![](http://s2.51cto.com/wyfs02/M00/94/AD/wKioL1kMLSOjVhjGAAP3KDpnFhA086.jpg-wh_651x-s_866633542.jpg?x-oss-process=image/resize,w_1400/format,webp)
近期,欧洲多国大选开始,去年涉嫌网络攻击干预美国总统选举的APT28又开始活跃了。相继有德国、丹麦等国纷纷指责APT28的大肆入侵攻击行为。而就在最近的法国大选中,有安全专家分析称,APT28可能已经针对首轮投票胜出的纽埃尔·马克龙(Emmanuel Macron)开展了网络攻击活动。难道APT28又要用键盘来操控法国大选了吗?
在这里,让我们来看看安全公司Redsocks security如何通过网络流量来快速识别和破解APT28攻击行为。
一、分析简介
2016年底,Redsocks security发现了一个APT28使用的过期域名,原本Redsocks security希望通过sinkhole该域名对APT28进行一探究竟,却发现该域名使用了异常复杂的加密通信机制。尽管之前像ESET等其它安全公司认为APT28使用了RC4加密算法,但还未发现APT28具体使用的RC4算法和密钥属性。在这里,Redsocks security通过对APT28经常使用的X-Agent样本进行动态分析,破解其整体攻击入侵的网络流量行为。以下为分析中APT28经常使常用到的一例X-Agent木马程序样本文件:
Sinkhole (槽洞)攻击:通过引诱攻击者发起的流量通过一个已被控制接管的节点,一旦流量数据经过该控制节点,接管者就可以对其网络流量数据进行分析篡改,判断攻击者的攻击手法和入侵行为。
由于涉及到对APT28攻击行为的网络通信机制破解,所以分析过程包括以下几个方面:
- 执行X-Agent木马和其释放的恶意程序
- 对X-Agent木马进行网络行为观察
- 破解APT28通信加密机制和算法
Redsocks security通过全网探测和url模式比对,发现了大量APT28使用的控制端和服务器,为破解调查破解APT28通信机制奠定了基础。
二、X-agent释放的恶意程序(dropper)
该样本恶意程序dropper包含两个步骤功能。首先,向Windows系统文件夹内释放一个ose00000.exe程序和一个恶意dll文件,该dll文件名通常来说是固定的,不会随着执行行为和目标系统而改变,如在此例中我们分析的83D2CDE2-8311-40CB-B51DEBE20FA803D1.dll,但极少情况下会随着木马功能而改变,如我们发现的其它释放样本文件xpool.dll;其次,通过释放的恶意dll文件调用系统shell32库中的ShellExecuteW方法函数,之后,以rundll32.exe进程身份和”C:\Windows\83D2CDE2-8311-40CB-B51DEBE20FA803D1.dll,init”参数完成对ShellExecuteW方法的进一步调用执行,在逆向分析中,我们可以从rundll32执行动作中观察到这一行为。另外,我们还发现了恶意进程会调用ZwMapViewOfSection方法对目标系统进行内核Hook以系统提权。最终,木马程序将会以rundll32.exe和ose00000.exe两个进程形成系统驻留。
三、X-agent的木马行为分析(rootkit)
83D2CDE2-8311-40CB-B51D-EBE20FA803D1.dll其实就是X-agent木马安装在系统内的rootkit,通过该rootkit实现键盘记录和远程控制。
1. X-agent架构
如下图所示,X-agent的程序结构相对复杂,在功能实现和通信机制方面都具有模块化的架构:
2. X-agent的程序执行
整个木马程序的执行从rundll32.exe进程加载dll文件调用初始化函数开始,首先它执行了获得目标系统磁盘序列号等信息的kernel32.GetVolumeInformationW方法调用,并初始化一些全局变量:
之后,初始化模块功能实现恶意功能执行,本例样本程序中包括3方面功能模块:
- 在样本逆向代码中为modKey的键盘记录模块
- 为modFS的文件系统控制模块
- 为modProcRet的远程Shell控制模块
完成以上功能初始化后,攻击者结合CHOPSTICK后门为不同任务创建了不同的线程,当然了,攻击者也会针对不同的配置和系统构造不同的功能和内核控制模块AgentKernel:
所有任务线程由功能和内核控制模块进行控制操作,并负责与远程C&C服务器进行通信,受害系统身份和支持运行的功能模块等信息将通过一个ID号为标识的数据包发送至攻击者C&C端。所有这些信息将被保存在临时文件夹下名为“edg6EF885E2.tmp”的文件中。
报告分析样本使用WinInet API并通过HTTP信道进行通信。与C&C端发送数据之前,恶意程序通信线程会通过测试“adobeincorp.com” 域名解析,检查与远程C&C服务器的网络连通性,如果解析失败,则转向两个硬编码IP进行直连。通信通道成功连通后,恶意程序就会通过内置的功能模块发送不同的URL请求信息和POST数据。然而,与C&C端的所有通信都是加密的。总之,X-agent木马在受害者系统中会执行以下一连串行为:
- 调用KERNEL32.GetVolumeInformationW
- 创建至少5个不同的任务线程
- 向临时文件夹内edg6EF885E2.tmp文件读写数据
- 调用socket.connect测试C&C端连通性
- 加密与C&C端的URL和POST数据通信
- 向C&C端发送get请求
- 向C&C端发送post请求
- 调用WININET Http APIs向C&C端对受害者系统发起控制信息
3. X-agent网络通信流量分析
为了破解APT28网络通信流量,我们首先得了解X-agent使用的通信模式。在我们分析X-agent样本中,其一前一后向远程C&C端发送了http get和post请求。除一串请求字符以外,其余http头信息都是固定的。X-agent发起的URL请求如下所示:
- /webhp?rel=psy&hl=7&ai=L2Bd93t_o-jl022K1Og4Bm9mSk8QO88K_3ZQZuKcoPwur-5Q7Y=
其中,“/webhp?rel=psy&hl=7&ai=”和最后的“=”标记在所有的执行动作中都是一样的,而其余51个编码字符“L2Bd93t_o-jl022K1Og4Bm9mSk8QO88K_3ZQZuKcoPwur-5Q7Y”则包含了木马客户端的请求发起时间戳和ID标记;另外,木马程序发送的POST数据则附加在“=”之后,为71个字符的加密串,解密后如下所示:
蓝色部分为受害者系统标记ID,黄色部分为数据发送方模块ID,绿色部分为远程C&C端使用的由#符号分隔的一系列功能模块数据。以下为X-agent的HTTP通信实现结构:
四、X-agent的通信加密机制
X-agent会对所有get或post请求的有用数据进行加密,加密后的数据会被添加进一些额外的字节并被转化为BASE64编码,如下为X-agent的通信模式结构:
时间戳为包含系统时间的BASE64数据,之后,又添加生成了8字节的BASE64随机数据,而加密后的真实数据(cypher)则为16字节之后的信息,其中包含一些初始字节信息,如数据令牌(data token)和
受害系统ID等。而数据令牌(data token)中则包含了一个硬编码字符串“V4MGNxZWlvcmhjOG9yZQ”,以下为X-agent的消息结构流程分解:
最终,其BASE64数据基于RFC 4648和一个动态函数生成,并基于以下排列生成:
- ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789-_
1. 加密模块
加密过程由两个参数调用,调用指针指向两个数据结构,包含以下两方面加密类实现数据:
- 加密种子
- 加密数据
其中,加密种子是硬编码方式固定的,初始函数通过立即寻址方式把其复制到数据段区域进行加密:
之后,在代码中,4个随机字节被追加到种子之后成为54字节数据,这种结构形成了加密过程的关键所在。例如,从AgentKernel获取的默认初始请求为39字节,其中包括:受害系统ID、模块ID、支持模块信息,这些信息被封装为20个字节的数据令牌(data token)、4个字节的受害系统ID和2个字节的模块ID数据。其中数据令牌(data token)被远程C&C端用来进行加密校验。在使用了RC4算法创建密码之后,加密程序将会向其中添加8字节的随机值并把整体数据转化为兼容BASE64的URL,并向其中生成7字节的时间戳信息。整个过程如下:
- 生成随机的4字节信息;
- 使用RC4算法加密消息;
- 向消息中添加8字节随机值;
- 把消息转化为BASE64的URL;
- 在消息中生成7字节的时间戳信息。
2. RC4算法
RC4是基于字节排列的流密码算法,在此我们不作重点讨论,以下为X-agent使用的RC4算法实现代码,其中算法涉及到的参数包含4字节的随机值、加密种子和明文数据:
五、如何破解X-agent数据
如前所述,X-agent加密过程的中的唯一随机性是把4随机字节附加到50字节的加密种子数据之后,由于 RC4算法是同步的流密码加密机制,必须使用同样的加密密钥key才能实现解密。所以,解铃还需第铃人,X-agent加密机制的破解必须使用相同的RC4算法和调用参数才能实现。最终转变生成的密码消息(cypher)除时间戳和随机字节之外,必须与其http请求对应的数据一致。当然了,可以利用暴力攻击方法枚举所有可能值(0到2的32次方-1)来破解RC4算法,如果其破解结果包含一个硬编码字符串“V4MGNxZWlvcmhjOG9yZQ”,则可以证明这就是APT28的网络通信行为,因为该字符串为APT28在网络通信中使用的数据令牌(data token)内容,并且这种破解操作可以在任何普通的个人电脑上快速实现完成,整个过程也就是几秒钟的事。具体技术分析参考Redsocks报告。
作者:clouds
来源:51CTO