安全专家在针对菲律宾的网络攻击中发现一个老后门

FortiGuard安全实验室在近日发表一篇博文中指出,他们发现了一份带有强烈政治主题的恶意文档,文件名称为“Draft PH-US Dialogue on Cyber Security.doc(大致翻译为:美菲网络安全对话草案.doc)”。这份文档旨在利用一个通杀Office 2003到2016所有版本的远程代码执行漏洞——CVE-2017-11882。一旦利用成功,受害者计算机的%temp%文件夹中将会被植入一个恶意软件。

研究人员表示,经过他们的分析,确认这个恶意软件来自一个名为Hussarini(也被称为Sarhust)的后门家族。研究人员进一步描述说,自2014年以来,Hussarini就一直被积极用于针对东盟国家的高级持续性威胁(Advanced Persistent Threat,APT)攻击。

据菲律宾ABS-CBN新闻网的报道,菲律宾是东盟中最容易受到APT攻击的国家。尽管在2016年发生了数起大规模数据泄露事件后,菲律宾就加大了对于网络攻击防御的投资,但是事实证明菲律宾似乎仍没有脱离这种现状。

研究人员解释说,在恶意文档被打开之后,有两个文件(Outllib.dll和OutExtra.exe)被植入到了%temp%文件夹中。OutExtra.exe实质上是一个经微软签名的合法应用程序,原始名称为finder.exe。这个文件是微软Office套件的一部分,可用于在Outlook数据文件中查找关键字。但在这起攻击中,这个文件被用于通过DLL劫持加载Hussarini后门文件(Outllib.dll)。

Outllib.dll是一个能够导出包含恶意代码的函数的DLL,在执行文件OutExtra.exe时,会调用其中一些函数,从而有效地执行恶意代码。恶意代码的目的是获取以下系统信息,并通过HTTP POST请求发送给C&C服务器:用户名、计算机名、操作系统和CPU信息。

接下来,C&C服务器会在接收到这些信息之后向Hussarini后门发送两个命令。第一个命令包含字符串“cache.txt”,并创建另外两个文件:cache.txt和  cache.txt.cfg。第二个命令包含一些命令提示符(cmd.exe)的命令。 由C&C服务器发送的cmd命令随后将写入cache.txt中,具体命令如下:

  • ysteminfo:获取计算机的系统信息;

  • arp –a:查看IP地址到MAC地址的映射;

  • ipconfig /all:显示所有当前的TCP/IP网络配置值;

  • netstat -ano :显示协议统计信息和当前TCP/IP网络连接;

  • tasklist -v:用于所有任务运行的应用程序和服务列表及其进程ID(PID);

  • net start:启动正在运行的各种服务;

  • net view:显示网络上可见的其他计算机;

  • dir “c:users” /o-d:显示所有用户。

通过分析这些代码,研究人员认为这个Hussarini后门能够执行以下来自攻击者的命令:

  • 创建、读、写文件;

  • 下载并执行文件/组件;

  • 使用exe启动远程shell。

由此,我们可以看出Hussarini后门只具备很少的功能,但研究人员表示它的功能可以被攻击者扩展。此外,由于这个后门可以启动远程cmd shell,因此攻击者也可以使用所有cmd命令。

菲律宾于2016年才成立了自己的信息和通信技术委员会(Commission on Information and Communications Technology,CICT),并承认该国针对网络威胁的防御仍处于起步阶段。可能正是由于这种现状,菲律宾才成为了网络犯罪和网络间谍活动的多发地。FortiGuard的研究人员也表示,他们预计针对该国家的网络攻击可能会在数量和质量上持续发展。

标签: 后门

作者:pig 来源:黑客视界 浏览量:415 时间: 2018-07-24

加入墨者学院可立即获得20墨币

可免费开启靶场环境

点击注册领取

已有账号,立即登录