FOFA资产拓线实战系列：响尾蛇APT组织

本篇文章通过分析已公开的5条IOC来对响尾蛇APT组织进行资产拓线，形成该组织的FOFA规则，并最终共获得193条拓线结果。

同时我们借助了奇安信威胁情报平台、微步在线和VirusTotal三款行业领先的工具进行了交叉验证。在验证过程中，我们发现这三个平台对于响尾蛇APT组织的覆盖存在一定的差异。具体来说，奇安信的覆盖137条、微步覆盖118条、Virustotal覆盖 138条，存在三个平台都未覆盖24条的情况。

由于各平台的属性不同，集成了FOFA平台的持续信息收集能力，一旦识别了组织特征，便可动态获取最新资产信息并及时覆盖，从而更快获取威胁情报，提升客户价值。

基于参考报告中使用了shodan，我们也用shodan进行了验证。但是其由于机制原因已无报告相同结果。但通过我们的验证，使用相同特征进行拓线，仍发现有参考报告之外的存活资产存在。   

除此之外，我们的研究还发现，响尾蛇APT组织更倾向于针对政府、能源、军事和矿产等领域进行攻击。这一点在我们的拓线结果中得到了明确的反映。 

文章将会详细描述针对于IOC的拓线思路以及方法，并在文章末尾附有拓线及对比表格。

▌线索分析思路  

线索一：

我们通过MikhailKasimov 在GitHub上总结的IOC进行提取，找到以下三个域名：

neger.site            semain.tech            aliit.org

GitHub开源项目：

https://github.com/stamparm/maltrail/blob/3db4f2069cd7befcbfd2e0d1fe447773f1f755ca/trails/static/malware/apt_sidewinder.txt

看到原始数据来源是Bridewell公司的分析报告。使用FOFA来对这三条域名进行查询，看一下他的特征是怎样的。

domain="neger.site"

domain="semain.tech"

domain="aliit.org"    

我们的从FOFA的展示结果来看，他们明显有相同JARM指纹特征，我们提取这条特征进行查询。

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7"

仔细对比发现，前两个域名的header都存在404 Not Found、Server: nginx、Content-Type: text/html的特征。

但是aliit.org的Server为nginx/1.23.2，和其他两条不一样。我们先研究另外两个IOC。通过提取前两个域名的相同特征，加入到FOFA的搜索语句中。

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html"

明显看到圈定范围变少了，但是通过地区排名可以发现还是存在部分误差，需要继续提取有效特征。

通过header响应头及网站正文确认，他的Content-Length都为183或535个字符串。可利用此特征加入到FOFA语句中继续进行查询：

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535")

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535") && (domain="neger.site" || domain="semain.tech")

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535")

通过同样的方式提取特征，整理为FOFA语法进行查询：

header="HTTP/1.1 404 Not Found" && header="Server: nginx/1.23.2" && header="Content-Type: text/html" && header="Content-Length: 555" && jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7"  

线索二： 

direct888.netfia-gov.net

domain="direct888.net"

domain="fia-gov.net"

很明显，很熟悉。果然，他们的JARM指纹是一样的，且其他特征的表现和上面的线索特征保持一致，只有content-length是228。将这些特征进行整合成FOFA的规则就是：

jarm="1dd40d40d00040d1dc1dd40d1dd40de9ab649921aa9add8c37a8978aa3ea88" && header="Content-Length: 228" && header="HTTP/1.1 404 Not Found" && header="Server: nginx"

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535")

header="HTTP/1.1 404 Not Found" && header="Server: nginx/1.23.2" && header="Content-Type: text/html" && header="Content-Length: 555" && jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7"

jarm="1dd40d40d00040d1dc1dd40d1dd40de9ab649921aa9add8c37a8978aa3ea88" && header="Content-Length: 228" && header="HTTP/1.1 404 Not Found" && header="Server: nginx"    

▌拓线资产验证

除此之外，我们也针对于使用FOFA拓线出来的响尾蛇APT组织资产进行三方平台验证，验证过程中发现各个平台存在一定的标定差异性，以下几种情况都存在。

其中获得的线索IOC：direct888.net 都被标定为响尾蛇，但是后续在FOFA上拓线出来的direct888.org 则没有被标定。

所以针对于这种情况存在，我们用拓线后的规则对于威胁情报平台做了一次详细验证，并引入新的工具。验证使用的工具包括奇安信威胁情报平台、微步在线和Virustotal，覆盖数分别为奇安信137条、微步118条和Virustotal 138条，并存在三个平台都未覆盖的情况。   

由于各平台的属性不同，FOFA网络空间测绘平台凭借其持续不断的信息收集能力，一旦确认了组织的特征，只要该组织仍在线，就可以将该规则添加到监控系统中。这将允许我们动态地获取该组织的最新资产信息，并迅速进行标签覆盖。这种方式可以更快地获取威胁情报，从而为客户创造更大的价值。

验证结果总结如下，详细标定信息可查看附录1。

▌总结

通过对部分IOC进行拓线分析，可以发现该组织倾向于利用与攻击目标相关的机构官方域名的关键词来构造域名。例如，他们使用“*fia-gov*”，“*mof-gov*”，“*mofa-gov*”，“*govnp*”，“*govpk*”等关键词伪装成军事和政府相关的域名。另外，他们还通过字符的移位、隐藏等手段构造域名，如“*direct888.org”，“*directt88.org”，“*downlod.net”，“*downlod.com”等进行攻击。

威胁情报对比结果为奇安信覆盖137条、微步覆盖118条、Virustotal覆盖 138条，并存在三个平台都未覆盖24条的情况。

通过使用少部分IOC，逐步分析并提取特征来进行资产拓线，当拓线完成后，实际上是形成了FOFA规则所存在，结合FOFA平台的持续信息收集能力，一旦识别了组织特征并保持其在线，便可动态获取最新资产信息并及时覆盖，从而更快获取威胁情报，提升客户价值。   

基于Bridewell公司报告中使用shodan进行信息收集的方法，我们也用shodan验证了整理的规则。尽管由于机制原因已无报告相同结果。但通过我们的验证，使用相同特征进行拓线，仍发现报告之外的存活资产存在。

这个过程主要依赖于FOFA强大的搜索功能，但更关键的是发现线索和进行逻辑推理的能力。希望这个案例能对大家如何更有效地利用FOFA进行资产拓线和信息收集提供帮助，以充分利用FOFA的能力。

▌参考文章:

https://www.bridewell.com/insights/news/detail/the-distinctive-rattle-of-apt-sidewinder

https://github.com/stamparm/maltrail/blob/3db4f2069cd7befcbfd2e0d1fe447773f1f755ca/trails/static/malware/apt_sidewinder.txt

https://www.freebuf.com/news/373902.html

https://twitter.com/Cyberteam008/status/1743505453529940004

▌End

欢迎各位白帽师傅们加入我们的社区大家庭，一起交流技术、生活趣事、奇闻八卦，结交无数白帽好友。

也欢迎投稿到 FOFA，审核通过后可获得F点奖励，快来加入微信群体验吧~~~

微信群：扫描下方二维码，加入 FOFA 社群！获取更多一手信息！