近期，微步在线捕获一起蔓灵花组织的攻击活动，并发现一批蔓灵花组织所使用的攻击模块，经过快速分析，得到如下结论：
-
获取到的多个攻击模块大部分拥有两个版本，一个版本为已知的蔓灵花攻击活动所曝光的模块，一个版本为未知的新版本； -
攻击载荷中包含“信息窃取”、“远控”、“键盘记录”多种功能模块；
-
攻击者在部分攻击模块中的 HTTP 请求中，在 Host 字段中使用国内的地址，绕过部分流量检测的规则；
-
我们对当前样本提取了 C2，并进行了拓线分析，发现了攻击者背后的当前的其他资产，建议利用内部安全设备直接进行阻断。
|
|
|
|
|
|
|
|
|
|
|
|
3.1 asmsN、asmsNN
首先进行长时间的休眠，以此对抗沙箱检测。
图5
3.2 sthost
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
3.3 mshost、mthost
3.4 iexplorer
3.5 lsapip、sysmgr、sysmgrnew
此类模块功能相同，均为收集文件信息且将搜集的内容回传到 C2 地址，且在建立通信过程中，sysmgr、sysmgrnew 及 asmsN、asmsNN 两类四个模块在 HTTP 包中的 Host 部分使用了国内的地址以此绕过部分流量检测。具体的模块与C2 地址及 Host 地址对应如下：
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
攻击者会以特定企业、单位作为目标，向目标发送邮件或诱饵文档，引诱用户执行恶意代码，并从 C2 控制端对受害主机进行下发后续攻击载荷，其中包括文件执行、信息窃取、键盘记录、远控等多种模块。
微步情报局招聘通道
❖
沙箱安全开发（Linux方向） 戳我查看岗位详情
❖
高级应急响应工程师 戳我查看岗位详情
❖
高级渗透测试工程师 戳我查看岗位详情
第一时间为您推送最新威胁情报
阅读原文，可加入粉丝群
原文始发于微信公众号（微步在线研究响应中心）：推陈出新，蔓灵花组织攻击模块再升级
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论