【威胁情报】知名 MAC 软件下载站长期实施后门投毒

知名 MAC 软件下载站长期实施后门投毒

据国内安全公司安天发布的最新消息，安天日前监测到一组利用非官方软件下载站进行投毒和攻击下游客户的案例，这些恶意软件均为 Mac 相关软件破解版，也就是针对 Mac 用户。

安天 CERT 进行分析时发现在谷歌搜索 Mac 破解软件时该网站排名第一，在必应搜索 Mac 破解软件时该网站排名第七。

而黑客的目的则是通过下载站投放携带病毒的软件来入侵 Mac，成功入侵 Mac 后再通过其他工具在企业内部网络中进行横向传播，最后用户和企业面临数据被窃取、信息泄露、被长期监视等安全风险。

MACYY.CN 及金华矜贵：

根据安天 CERT 透露的信息，发现这个下载站就是 MACYY.CN，值得注意的是该网站似乎也被金华市矜贵网络科技有限公司收购。

金华矜贵公司早前收购了集成 Web 环境 Lnmp.org、oneinstack，还准备收购 LAMP 结果被拒绝。

而收购之后 Lnmp.org 一键安装包以及 oneinstack 均被添加了后门程序，因此看到 MACYY.CN 网站名称中标注的公司名称后，大概就明白了。

黑客的目的是什么？

先是收购一键安装包这类的集成 Web 环境进行投毒，现在又收购 Mac 软件破解站来投毒，本质目的似乎都是为了服务器，也就是通过供应链攻击来入侵开发者和企业的服务器。

入侵服务器的目的无非是为了窃取数据，目前倒是还没发现部署勒索软件的情况，不过仅仅是窃取数据已经给企业造成严重威胁。

这个黑客团伙的行为在 2023 年其实也被另一家信息安全公司深信服盯上了，深信服也发现这个黑产团伙利用多种攻击手段，包括仿冒 AMH、宝塔、XShell、Navicat 等软件有针对性的对运维人员进行攻击。

此次安天发现的攻击行为与深信服此前发现的黑产团伙能够关联起来，背后都指向这个名为金华矜贵的公司，不过黑客敢如此高调大概率这个公司也只是个壳子。

被植入后门的软件：

包括 SecureCRT、FinalShell、Navicat、UltraEdit、Microsoft Remote Desktop。

可以看到这些软件均为开发和运维相关的，这和之前深信服发现这个黑产团伙针对运维人员发起攻击是一致的。

排查是否中招：

如果你曾经在 MACYY 或者其他下载站下载过上述软件的破解版，那最好尽快自查。

可以检查 /tmp/ 目录中是否存在.test、.fseventsd 文件，检查 / Users/Shared/ 目录中是否存在.fseventsd 文件，并检查该文件是否被设置为开机自启动；

对于 Linux 系统：

检查 /usr/sbin/cron（或 crond）文件近期是否被改动；

检查 /usr/sbin/cron（或 crond）文件所依赖的动态链接库中是否存在 libdb.so.2 文件；

检查 libdb.so.2 文件是否存在问题：检查 MD5 是否为 F23ED5D991CF0C8AA8378774E8FA93FE，或者检查 libdb.so.2 文件的改动时间是否与 /usr/sbin/cron（或 crond）文件的改动时间相近。

具体分析报告：

近期，安天CERT发现一组利用非官方软件下载站进行投毒和攻击下游用户案例，并深入分析了攻击者在网管运维工具上捆绑植入macOS平台远控木马，利用国内非官方下载站发布，以此取得政企机构内部关键主机桥头堡，进行横向渗透的攻击活动。

此下载站目前可下载数十个破解软件，其中五款运维工具包含恶意文件，这五款运维工具集中在服务运维工具分类中，安天CERT判断该事件针对的目标为国内IT运维人员。当运维人员寻找macOS平台下免费或破解的运维工具时可能会搜索到该下载站，如果下载执行了含有恶意文件的运维工具，那么恶意文件会连接攻击者服务器下载并执行远控木马，攻击者可通过此远控木马窃取主机中的数据和文件，确定受害者及所在单位的信息，为后续横向渗透做准备。

安天CERT以攻击者发起的一起实际行动为案例，揭示攻击者横向渗透的手段：攻击者使用远程控制的方式窃取了受害者macOS操作系统主机中的文件；下载并使用fscan、nmap等工具对受害者的内网进行扫描，以获取内网更多服务器和主机的信息；利用口令破解、漏洞利用等渗透手段尝试获取更多服务器和主机的系统权限，横向渗透成功后在服务器上部署并运行hellobot后门。在此次行动中，虽然攻击者的横向渗透水平相对较弱，但是依然成功获取了服务器的系统权限。入侵成功后可能导致数据被窃、信息泄露、被长期监视等安全风险。

安天CERT的分析人员在搜索站搜索“Mac破解软件”等关键字时，该下载站在Google搜索站排名第一，在Bing搜索站排名第七。从该下载站的下载数量来看，含有恶意文件的五款运维工具下载总量已超3万次。安天CERT评估此次攻击活动影响范围较大，且大部分威胁情报平台尚未标记相关的恶意IoC情报，故披露此次攻击活动。建议在该下载站下载过这类运维工具的用户进行自查。

该黑产团伙采用供应链投毒、伪造官方软件网站、以及利用破解软件等多种方式传播恶意程序，主要攻击目标是IT运维人员，攻击范围涵盖了Windows、Linux以及macOS等操作系统。此外，该团伙使用经过精心构造的域名，并对下载的载荷文件进行混淆处理，以规避安全产品的检测，因此安天CERT用“暗蚊”组织命名该团伙。

在即将发布该报告时，安天CERT关联到了近期深信服披露的报告《【高级持续威胁(APT)】谁是“amdc6766”：一年四起供应链投毒事件的幕后黑手》^[1]，发现此次事件攻击活动中攻击者可能与友商披露的攻击者为同一批团伙。本次事件中用于传播的工具都是IT运维人员日常使用频次较高的软件工具，两起事件针对的目标重合；在诱饵工具名称和域名的伪装方面思路相似；载荷使用了相同的域名。

2.1 监测情况

安天CERT监测到“MACYY”下载站上SecureCRT、FinalShell、Navicat等五款运维工具含有恶意文件。如果在macOS操作系统的主机中执行上述工具便会加载恶意文件，连接攻击者C2服务器下载执行远控木马。安天CERT的分析人员在搜索站搜索 “Mac破解软件”等关键字时，该下载站在Google搜索站排名第一，在Bing搜索站排名第七。

图2‑1 该下载站Google搜索站排名第一

SecureCRT、FinalShell、Navicat、UltraEdit、Microsoft Remote Desktop共五款运维工具被植入恶意文件：

图2‑2 红框中为此次发现被植入恶意代码的运维工具

从该下载站的下载数量来看，含有恶意文件的五款运维工具下载总量已超3万次。安天CERT评估此次攻击活动影响范围较大，且大部分威胁情报平台尚未标记相关的恶意IoC情报，故披露此次攻击活动。建议在该下载站下载过这类运维工具的用户进行自查，详细自查方法请参考本报告第六小节。

2.2 攻击活动的时间线

安天CERT分析了此次攻击活动的时间线。攻击者从2023年3月份便着手开始策划此次攻击活动，其最早开始于3月20日注册了其所使用部分的C2域名，在3月至7月期间攻击者陆续注册了此次攻击活动中所涉及的10个C2域名，并在期间攻击者将使用的部分载荷上传至VT测试其免杀效果。最后攻击者在9月19日和20日将被植入恶意文件的五款运维工具上传至该下载站。

图2‑3 安天CERT还原此次攻击活动时间线

被植入恶意文件的破解软件包含IT运维人员常用的SecureCRT、FinalShell、Navicat等五款运维工具。运维工具运行后连接攻击者C2服务器下载远控木马，该远控木马是攻击者基于开源跨平台KhepriC2框架进行修改的远控木马，其主要功能有获取系统信息、进程管理、文件管理、远程Shell等，具备对感染主机进行远程控制的能力。

3.1 初始访问攻击

由于攻击者在这五款运维工具中所采用的攻击方式一样，初始访问攻击以破解版的SecureCRT软件分析为例进行展开。攻击者将恶意文件libpng.dylib添加至破解版的SecureCRT软件中并将其投放至下载站。当用户运行该软件后，软件加载被植入的恶意文件libpng.dylib，连接攻击者搭建的C2服务器下载名为se01.log和bd.log两个加密载荷。libpng.dylib对se01.log文件解密后释放Mac远控木马，该木马是攻击者基于开源跨平台Khepri C2框架进行修改的远控木马，其主要功能有获取系统信息、进程管理、文件管理、远程Shell等，具备对感染主机进行远程控制的能力；libpng.dylib对bd.log文件解密后释放一个名为fseventsd的加载器，该加载器会将自身添加至开机启动项中，以实现持久化。截至安天CERT分析时该加载器用于下载其他载荷的URL已失效且未在公开情报系统中关联到，故无法分析其最终落地载荷。

图3‑1 破解版的SecureCRT软件攻击流程

3.2 内网横向移动流程

安天CERT以攻击者发起的一起实际行动为案例，揭示攻击者横向渗透的手段：

图3‑2 攻击者内网横向移动攻击流程

步骤1：远控下载反向Shell工具

在受害者macOS操作系统主机中成功植入Khepri远控木马后，攻击者访问恶意软件服务器下载了一个基于开源跨平台工具goncat进行修改的木马，该木马的主要功能是实现反向Shell连接。攻击者下载goncat木马命令如下：

步骤2：文件窃取和分析

攻击者利用该木马将受害者macOS操作系统主机中的各类文件上传至匿名文件共享服务托管平台oshi.at上。攻击者基于所收集到的文件进行分析，为进一步的横向移动做准备。

图3‑3 匿名文件共享服务托管平台oshi.at

步骤3：内网网络扫描

攻击者下载了fscan、nmap等扫描工具，并使用nmap网络扫描工具对开放了22端口的主机进行扫描。此外，攻击者还利用fscan扫描工具对内网进行了扫描，以获取内网更多服务器和主机的信息，包括主机存活信息、端口信息、常见服务信息、Windows网卡信息、Web指纹信息以及域控信息等。使用nmap工具扫描某网段命令如下所示：

步骤4：使用多种渗透手段：

攻击者利用Web漏洞和SSH暴力破解等手段来获取受害者更多的服务器和主机访问权限。使用ssh登陆某服务器命令如下：

步骤5：部署后门进行持久化

攻击者会访问恶意软件服务器下载一个名为centos7的文件，该文件运行后会在当前路径下释放一个名为libdb.so.2的文件，利用libdb.so.2文件对crond服务动态库文件进行劫持，然后将libdb.so.2文件及crond的时间属性值修改为/bin/ls的时间，最后重新启动crond服务，加载执行恶意文件libdb.so.2。经分析发现libdb.so.2文件为hellobot后门，该后门主要功能有文件管理、远程Shell、端口扫描、服务代理等。下载Centos7文件命令如下所示：

尽管在此次行动中，攻击者的横向移动整体水平相对较弱，然而并不能忽略其所带来的危害。即使攻击者横向移动能力有限，但仍能通过成功植入恶意软件、利用漏洞和暴力破解等手段，对受害者的系统和数据造成严重的损害。这种攻击形式可能导致敏感信息泄露、系统崩溃、服务中断以及进一步的攻击扩散，对受害者的隐私和安全构成潜在风险。因此，需认真对待这些攻击，并采取适当的安全措施来保护系统和数据免受威胁。

经关联分析发现，“暗蚊”黑产团伙可能与近期友商披露的报告《【高级持续威胁(APT)】谁是“amdc6766”：一年四起供应链投毒事件的幕后黑手》中的攻击者为同一团伙。本次事件中用于传播的工具都是IT运维人员日常使用频次较高的软件工具，两起事件针对的目标重合；在诱饵工具名称和域名的伪装方面思路相似；载荷使用了相同的域名。

1. 本次事件针对IT运维人员，且工具名称和使用的域名相似

攻击者在下载站中上传的破解软件SecureCRT、Ultraedit、Microsoft-Remote-Desktop-Beta、FinalShell、Navicat，都是IT运维人员日常使用频次较高的软件工具，且都被归于该网站的“服务器运维”类别中，表明攻击者有针对性地对IT运维人员进行攻击。

2. 使用crond服务持久化和后门动态链接库手法与友商披露类似

本次攻击活动中攻击者在内网Linux机器上访问恶意软件服务器下载一个名为centos7的文件，该文件运行后会在当前路径下释放一个名为libdb.so.2的文件，利用libdb.so.2文件对crond服务动态库文件进行劫持，然后将libdb.so.2文件及crond的时间属性值修改为/bin/ls的时间，最后重新启动crond服务，加载执行恶意文件libdb.so.2。其中使用crond服务持久化和后门动态链接库手法类似。

3. 最终载荷使用的恶意域名amdc6766.net相同

5.1 破解版SecureCRT软件分析

由于攻击者在这五款运维工具中所采用的攻击方式一样，样本详细分析以破解版的SecureCRT软件分析为例。

注：可在计算机病毒分类命名百科全书Virusview.net，搜索“DarkMozzie”查看更多该病毒家族相关信息。

SecureCRT是VanDyke Software公司开发的一个商业SSH、Telnet客户端和虚拟终端软件。本次攻击活动破解版SecureCRT软件相较于官网提供的SecureCRT，在Frameworks文件夹中多出一个名为“libpng.dylib”的动态库文件。

图5‑1 SecureCRT官方版本与破解版本对比

破解版SecureCRT的主Mach-O文件运行时会对该动态库文件libpng.dylib进行加载。

图5‑2 破解版SecureCRT加载libpng.dylib

5.1.1 libpng.dylib文件分析

libpng.dylib从硬编码的URL处获取下一阶段载荷文件，解码后保存至指定的路径中执行。

图5‑3 libpng.dylib用于获取下一阶段的载荷文件

对下载的载荷进行解密算法如下所示：

图5‑4 解密算法

5.1.2 解密后的.test文件分析

解密后的.test文件与指定的C2域名进行连接。

图5‑5 与指定C2域名连接

该木马是攻击者基于开源跨平台KhepriC2框架进行修改的远控木马，其主要功能有获取系统信息、进程管理、文件管理、远程Shell等，具备对感染主机进行远程控制的能力。

图5‑6 开源平台Khepri远控功能

5.1.3 解密后的.fseventsd文件分析

.fseventsd文件会将自身添加至开机启动项中，以实现持久化。

图5‑7 将自身添加至开机启动项

.fseventsd文件从硬编码的URL处获取文件，并下载至指定路径中，截至安天CERT分析时该加载器用于下载其他载荷的URL已失效，故无法分析其最终落地载荷。

图5‑8 下载其他载荷

5.2 内网横向移动使用的样本分析

5.2.1 mac2文件分析

mac2文件是基于开源跨平台工具goncat进行修改的木马，该木马除了支持反弹Shell，同时还支持自删除功能等。安天CERT推测，攻击者在受害者macOS操作系统主机上再次下载一个木马的原因可能是方便执行命令。

图5‑9 样本调用函数

图5‑10 样本命令行运行截图

5.2.2 centos7文件分析

centos7样本读取自身内容，并根据“ELFELF”找到标记的偏移位置，将该位置后的内容写入当前路径中，并命名为“libdb.so.2”。

图5‑11 释放libdb.so.2文件

利用libdb.so.2文件对crond服务动态库文件进行劫持，然后将libdb.so.2文件及crond的时间属性值修改为/bin/ls的时间，最后重新启动crond服务，以加载执行恶意文件libdb.so.2。

图5‑12 劫持crond服务的动态库文件，并修改时间属性值

libdb.so.2是一个hellobot后门，其解密后的配置信息如下图所示。

图5‑13 该hellobot后门的配置信息

配置信息中每一项配置所对应的功能如下表所示。

该hellobot后门的功能包括如下表所示的内容。

针对以“暗蚊”为代表的黑产团伙，以IT运营者使用远程访问、编辑器、数据库管理等免费或破解版运维工具作为突破口投放攻击载荷，通过网内横向移动，进一步收集信息并维持持久化，最终窃取主机中的数据和文件的攻击模式，安天CERT建议：

6.1 开展针对性自查

图6‑1 确认是否曾下载这些运维工具

6.2 增强正版软件使用意识

6.3 加强主机侧安全防护

图6‑2 智甲管理中心可集中查看远控后门投递事件并统一处置

图6‑3 智甲客户端发现暴力破解登陆，供用户在管理中心查看事件详情

安天睿甲云主机安全监测系统面向各类云主机环境，具有全面的网络防护能力，针对"暗蚊"类恶意入侵事件，可以从端点暴破、横向移动、新增文件、修改配置等多个环节进行全链路的检测，根据不同的攻击阶段对其行为进行溯源分析，第一时间感知威胁，并进行清除，深度还原攻击路径，为固证取证提供有力的支持。建议已经部署睿甲产品的用户启用文件实时监控功能，并更新病毒库至最新版。

图6‑4 睿甲云主机安全系统发现恶意入侵自动告警

6.4 提升网络威胁监测与响应

6.5 遭受攻击及时应急处置

https://mp.weixin.qq.com/s/R0kn5STsiwIUhIqVRwnNxw

参考文章

https://www.jamf.com/blog/jtl-malware-pirated-applications/

原文始发于微信公众号（利刃信安攻防实验室）：【威胁情报】知名 MAC 软件下载站长期实施后门投毒