UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

admin
admin
admin
138876
文章
114
评论
2024年10月5日00:16:59评论26 views字数 2928阅读9分45秒阅读模式
UNC1860 是一个持续性且机会主义的伊朗国家支持的威胁行为者，可能与伊朗情报和安全部 (MOIS) 有关联。UNC1860 的一个关键特征是其收集了专门的工具和被动后门，Mandiant 认为这些工具和后门支持多个目标，包括其作为可能的初始访问提供商的角色以及其获得高优先级网络（例如整个中东地区的政府和电信领域的网络）的持续访问的能力;
UNC1860 的间谍技术和目标定位与Shrouded Snooper、Scarred Manticore和Storm - 0861相似，这些伊朗威胁行为者公开报道称其针对的是中东的电信和政府部门。据报道，这些组织还为破坏性和扰乱性行动提供了初始访问权限，例如 2023 年 10 月下旬使用 BABYWIPER 针对以色列，2022 年使用ROADSWEEP针对阿尔巴尼亚。Mandiant 无法独立证实 UNC1860 是否参与了为这些行动提供初始访问权限。但是，我们发现了专门的 UNC1860 工具，包括 GUI 操作的恶意软件控制器，这些工具很可能是为了促进交接操作而设计的，从而进一步支持 UNC1860 所扮演的初始访问角色。
UNC1860 还维护着一系列实用程序和“主阶段”被动后门，旨在在受害者网络中站稳脚跟并建立持久的长期访问权限。这些主阶段后门包括一个从合法的伊朗防病毒软件过滤驱动程序改用的 Windows 内核模式驱动程序，反映了该组织对 Windows 内核组件的逆向工程能力和检测规避能力。这些能力表明 UNC1860 是一个强大的威胁行为者，可能支持从间谍活动到网络攻击行动的各种目标。随着中东紧张局势的持续起伏，我们认为该行为者在获得目标环境初始访问权限方面的熟练程度是伊朗网络生态系统的宝贵资产，可利用该资产来应对需求变化时不断变化的目标。 

使用持续访问支持初始访问操作

2020 年，Mandiant 响应了 UNC1860 使用受害者网络作为临时区域对无关实体进行额外扫描和利用操作的攻击。据观察，攻击者扫描了主要位于沙特阿拉伯的 IP 地址，试图识别暴露的漏洞。UNC1860 还使用命令行工具验证了卡塔尔和沙特阿拉伯实体的多个域中的帐户和电子邮件地址的凭据，随后将目标锁定在该地区实体的 VPN 服务器。 

UNC1860 与 APT34 重叠 

Mandiant 在 2019 年和 2020 年应对了多起攻击，其中被疑似 APT34 行为者攻击的组织之前曾被 UNC1860 攻击。同样，之前被疑似 APT34 行为者攻击的组织后来也被 UNC1860 攻击，这表明该组织可能在协助横向移动方面发挥了作用。Mandiant 还发现，近期有迹象表明 APT34 相关集群和 UNC1860 均将行动重点转向伊拉克目标。 

Web Shell 和 Droppers 

UNC1860 网络外壳和植入程序（例如 STAYSHANTE 和 SASHEYAWAY）在获得初始访问权限后被该组织部署并放置在受感染的服务器上，根据其功能，这些程序有可能被用于交接操作。2024 年 3 月，以色列国家网络局收到警报，称有针对以色列各个领域实体的擦除器活动，包括托管服务提供商、地方政府和学术界；技术指标包括独特的 STAYSHANTE 网络外壳和我们认为属于 UNC1860 的 SASHEYAWAY 植入程序。

自定义的 GUI 操作恶意软件控制器

UNC1860 GUI 操作的恶意软件控制器 TEMPLEPLAY 和 VIROGREEN 可以让对目标环境一无所知的第三方参与者通过 RDP 远程访问受感染的网络，并轻松控制受害者网络上先前安装的恶意软件。这些控制器还可以为第三方操作员提供一个界面，指导操作员如何部署自定义有效载荷并执行其他操作，例如在目标网络内进行内部扫描和利用。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

TEMPLEPLAY 控制器

TEMPLEPLAY (MD5: c517519097bff386dc1784d98ad93f9d) 是一个基于 .NET 的 TEMPLEDOOR 被动后门控制器。它的内部名称为 Client Http，由多个选项卡组成，每个选项卡都便于控制单独的后门命令。

命令提示符选项卡（图 2）结束在目标主机上执行的命令行。默认命令是 cmd /c 2 > &1，带参数 whoami。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

上传文件选项卡（图 3）使用 POST 请求将文件从本地路径上传到远程计算机上的目标路径。默认目标路径为C:Program FilesCommon FilesMicrosoftSharedWebServerExtensions15TEMPLATELAYOUTS。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

下载文件选项卡（图4）用于从受感染机器上的给定路径获取文件。受感染机器上的默认路径是C:Programdata1.txt。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

Http 代理选项卡（图 5）允许使用受 TEMPLEDOOR 感染的远程计算机作为中间盒，将数据转发到选定的目标服务器。它似乎主要用于促进与目标服务器的 RDP 连接，最有可能的情况是后者由于网络边界（例如 NAT 或防火墙）而无法通过互联网直接访问，但可以通过受 TEMPLEDOOR 感染的机器访问。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

URL 选项卡（图 6）包含连接到受感染机器时使用的 URL 端点。端点字符串是从此选项卡中定义的列表中随机选择的。这些端点对应于 TEMPLEDOOR 示例（MD5:c57e59314aee7422e626520e495effe0）中定义的端点。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

TEMPLEPLAY GUI 还包含一个测试后门链接，该链接创建一个 GET 请求，将字符串wOxhuoSBgpGcnLQZxipa作为相对 URI，并检查响应中的字符串。这对应于 TEMPLEDOOR 样本（ ）和）UsEPTIkCRUwarKZfRnyjcG13DFA中使用的 echo ping 机制。MD5:b219672bcd60ce9a81b900217b3b5864MD5:c57e59314aee7422e626520e495effe0
其他链接包括在控制器运行的主机中打开新的资源管理器窗口的探索链接，以及指向与控制器和 TEMPLEDOOR 被动后门之间发送的 HTTP 请求有关的配置参数集的 Http 设置链接。

VIROGREEN 控制器

VIROGREEN 是一个自定义框架，用于利用 CVE-2019-0604 漏洞 SharePoint 服务器（图 7）。该框架提供后利用功能，包括扫描和利用 CVE-2019-0604；控制后利用负载、后门（包括 STAYSHANTE Web Shell 和 BASEWALK 后门）和任务；控制兼容代理（无论代理如何植入）；执行命令和上传/下载文件。

UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

正在跟踪 UNC1860 初始访问操作中使用的多个立足点实用程序和后门。这些程序通常使用自定义混淆方法，通过重命名字符串和函数名称来降低检测率并使分析更加困难。此外，我们还在跟踪我们认为是 UNC1860“主阶段”植入程序的众多代码系列，这些代码系列进一步增强了该组织在受害者环境中的持久性。 

攻击指标 (IOC)

https://www.virustotal.com/gui/collection/bf73231856c4c981eb42fb4bd9cad60fddc444e1ec7375c4d3ad46bf18f4db41

注：还请各位关键基础特性的单位预防为主，进行内部关注和查杀

原文始发于微信公众号（三沐数安）：UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年10月5日00:16:59
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   UNC1860 和燕麦庙：伊朗在中东网络中的暗中操纵https://cn-sec.com/archives/3223699.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息