奇安信攻防社区-一次针对安全人员免杀工具的投毒事件分析

一次针对安全人员免杀工具的投毒事件分析

**0X01 事件概述**
=============

小二在日常安全运营中发现公司某部门同事终端触发了powershell远程下载的告警。调查发现其在github 上下载的免杀工具，调用powershell下载了后门程序，经过分析后门为远控软件，疑似对安全人员一次投毒攻击。

**0x02 事件处置**
=============

2022/08/22 15:54:52发现一终端触发powershell远程下载告警，经过初步分析该命令作用为下载两个exe文件并执行。联系受害者，断网，上机提取样本，排查持久化，重启。

powershell远程下载的地址为：

```php
https://cdn.discordapp\[.\]com/attachments/970173239244488825/1010928604487626893/Exe\_Converter.exe

https://billing-seruice\[.\]com/files/7exGqJhF9PlC.exe
```

通过访问下载的链接获取到了样本，发现两个样本均会报毒,第二个样本为后门。

![图片1.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-206a5e7496e221ebad6e82f685d93debc7b2b463.png)

![图片2.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-0959dea037dba3566c8d37631061c874761d9069.png)

0x03 样本分析
=========

受害者是通过<https://github.com/corpXd/Exe-To-Rp>下载到工具，运行后触发的告警。使用IDA对其 进行分析，发现该exe只有一个功能，使用shellexecuteA执行一段powershell命令，如下图所示：

![图片3.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-ac277bef3fbbbe1c7fbc12953538ba2e4e98714e.png)  
使用工具对该命令进行解密，发现该命令的功能是下载正常的Exe\_Converter.exe（免杀工具），然后再下载一个名为7exGqJhF9PlC.exe的文件并执行：

![image.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-236ebe03887e8dbf66a5bc119fdd642479db9587.png)

**对远程下载的Exe\_Converter.exe进行分析：**
---------------------------------

分析Exe\_Converter.exe发现，该样本是一个将二进制文件转为图片的工具，作者为韩国人

读取exe文件：

![图片5.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-2eea6c36ba733f8c0328e8ac4b93d90e7302f526.png)

将exe转为图片：

![image.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-991c6aca3e939f7bb1744d8b99ea3a77a01c48ee.png)  
作者的信息：

![图片7.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-80d3489e1cdb604d1ad7732961b7eaf91903f17f.png)

**对7exGqJhF9PlC.exe进行分析：**
--------------------------

该木马使用了伪造的签名，签名时间为8月21日：

![图片8.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-211d6a262c216143edd79cc661789ca1e1b6931e.png)

该木马进行了大量的混淆，最后会在内存中执行一个pe文件，但是该文件并不是一个标准的PE文件：

![图片9.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-f35d79189a795477ef38b1f71777c14e7a4ab1e9.png)

![图片10.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-e92cb39e90a56b4db929c1b9d6b6603b3da61e39.png)  
该内存加载的文件会对进程，文件，机器名称，用户名进行对比，以用于确定是否是在被调试或者是否是在沙箱环境

![图片11.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-29e0228eb7777a0b9f2db616cc65ebde67026ddb.png)

将自身复制到C:\\\\Users\\\\Administrator\\\\AppVerif（当前用户的AppVerif目录下，该目录是后面创建的），并命名为DllHelper.exe

![图片12.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-fe3c6738ba708bc2dc635ac652be34c61762eb23.png)  
然后创建计划任务，计划任务名字为COMSurrogate

![图片13.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-85353bc03bed2870179233d3a7a9bac6b6199423.png)

自删除操作，使用ping延迟执行。  
   
![图片14.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-92407ecc88ab47d9b8a8fd23eae5e468b21e87f6.png)

然后计划任务会启动dllhelper,dllhelper会将真正的马注入到InstallUtil.exe

**对注入到InstallUtil.exe的pe文件的分析：**
--------------------------------

该文件为32位的.net文件，该文件基于github开源项目Dcrat魔改，魔改的版本为1.0.7，该样本相较于原始木马添加了amsi的绕过功能

数据包特征：

![图片15.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-bcaa93b7df630a5d713661ae0a0936594ce43d54.png)

Dcrat版本信息：

![图片16.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-091821a68607503aec7c63550448a047ff7f5440.png)

该样本会从pastebin拉取c2的地址：

![图片16.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-37b26bcd3bd1273012db7de9e7c0c6dbcae75f03.png)

![图片17.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-763a99b202b5690198dfb82087cea9ed022b38eb.png)

![图片18.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-5f13e5efac0a1bf1f5854b589c86062099a58e5d.png)

该端口在不停变化，说明攻击者在不断更新

![图片19.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-6e297798aeca1f6a902999bedc8d0dcf03845ff1.png)

Dcrat使用了多种的规避技术：

1.Bypass Amsi的技术，使用patch Amsi.dll的手法来进行绕过

![图片20.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-b7f5bf46b709cd922df375864827114e6facd12b.png)

2.查找可疑进程并终止

![图片21.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-f2cab2286730af831860b593bf2dfdd21ff420d6.png)

3.通过wmi判断当前环境是否为虚拟机环境

![图片22.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-2e5967f808bdb149b53d96c94c70a57aeb60edd0.png)

在这次的样本中并没有开启反虚拟机和反可疑进程功能

![图片24.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-ea6b1a8ee9ab661894f8e7964f9b326132e77eb6.png)

**样本执行流程**
----------

![图片23.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-4c9f2630baa4ee56191145578751da4a06505cea.png)

**TTPS:**
---------

|  |  |  |  |  |
|---|---|---|---|---|
| Initial Access | Execution | Persistence | Defense Evasion | command and control |
| powershell远程下载 | powershell执行 | 计划任务 | Patch amsi | DcRat |
|  | 计划任务 |  | ollvm | Ngrok（内网穿透，隐藏C2，防止溯源） |
|  |  |  | sleep for a long time |  |
|  |  |  | anti sandbx（查看用户名，进程） |  |
|  |  |  | anti vm（查看文件，用户名） |  |
|  |  |  | self delete |  |
|  |  |  | process injection |  |
|  |  |  | PEtoShellcode |  |
|  |  |  | 伪造签名 |  |

**0x04 样本行为日志分析**
=================

8.22日11.11分左右，用户解压了下载下来的工具压缩文件，其中释放的Exe\_Converter.exe就是带有后门的工具程序：

![图片25.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-3a8d25be1565fe817dfcf6131a51a1079047ab44.png)

随后用户点击了Exe\_Converter.exe，该进程调用了powershell执行远程下载操作：

![图片26.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-7ccb9565e035fa688a5ab085542249f1db42a339.png)

powershell先是在temp目录下又下载了一个Exe\_Converter.exe：

![图片27.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-d226fc8973061a2b1e997a2b0fd8ca6ba243d996.png)

然后下载了一个7exGqJhF9PlC.exe：

![图片28.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-f83bc25e8a3dc797493faa9a8b7593d324b7a5c4.png)

powershell指令解码结果如下，可以看到使用Start-Process函数启动下载在Temp目录下的7exGqJhF9PlC.exe和Exe\_Converter.exe

![图片29.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-55a90520952dbe930114cc0fd4e3e3833a75c0b5.png)

7exGqJhF9PlC.exe进程被启动：

![图片30.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-3a48722f452166c50bf6424eb8d9adf9e13e56c1.png)

然后7exGqJhF9PlC.exe在C:\\Users\\Administrator\\AppVerif下创建了一个DllHelper.exe，7exGqJhF9PlC.exe进程退出：

![图片31.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-60839f4a63c1697f1ca9250deffcc4da67856ce1.png)

7exGqJhF9PlC.exe 进程在退出前是要启动 DllHelper.exe和 schtasks.exe（疑似要做计划任务权限维持）的，但是进程调用被防护软件拦截，7exGqJhF9PlC.exe 和 DllHelper.exe 随后也被查杀：

![图片32.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-0df3bbb8860edc180689aaf29b921668b648538e.png)

通过DllHelper.exe的hash查询到该文件也是7exGqJhF9PlC.exe，只是改了个名字

![图片33.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-80b633766af90f4a0831b49eb39ce86758846e81.png)

**0x05 样本动态分析**
===============

在个人网络虚拟机环境运行DllHelper.exe（11.exe），发现有复制自身到AppVerif目录下，并添加进注册表启动项进行权限维持的行为：

![图片34.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-e7f2543298e646d0c0e814c9f1db70b60d7b25fb.png)  
然后原始的DllHelper.exe（11.exe）启动了释放的DllHelper.exe，DllHelper.exe启动了系统进程InstallUtil.exe，由系统进程与C2通信：

![图片35.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-da63c739b5e4d02975b359c0436bc758e4c5870c.png)

经过测试发现外联IP并不固定，解析的两个域名一个为白，一个为黑，近期标签显示为njRAT远控和CobaltStrike木马：

攻击者是从另一个白域名pastebin.com（一个公共的记事本类型的网站，可以将发布的信息共享出去，会给每条发布的信息生成永久的url和短链）拉取的下一阶段的域名，[0.tcp.ap.ngrok.io](http://0.tcp.ap.ngrok.io)是一个内网穿透工具的域名，用于隐藏C2。

在动态分析样本的过程中，发现外联C2之后，对面是活跃状态，在翻机器上的文件，并实施了密码抓取操作：

![图片36.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-a3b2527ac19d73f4ac5ef3f7aa3d833937a34f5f.png)

**0x06 溯源分析**
=============

样本来源：<https://github.com/corpXd>

![图片37.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-dbf552faa0241403e6829ac76173ba4afcb2d7ed.png)

疑似作者在[breached\[.\]to](http://breached.to)上发过帖子

[https://breached\[.\]to/Thread-Exe-to-RP-convertor-bypass-AV-0-26-or-3-26](https://breached.to/Thread-Exe-to-RP-convertor-bypass-AV-0-26-or-3-26)

![图片38.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-4f4a4b11fc15ce6f58ba4e496220c4d4ce03b37e.png)  
<https://billing-seruice.com/files/> 上都疑似攻击者存的更多的木马及脚本。

![image.png](https://shs3.b.qianxin.com/attack_forum/2022/09/attach-2885645694f9ba684ce06729c86bb80cdd42fa52.png)  
IOC:

C2:

<https://pastebin.com/raw/31VUe5a9>

0.tcp.ap.ngrok.io:17784

<https://github.com/corpXd/Exe-To-Rp/blob/main/Exe-Convertor.zip>

[https://cdn.discordapp.com/attachments/970173239244488825/1010928604487626893/Exe\\\_Converter.exe](https://cdn.discordapp.com/attachments/970173239244488825/1010928604487626893/Exe%5C_Converter.exe)

<https://billing-seruice.com/files/7exGqJhF9PlC.exe>

MD5:

1B0221F9C4C1E81542B3A067B95E90A1 7exGqJhF9PlC.exe

EBF6F6F421EA6075F368DCCF6DED82BD Exe\_Converter.exe

7762824DE5BEBC4245150F90B327D26D Exe\_Converter.zip

**0x07 总结**
===========

此次攻击疑似对安全人员的水坑攻击，在安全工具里内置后门，通过powershell下载样本，样本自删除，伪装系统进程，并进行进程注入，使用了DCRAT远控，并用pastbin，ngrok域名隐藏C2，后续进行权限维持，翻找文件、提取密码等动作。这次攻击也提醒，安全从业者，陌生的工具使用须谨慎。

发表于 2022-09-15 09:33:08
阅读 ( 17977 )
分类：应急响应

1 条评论

NiKo 2022-11-30 09:05

tql师傅