Turla如何利用水坑攻击植入后门

小编给大家分享一下Turla如何利用水坑攻击植入后门，相信大部分人都还不怎么了解，因此分享这篇文章给大家参考一下，希望大家阅读完这篇文章后大有收获，下面让我们一起去了解一下吧！仅供学习参考使用Turla至少破坏了四个Armenian网站，其中包括两个政府网站。因此，目标可能包括政府官员和政客。以下网站遭到入侵：armconsul [.] ru：俄罗斯亚美尼亚大使馆领事处mnp.nkr [.] am：Artsakh共和国自然保护和自然资源部aiisa [.] am：亚美尼亚国际和安全事务研究所adgf [.] am：亚美尼亚存款担保基金这些网站至少从2019年初就遭到了入侵。Turla利用非法访问向网站中插入恶意JavaScript代码。例如，对于mnp.nkr [.] am，在jquery-migrate.min.js（常见的JavaScript库）的末尾附加了混淆的代码，如图1所示:改代码会从’skategirlchina[.]com/wp-includes/data_from_db_top.php.’下载额外的JavaScript脚本。从2019年11月开始发现该网站不再传播恶意脚本,Turla组织似乎是暂停了他们的活动。访问受感染的网页后，skategirlchina [.]com会植入第二阶段的恶意JavaScript，并为访问者的浏览器添加指纹。图2显示了此脚本的主要功能。如果这是用户浏览器第一次执行该脚本，它将添加一个evercookie，该cookie具有由服务器提供的随机MD5值，该值在每次执行脚本时都不同。 evercookie是基于GitHub代码实现的。它使用多个存储位置（例如本地数据库，Flash cookie，Silverlight存储等）来存储cookie值。与常规Cookie相比，它的持久性更高，如果用户只是删除浏览器的Cookie，它不会被删除。该evercookie将用于识别用户是否再次访问了受感染的网站。当用户第二次访问时，先前存储的MD5值可以用来识别第二次访问行为。它会收集浏览器插件列表，屏幕分辨率和各种操作系统信息，由POST发送到C＆C服务器。如果有答复，则认为它是JavaScript代码，并使用eval函数执行。如果攻击者对感染目标感兴趣，服务器会用一段JavaScript代码进行答复。此活动中Turla只对非常有限的访问网站目标感兴趣。之后会向用户显示假的Adobe Flash更新警告，如图3所示，目的是诱使他们下载恶意的Flash安装程序。没有观察到任何浏览器漏洞的利用技术，活动中仅依靠社会工程技巧。如果用户手动启动了该可执行文件，则会安装Turla恶意软件和合法的Adobe Flash程序。图4是从最初访问受感染的亚美尼亚网站后恶意负载的传递过程。一旦用户执行了伪造的安装程序，它将同时执行Turla恶意软件和合法的Adobe Flash安装程序。因此，用户可能认为更新警告是合法的。在2019年8月前，受害人将收到一个RAR-SFX，其中包含一个合法的Adobe Flash v14安装程序和另一个RAR-SFX。后者包含后门的各种组件。最新版本是由Telsy在2019年5月记录。Skipper通讯模块使用的远程JavaScript和恶意文件服务器为C＆C服务器，Skategirlchina [.com / wp-includes / ms-locale.php。8月末发现了新的恶意负载，新的恶意负载是一个.NET程序，它在％TEMP％ adobe.exe中删除了Adobe Flash v32的安装程序，在％TEMP％ winhost.exe中删除了NetFlash（.NET下载程序）。根据编译时间戳记，恶意样本是在2019年8月底和2019年9月初编译的。NetFlash负责从硬编码URL下载其第二阶段恶意软件，并使用Windows计划任务建立持久性。图5显示了NetFlash功能，下载名为PyFlash的第二阶段恶意软件。还发现另一个NetFlash样本，该样本在2019年8月底编译，具有不同的硬编码C＆C服务器：134.209.222 [.] 206:15363。第二阶段后门是py2exe可执行文件。 py2exe是一个Python扩展，用于将Python脚本转换为Windows可执行文件。这是Turla开发人员第一次在后门使用Python语言。后门通过HTTP与硬编码的C＆C服务器通信。在脚本免费云主机域名的开头指定了C＆C URL以及用于加密网络通信的其他参数（例如AES密钥和IV），如图6所示。该脚本的主要功能（如图7所示）将机器信息发送到C＆C服务器，还包括与OS相关的命令（systeminfo，tasklist）和与网络相关的命令（ipconfig，getmac，arp）的输出结果。C＆C服务器还可以以JSON格式发送后门命令。命令有：1、从给定的HTTP（S）链接下载其他文件。2、使用Python函数subprocess32.Popen执行Windows命令。3、修改Windows任务，定期（每X分钟；默认为5分钟）启动恶意软件。4、杀死（卸载）恶意软件。为了确认此指令，恶意软件使用以下字符串将POST请求发送到C＆C服务器：Turla仍将水坑攻击作为其初始入侵目标的策略之一。此活动依社交工程学技巧，利用虚假的Adobe Flash更新警告来诱使用户下载并安装恶意软件。另一方面，有效载荷发生了变化，可能是为了逃避检测，恶意负载为NetFlash，并安装名为PyFlash的后门，该后门是使用Python语言开发的。websitehttp://www.armconsul[.]ru/user/themes/ayeps/dist/js/bundle.0eb0f2cb2808b4b35a94.jshttp://mnp.nkr[.]am/wp-includes/js/jquery/jquery-migrate.min.jshttp://aiisa[.]am/js/chatem/js_rA9bo8_O3Pnw_5wJXExNhtkUMdfBYCifTJctEJ8C_Mg.jsadgf[.]amC&C servershttp://skategirlchina[.]com/wp-includes/data_from_db_top.phphttp://skategirlchina[.]com/wp-includes/ms-locale.phphttp://37.59.60[.]199/2018/.config/adobehttp://134.209.222[.]206:15363http://85.222.235[.]156:8000样本MITRE ATT&CK techniques以上是“Turla如何利用水坑攻击植入后门”这篇文章的所有内容，感谢各位的阅读！相信大家都有了一定的了解，希望分享的内容对大家有所帮助，如果还想学习更多知识，欢迎关注云编程开发博客行业资讯频道！

相关推荐: 如何检测Linux Guest VM使用的哪种虚拟化技术

本篇文章给大家分享的是有关如何检测Linux Guest VM使用的哪种虚拟化技术，小编觉得挺实用的，因此分享给大家学习，希望大家阅读完这篇文章后可以有所收获，话不多说，跟着小编一起来看看吧。如果我有一台基于云的虚拟机，并且运行了Ubuntu或CentOS的…