首页 > 业界 > 关键词  > Color最新资讯  > 正文

Mandiant曝光黑客组织假借招聘和WhatsApp发起PuTTY钓鱼攻击

2022-09-17 16:38 · 稿源: cnbeta

Mandiant 托管防御服务产品以主动威胁搜寻计划而被人们所熟知,旨在保护客户免受绕过传统检测机制的高级威胁参与者工具、策略和技术的侵害。2022 年 7 月,在一家媒体行业公司的主动威胁搜寻工作中,Mandiant Managed Defense 揪出了被 UNC4034 组织所利用的新一轮网络钓鱼活动。

1.png

(来自:Mandiant Blog)

Mandiant 认为 UNC4034 与朝方的几个组织有重叠,其通过 WhatsApp 即时通讯服务与受害者建立了联系,并引诱其下载恶意 ISO 包。

然而 Mandiant Intelligence:Staging Directories 检查发现(通过搜索写入常用目录的异常文件),其明面上有提到虚假的工作机会、但实质上是利用 PuTTY 来部署 AIRDRY.V2 木马后门。

2.png

官方原版 / 恶意修改版 PuTTY 的数字签名对比

PuTTY 是一款开源的 SSH 与 Telnet 客户端,最初线索显示器下载了名为 amazon_assessment.iso 的档案文件。

而从 Windows 10 开始,系统已能够通过双击自动加载虚拟光驱。与 RAR 等其它格式相比,这减少了查看嵌入文件所需的工作量。

通过 Mandiant Managed Defense 对主机展开深入调查,可知 UNC4034 通过电子邮件向受害者忽悠可提供在亚马逊工作的机会而建立联系。

随后该组织会利用 WhatsApp 与之通信并传送 amazon_assessment.iso 文件,且里面有个可执行文件(PuTTY.exe)和一个文本文件(Readme.txt)。

3.png

原版 PuTTY / 恶意样本中的 .data 部分

随着恶意 PuTTY 在目标主机上被执行,受害者的机器也被植入了后门,Mandiant 识别其为 AirDry 的一个变种。

尽管 Mandiant Managed Defense 早在 7 月 5 日就调查到了入侵,并在潜在的后门部署前控制住了主机。

但更早的 6 月 27 日,VirusTotal 就已经发现了同名的 PuTTY 可执行文件。

此外 Mandiant 发现了第二个名为 amazon_test.iso 的 ISO 存档,可知其于 6 月 17 日被 VirusTotal 数据库给收录。

Fig - 1.png

类似构造的恶意软件,最终都是为了加载 AirDry.V2 后门这个有效载荷。钓鱼手段方面,攻击者加装自己是亚马逊的招聘评估人员。

通过分析 ISO 镜像中的文件,可知两者带有相同的木马化 PuTTY 可执行文件、以及位于自述文件中的服务器端 IP 地址。

每个样本中包含的恶意代码,会将嵌入式有效载荷写入磁盘并启动,但不同样本还可能将木马插入到代码中的不同位置。

比如 VirusTotal 检出的样本,就看到了被插入 ssh2_userauth_process_queue 函数中的恶意代码(源文件在 putty-0.77sshuserauth2-client.c)。

4.png

执行恶意样本时的 PuTTY 图形界面

与公钥或键盘交互等其它验证方法不同的是,该代码位于负责执行密码验证的函数部分。一旦用户建立连接并输入他们的账密,恶意代码就会被执行,而无论身份验证的结果到底如何。

此外两个样本中丢弃和执行有效负载的恶意代码部分几乎相同:

合法的 Windows 可执行文件 C:WindowsSystem32colorcpl.exe 被复制到了 C:ProgrAMDataPackageColor 这个新目录。

嵌入的有效负载则被写入了 C:ProgramDataPackageColorcolorui.dll,期间可观察到如上图所示的劫持与命令启动。

Fig - 5 6.png

接下来被执行的 colorcpl.exe 二进制文件则来自 C:WindowsSystem32cmd.exe /c start /b C:ProgramDataPackageColorcolorcpl.exe 0CE1241A44557AA438F27BC6D4ACA246 。

不过在 VirusTotal 的示例中,cmd.exe 并未用于启动 colorcpl.exe —— 因为 Windows API 函数 WinExec 会执行上述命令。

两种情况下,传递过来的 colorcpl.exe 命令行参数,都与 Windows 可执行文件的合法功能无关。相反,每个参数都被恶意的动态链接库所使用。

先是通过 schtasks.exe 为 C:ProgramDataPackageColorcolorcpl.exe 建立持久性,然后借助名为PackageColor 的计划任务,在每天上午 10:30 执行该二进制文件。

Fig - 7 8.png

至于 colorui.dll 样本,检测发现它是由商业软件保护程序 Themida 打包的。

解压后的样本,包含了揭示其用途(ShellCodeLoader)的嵌入式文件路径 ——

W:DevelopaToolShellCodeLoaderApplibressl-2.6.5cryptocryptlib.c

—— 两个样本都包含了一个名单 DAVESHELL 的相同 shellcode 有效负载。

然后使用基于 XOR 的自定义算法和动态生成的密钥对有效负载进行解密可得如上图所示的字符串。

Mandiant 指出,包含的该密钥,也可作为一种反分析机制 —— 若缺少正确的密钥,则执行 DLL 时不会触发任何重要的操作。

举报

  • 相关推荐
  • 大家在看
  • Video2Game:从单一视频创建实时互动游戏环境

    Video2Game是一项技术,可以将单一视频转换成具有实时、互动、真实感和浏览器兼容性的高质量虚拟环境。它通过构建大规模的NeRF模型来实现高质量的表面几何形状,然后将该模型转换为带有对应刚体动力学的网格表示,以支持交互。使用UV映射的神经纹理,既能表达丰富,又与游戏引擎兼容。最终得到的是一个虚拟环境,虚拟角色可以与之互动,响应用户控制,并能从新的相机视角实时提供高分辨率渲染。

  • Cohere Compass:多方面数据索引与搜索模型

    Cohere Compass是一款新型的多方面嵌入模型,专为解决企业数据中的多重概念和关系检索挑战而设计。它能够将数据以JSON格式传递至嵌入模型,转换后存储在向量数据库中,保持元数据和文本的同时,捕捉多方面数据中概念间的关系。与传统的RAG流程相比,Compass通过其SDK将电子邮件及其附件解析为单一JSON,生成包含多方面表示的嵌入输出,从而在搜索时能够准确理解和匹配查询中的不同方面。

  • Ctrl-Adapter:视频生成的精细控制工具

    Ctrl-Adapter是一个专门为视频生成设计的Controlnet,提供图像和视频的精细控制功能,优化视频时间对齐,适配多种基础模型,具备视频编辑能力,显著提升视频生成效率和质量。

  • Reka Core:强大的多模态LLM,商业解决方案

    Reka Core是一个GPT-4级别的多模态大型语言模型(LLM),具备图像、视频和音频的强大上下文理解能力。它是目前市场上仅有的两个商用综合多模态解决方案之一。Core在多模态理解、推理能力、编码和Agent工作流程、多语言支持以及部署灵活性方面表现出色。

  • 2txt:快速将图片中的文字转换为可编辑文本

    2txt是一个在线OCR工具,能够将图片中的文字内容快速识别并转换成可编辑的文本格式。它支持多种语言的识别,并且操作简单,用户只需上传图片即可获得结果。该工具不存储用户上传的图片,保证了用户数据的隐私安全。

  • 法行宝:AI智能法律分析工具

    法行宝是一款集成了人工智能技术的法律服务平台,旨在为用户提供专业的法律意见和文书参考。通过预设问题引导用户提供必要信息,结合《中华人民共和国民法典》等相关法律法规,生成详细的法律意见书。法行宝不仅提供离婚流程指导、文书模板下载,还包含人性化的行动建议和扩展资料,帮助用户全面理解并应对法律问题。

  • Adobe Acrobat AI Assistant:AI智能助手,文档快速理解与生成

    Adobe Acrobat的AI助手是一个集成在Acrobat中的创新功能,它可以帮助用户通过提问来理解文档内容,快速获取信息并生成内容。这项功能特别适合需要从文档中提取关键信息并快速创建电子邮件、演示文稿、会议记录等的用户。AI助手可以生成文档摘要,提供基于文档内容的建议问题,帮助用户更有效地探索和理解内容。此外,Adobe Acrobat的AI助手遵循Adobe的AI伦理原则,确保用户数据的安全和透明。

  • AI Voice Generator Bot:使用人工智能将文本转换为音频

    AI语音生成器是一个简单易用的产品,它使用人工智能技术将文本转换为音频。它提供了多达25种不同的声音,完美演绎英语。您只需在Telegram上输入文本,我们即可回复相应的音频,无需等待。立即试用,快速将文本转换为语音。

  • Glaze:保护艺术家风格的AI工具

    Glaze是一个旨在保护人类艺术家免受AI风格模仿的系统。通过机器学习算法对艺术作品进行微小改动,使其对人类眼睛看起来不变,但对AI模型则呈现出完全不同的艺术风格。这样,当有人试图模仿特定艺术家的风格时,AI生成的结果将与预期大相径庭。Glaze不是永久解决方案,但是一个必要的第一步,为艺术家提供抵抗AI模仿的工具。

  • FastBots:无需编码,快速创建AI聊天机器人

    FastBots.ai是一个强大的AI聊天机器人平台,允许用户通过上传自己的数据,如网站内容、文档、PDF文件等,来训练并创建定制化的聊天机器人。这些机器人可以无缝集成到网站中,提供24/7的客户支持、销售辅助、个人助理等多种功能。FastBots.ai支持95种语言,提供军事级别的数据加密,无需编程即可通过简单的复制粘贴代码嵌入聊天机器人,还支持与超过5000个应用程序通过Zapier集成。

  • Limitless:超越思维限制的个性化AI助手

    Limitless是一款由人工智能驱动的生产力工具,旨在帮助用户突破思维限制,通过保存对话和提供个性化AI问答来增强记忆力和专注力。产品形态包括可穿戴设备和应用程序,支持会议准备、实时转录、自动笔记和会议总结等功能,无需额外的机器人加入会议,且提供无限存储空间。

  • Adobe Premiere Pro:AI驱动的视频编辑软件

    Adobe Premiere Pro是一款功能强大的视频编辑软件,集成了AI技术,旨在简化复杂的编辑任务并加速编辑流程。软件提供了文本基础编辑、音频分类标签、语音转文字、增强语音、场景检测、自动色彩调整、形态变换、颜色匹配、音频自动调节、自动重构等功能,大大提高了编辑效率和创作可能性。Premiere Pro适用于社交媒体短视频制作到长片电影的编辑,帮助用户节省时间,专注于创意和故事讲述。今年晚些时候,Adobe Premiere Pro计划推出第三方AI模型功能,使编辑人员能够选择最适合其素材的模型,从而提升编辑体验。这些AI模型包括OpenAI的Sora模型、Runway AI和Pika的视频模型。此外,Premiere Pro还将提供内容验证功能,帮助用户了解他们是否使用了AI以及使用了哪个模型来进行媒体创作。

  • SuperMemory:用打造你的第二大脑

    supermemory是一个帮助用户整理和回顾互联网上保存内容的工具,类似于为书签打造的ChatGPT。用户可以通过导入推文或使用Chrome扩展保存网站和内容。它包含三个主要模块:主Web UI、Chrome扩展和AI后端处理。旨在帮助用户更有效地管理和回顾信息,提高生产力。

  • Pile-T5:基于Pile数据集训练的T5模型

    Pile-T5是EleutherAI推出的一款自然语言处理模型,它在原有的T5模型基础上,采用了Pile数据集和LLAMA分词器进行训练,以改善对代码任务的理解能力。该模型经过了2万亿个token的训练,是原T5模型训练量的两倍。Pile-T5在多项下游任务中表现出色,尤其是在代码相关任务上。此外,EleutherAI还提供了中间检查点,以便研究人员研究模型随时间的演变。

  • SoraPix AI:创建您梦想中的动漫女孩

    SoraPix是一个AI驱动的图片生成工具,内置多种独特模型,通过简单的几步操作,您可以创建您梦想中的动漫女孩。SoraPix提供衣橱、动漫和图片生成等功能,具有4K高清图像质量和更快的服务速度。您可以通过购买宝石来解锁更多功能和选择。

  • PostHunt:写病毒式推特,AI辅助

    PostHunt是一款通过AI辅助撰写病毒式推特的工具。用户可以描述内容、选择模板,快速在Twitter上获得病毒式传播。PostHunt结合了GPT 4、Claude 3和Gemini 1.5 Pro的强大功能,使用者可以通过三个简单步骤,在15秒内撰写一条病毒式推特。100多位创作者选择了PostHunt,用于撰写病毒式推特,其强大的功能和简单易用的界面备受好评。

  • MejoraImagen:提升图片质量

    MejoraImagen是一个在线图片增强工具,使用智能算法提升像素化、低分辨率、光线不佳等问题的图片质量。只需上传图片到我们的表单,几秒钟内就能得到100%增强的结果。

  • Azyri:AI医疗助手,为您的医疗团队提供最佳支持

    Azyri是一款AI医疗助手,通过骨龄测量和分析,为医疗团队提供准确的诊断和治疗建议。优势包括减轻医疗团队工作负担,提高工作效率,定价根据服务套餐而定。主要功能包括骨龄测量、诊断X射线、医学影像和机器智能分析。

  • Rhea:生成高质量的短视频

    Rhea是一款由人工智能驱动的短视频生成平台。它可以通过文本输入生成高质量、快速、引人入胜的短视频。Rhea还可以为您的视频生成字幕,使其更具可访问性。您还可以自定义字幕的样式,以与您的品牌相匹配。您可以根据需要定制视频的风格,例如使用定制的配色方案和字体。Rhea适用于各种用途的视频生成,从教育内容到营销视频不一而足。

  • LIDO:一键生成独特的AI音乐,为您的歌曲、TikToks、Reels等创作无版权的音乐。

    LIDO是一款AI音乐生成器,可以快速生成带有自定义歌词和风格的独特歌曲。无论您是新手音乐人还是想要探索音乐无限可能性的人,LIDO都是您释放创造力的一站式解决方案。它生成的音乐具有无版权,可以用于您的歌曲、TikToks、Reels等。定价信息请访问官网了解。

今日大家都在搜的词: