FIN7组织的 JSSLOADER工具分析

简介

关键词：FIN7，Carbanak Group，JSSLOADER

投递阶段分析

图1：典型的网络钓鱼活动

图2：私有Sharepoint目录

图3：Sherpa Natural Health在社交媒体上的信息

WSF & VBS脚本分析

图4:下载并执行第二个VBScript

图5：JSSLoader的URL

JSSLOADER木马分析

• 简单的反调试

• 信息窃取

• 持久化技术

• 远程命令执行

最新样本2020年12月14日

Hash: db1d98e9cca11beea4cfd1bfbe097dffd9fc4cc8b1b02e781863658d8c6f16c7

唯一标识

• 通过“SELECT SerialNumber FROM Win32_BIOS”命令，获取主板BIOS序列号

• 域名

• 计算机名

图6：由JSSLoader生成的唯一ID

反调试

简单的反调试使用定时检查- TickCount。

图7：TickCount

窃取

• 主机名

• 域名

• 用户名

• 运行过程

• 系统信息（补丁）

• 桌面文件

• 广告信息

• 逻辑驱动器

• 网络信息

图8：第一阶段窃取的信息

持久性

图9：通过IShell链接的快捷方式

远程命令执行

图10：Web客户端通信协议

图11：从C2域接收的命令字符串

• Cmd_FORM - 弹出一个非恶意的表单。

• Cmd_JS/Cmd_VBS - 将命令写入到%userprofile%contacts 的随机命名文件中，使用cscript.exe执行。

• Cmd_EXE - 将可执行文件写入％userprofile％ contacts <random_name>并执行。

• Cmd_UPDATE -自动更新功能-将新版本写入%userprofile%contacts ，删除当前的JSSLoader，执行新版本，并终止旧版本。

• Cmd_uninstall - 通过删除JSSLoader、删除持久化和终止进程，从受感染的机器上卸载木马。

• Cmd_RAT - 将内容块写入％userprofile％ contacts <random_name>，并执行使用此文件的PowerShell命令。下一节将对此进行描述。

• Cmd_PWS - 在内存中执行PowerShell命令。

• Cmd_RunDll - 将DLL写入到%userprofile%contacts ，并使用rundll32.exe执行。

• Cmd_Info - 从受害者机器中窃取信息(参见上面的窃取部分)。

下一阶段- DiceLoader & Cobalt Beacon

图12：“CMD_RAT”

图13：预先构建的PowerShell命令

图14：DiceLoader / Takeout

结论

附录：JSSLOADER的演变

创建日期：2019年10月10日：148d74e453e49bc21169b7cca683e5764d0f02941b705aaa147977ffd1501376

C2 - hxxps://dempoloka.com/gate.php

• 它通过com IShellLink在指向可执行文件的启动目录中创建一个快捷方式。

• 然后窃取信息：

图15：早期版本的JSSLoader

• 被窃取的信息以base64编码的方式发送。编码后的文本没有任何特殊格式，使用“=====”作为信息类型之间的分隔符。

• 使用以下POST请求发送信息：<C2> /？bot_id = <bot_id>，其中<bot_id>是由<domain_name> <computer_name> <serial_number>生成的唯一标识符。

• 下一阶段的远程执行命令可以是以下命令之一：TASK_FORM，TASK_JS，TASK_EXE，TASK_UPDATE或TASK_UNINST。

图16：下一阶段远程执行命令

创建日期：2019年12月23日：c1e7d6ec47169ffb1118c4be5ecb492cd1ea34f3f3dd124500d337af3e980436

C2 - hxxps://huskerblackshirts.com/gate.php

• 使用定时检查的方式反调试。

• 窃取的信息类型与旧版本相同。

• 远控指令保持不变。

创建日期：2020年4月13日：d2b080b9af5d39d72af149afb065e769b1da8005edfe84237942a1b99f4fa36c

C2 - hxxps://petshopbook.com

• 窃取的信息改用JSON格式存储。

图17：窃取的信息改用JSON格式存储

• 它添加了两个远程执行命令-TASK_RAT和TASK_PWS。

图18：TASK_RAT和TASK_PWS

TASK_RAT - 后来称为Cmd_RAT，在“下一阶段”部分中进行了说明。

TASK_PWS - 在内存中执行PowerShell命令。

图19：执行PWS

创建日期：2020年7月15日：a0c5b1fdcb95037e57dd502d848aa3137882d7af6fbf301262e8cd35db7f58b7

C2 - hxxps://culturehiphopcafe.com

• 它将远程命令执行功能的名称和枚举从TASK前缀更改为CMD。

图20：对CMD前缀的更改

创建日期：2020年10月7日：15f15b643eafcc50777bed33eda25158c7f58f4dbaaaa511072ef913a302a8da

C2 - hxxps://bungalowphotographyblog.com

• 它添加了一个远程执行命令-Cmd_VBS。

图21：远程执行命令Cmd_VBS

Cmd_VBS - 攻击者通过添加VBScript标志区分不同语言的命令，从而支持VBscript脚本的执行。

图22：指示命令是否为VBScript的标志

创建日期：2020年12月1日：969cfeddc1c90d36478f636ee31326e8f381518e725f88662cc28da439038001

C2 - hxxps://theelitevailcollection.com

• 添加了远程执行命令-Cmd_RunDll

图23：添加Cmd_RunDLL

Cmd_RunDll - 传递的命令分为两部分，第一部分保存DLL，第二部分保存选项。这些选项包括DLL名称和要调用的导出函数。该信息由“空格”定界符分隔。

图24：Cmd_RunDLL函数的解析

创建日期：2020-12-08：daba93cf353585a67ed893625755077a2d351ba46ec5ea86b5bd0b45b84bc7c5

C2 - hxxps://theelitevailcollection.com

• 此版本添加了远程执行命令 - Cmd_Info，用来窃取受害者的信息。

图25：添加Cmd_Info

IOCS

WSF & VBS 

49895428f1a30131308022dd3aa56eab6a1aa49b08a978ebc1520e289d3d6744 2180d0f46ec6f843fa8b1984acfd251371be7d4228d208eb22bc4a87e9b7c59f 6f9a4e87db50896fb4f54ea3e85f015bac383faf0e3db0f5b20c462f322e946a e6d239a37a39b8051e40949fa4647efa6dd990a3afe27e381f1e1eea17d6b17b 55e29ad1d04af6fd59592825681438f2ba262751de14d64d9cf41c89d8ad6294 6a75254b45320109090fd775dcb78ec4e3dbcf325c3916253b5d6e105b92be66 8279ce0eb52a9f5b5ab02322d1bb7cc9cb5b242b7359c3d4d754687069fcb7b8

JSSLoader 

daba93cf353585a67ed893625755077a2d351ba46ec5ea86b5bd0b45b84bc7c5 2373a6a7223154a2e4e3e84e4bdda0d5a9bc22580caf4f418dae5637efec65e5 1f2ab2226f13be64feeece1884eaa46e46c097bb79b703f7d622d8ff1a91b938 969cfeddc1c90d36478f636ee31326e8f381518e725f88662cc28da439038001 2df508247a4e739b086c9de47d91a26ea7aee4d5cf9bc5cc70b5ad2dc7f102c6 33b3a1da684efc2891668eecf883ba7b9768a117956786e4356a27d1dffe0560 793aa21ed7432ef2b0eda8d80036361878f728dbc4081d72f80fa3694702a4d8 15f15b643eafcc50777bed33eda25158c7f58f4dbaaaa511072ef913a302a8da a0c5b1fdcb95037e57dd502d848aa3137882d7af6fbf301262e8cd35db7f58b7 2e3bc3b059733b4db846d3227abbfa6a7914b551f0175d6f77e22d08b57d49e3 967882624ba26c4fcd6806791aa4994b5bf64ca4b1e66dd8d24f1fa54b3a43f0 98fe1d06e4c67a5a5666dd01d11e7342afc6f1c7b007c2ddbfc13779bcc51317 16f9674ea7c40a0e474966f59c413518509e295608c7ecc37c6096b034b88918 d2b080b9af5d39d72af149afb065e769b1da8005edfe84237942a1b99f4fa36c 148d74e453e49bc21169b7cca683e5764d0f02941b705aaa147977ffd1501376 c1e7d6ec47169ffb1118c4be5ecb492cd1ea34f3f3dd124500d337af3e980436 c328f48c5f4a2c2441bcd0b0c0551547ca254f7ebbb46d30d357e962d8330063 a062a71a6268af048e474c80133f84494d06a34573c491725599fe62b25be044 db1d98e9cca11beea4cfd1bfbe097dffd9fc4cc8b1b02e781863658d8c6f16c7 

DiceLoader PowerShell

c2e6f2496ab549c258a1d004fb0c5548413c81f5a556611c369d93a75e3835be 263b665a2cf660dc6b9f641e0ed5bf28023b81b6d1b48fc849aae57b02528e7e 3d7199f569a31d3826afd04a2f7d4dd2f692c9731fdf8cdfc8c7e03626bffdaf

C2

hxxps://dempoloka.com hxxps://monusorge.com hxxps://medinamarina.com hxxps://theelitevailcollection.com hxxps://skedoilltd.com hxxps://mekanuum.com hxxps://culturehiphopcafe.com hxxps://alexisdanger.com hxxps://spacemetic.com hxxps://attractivology.com hxxps://petshopbook.com hxxps://freshenvironmentaldesigns.com hxxps://huskerblackshirts.com hxxps://bungalowphotographyblog.com

本文为CNTIC编译，不代表本公众号观点，转载请保留出处与链接。

联系信息进入公众号后点击“论坛信息”可见。

本文始发于微信公众号（国家网络威胁情报共享开放平台）：FIN7组织的 JSSLOADER工具分析