的行为，只是在下载目录下释放Lnk文件，这可能意味着该团伙并没有掌握过启动的方法， 

在压缩包中还发现了名为Z和gifz的文件，经过手动解密gifz后发现是将CopyLoader的变种，取消了复制的功能，以上两个文件并不会被调用，可能是攻击者进行测试的文件打包时忘了删除

总结

今年以来随着金眼狗、金指狗等高级黑产团伙的活跃，将黑产对抗提高到一个新高度，从攻防角度来讲，我们认为，这种现象的出现与流行，就要求国内安全厂商必须不断提升自身产品水平。与此同时，奇安信病毒响应中心提醒用户，疫情在家远程办公，不要点击来源不明的邮件和可执行文件，同时提高个人的安全意识，从而可以防止用户隐私信息被盗取的风险，奇安信病毒响应中心会持续对国内黑产进行挖掘和跟踪。

同时基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC等，都已经支持对该家族的精确检测。

IOC

文件Hash：

cde0a6831c6e4908acbcc84bc481a6e6

1afec41adcb1baaea66431748c0c1f5d

55d5b22553748c3cbe7eaeccb6a06308

ed557845b1f1df8508f5f7c124e61f4c

c66c5ee7edb694ad5b9775f0a7047656

b2d875e1d4a1372ee375fbd9a31503e7

8c665c98e8ed185f9877faaaeaab6f7c

C2：

118.107.43.58:1527

106.54.88.79:1527

202.61.84.30:8880

www.xssmsyk.com

原文来源：奇安信威胁情报中心

本文始发于微信公众号（网络安全应急技术国家工程实验室）：黑产团伙金指狗技术升级，使用Nday漏洞发动组合拳攻击