本文翻译自:https://securelist.com/octopus-infested-seas-of-central-asia/88200/


2018年4月,研究人员发现一个新的Octopus样本,装扮成哈萨克反政府组织的通信软件。恶意软件打包成名为dvkmailer.zip的ZIP文件,时间戳显示为2018年2-3月。

技术细节

攻击者利用Kazakhstan(哈萨克斯坦)禁止使用Telegram来推送dropper,作为政治反对派可选的一种通信软件。

‘Telegram messenger’以最简单的方式建立网络模块驻留,并启动模块

研究人员不能确认恶意软件的传播方式,但很明显恶意软件使用了社会工程技术。该攻击单元之前就使用过鱼叉式钓鱼攻击来传播恶意软件。

Dropper

Archive contents

Launcher

在用户交互前,FormCreate()函数中的启动器会检查相同目录中的TelegramApi.dll文件。如果文件存在,启动器就会将网络模块复制到开始菜单目录中(Java.exe),并运行。

右下角的“发送邮件”按钮都没有handler函数

Delphi Visual Component Library (VCL)程序是基于表单元素的事件处理器。这类程序一般都很大(大概有2.6MB,12000个函数),但所有的代码都是用来处理画面部分和运行时库的。但在Octopus启动器中定义了3个控制元素的handler。

但“发送邮件”按钮没有handler,所以当加载器伪装成备选的通信软件时,而事实上并没有通信的功能。这可能是因为恶意软件还没有完成,毕竟发送的消息对攻击者来说还是很有价值的。但研究人员认为恶意软件开发过程可能比较仓促,攻击者决定先跳过通信相关的功能。

网络模块

C2通信机制

虽然扩展名是dll,但网络模块其实是一个自满足的可移动可执行文件,而非dll文件。第一个样本检查用户临时目录中名为1?????????.*的文件,并将找到的文件删除。然后再恶意软件保持日志的应用数据(Application Data)目录中创建.profiles.ini文件。

检查连接和获取c2域名的.php脚本

所有的网络模块都含有硬编码的IP地址,而IP地址都是不同国家的web主机服务。运营者简单地应用了一阶段的.php脚本,脚本会用HTTP GET请求检查真实的C2服务器域名。

在初始连接检查后,恶意软件会接收到JSON格式的真实C2域名,如下图所示:

然后网络模块会检查硬编码的受害者id,如下图所示:

网络模块会检查32个字母(数字)的硬编码的受害者id,并通过HTTP POST请求将收集的数据发送到C2服务器。从编程的角度看,该id很奇怪,因为恶意软件同时用系统数据的MD5哈希值对受害者计算指纹。

将收集的JSON格式的数据以HTTP POST base64编码请求发送

所有与C2的通信都是基于JSON格式和HTTP协议的。开发者使用Indy Project (indyproject.org)公开的库和第三方urboPower Abbrevia (sourceforge.net/projects/tpabbrevia)进行压缩。

在初始HTTP GET请求后,恶意软件会开始收集JSON格式的系统数据。网络模块会保存磁盘名和大小、计算机名和用户名、Windows目录、host IP等。其中有一个域vr的值是2.0,应该是通信协议中编码的恶意软件版本。

Id域保存的是恶意软件用Windows Management Instrumentation机制制作的受害者指纹,木马会以以下参数运行WMIC.exe:

C:\WINDOWS\system32\wbem\WMIC.exe computersystem get Name /format:list
C:\WINDOWS\system32\wbem\WMIC.exe os get installdate /format:list
C:\WINDOWS\system32\wbem\WMIC.exe path CIM_LogicalDiskBasedOnPartition get Antecedent,Dependent

然后模块会将收集的ids连接起来来计算MD5哈希值,这就是受害者的最终idact域表示通信的阶段,之后HTTP POST控制服务器会返回JSON {“rt”:”30″},客户端会在HTTP POST中继续下一个act

C2会发送一个JSON格式的命令来执行,包括上传和下载文件、截屏、找出*.rar格式的文件。

其他恶意软件

除了木马本身外,Octopus开发者还使用密码复制工具fgdump

IOC
文件哈希

87126c8489baa8096c6f30456f5bef5e
ee3c829e7c773b4f94b700902ea3223c
38f30749a87dcbf156689300737a094e
6e85996c021d55328322ce8e93b31088
7c0050a3e7aa3172392dcbab3bb92566
2bf2f63c927616527a693edf31ecebea
d9ad277eb23b6268465edb3f68b12cb2

域名和IP

85.93.31.141
104.223.20.136
5.8.88.87
103.208.86.237
185.106.120.240
204.145.94.101
5.188.231.101
103.208.86.238
185.106.120.27
204.145.94.10
hovnanflovers.com
latecafe.in
certificatesshop.com
blondehairman.com
porenticofacts.com

上传和下载文件的URL:

www.fayloobmennik.net/files/save_new.html
http://uploadsforyou.com/download/
http://uploadsforyou.com/remove/

保存一阶段.php脚本的位置:

148.251.185.168
185.106.120.46
185.106.120.47
46.249.52.244
5.255.71.84
5.255.71.85
88.198.204.196
92.63.88.142

返回.php脚本的域名:

giftfromspace.com
mikohanzer.website
humorpics.download
desperados20.es
prom3.biz.ua

点击收藏 | 0 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖