警惕!APT35组织正利用 Log4j 漏洞分发新型模块化后门
APT35是疑似伊朗国家支持的APT组织,又名 Charming Kitten、TA453 或 Phosphorus。1月11日,研究人员披露,该组织正利用Log4Shell漏洞,释放新的模块化PowerShell后门。
简况
APT35组织在目标应用安全更新之前率先利用该漏洞扫描易受攻击的系统。模块化有效载荷名为CharmPower,可以处理 C2 通信、执行系统枚举,并最终接收、解密和加载其他模块。APT35组织活动的感染链如下图:
该核心模块可以执行以下主要功能:
- 验证网络连接:执行后,脚本通过使用参数 hi=hi 向 Google.com 发出 HTTP POST 请求来等待活动的网络连接。
- 基本系统枚举:该脚本收集 Windows 操作系统版本、计算机名称以及 $APPDATA 路径中的文件 Ni.txt 的内容;该文件可能由不同模块创建和填充。
- 检索 C&C 域:恶意软件解码从硬编码 URL hxxps://s3[.]amazonaws[.]com/doclibrarysales/3 检索的 C&C 域。
- 接收、解密、执行后续模块。
核心模块不断向 C2 发送 HTTP POST 请求,C&C 服务器可以通过以下两种方式之一进行响应:
- NoComm:无命令,脚本继续发送 POST 请求。
- Base64 字符串:要执行的模块。该模块使用简单的替换密码进行加密,并以 base64 编码。
Base64 字符串启动下载额外的 PowerShell 或 C# 模块。“CharmPower”负责解密和加载这些模块,然后这些模块与 C2 建立独立的通信通道。要发送到受感染端点的模块列表是根据 CharmPower 在侦察阶段检索到的基本系统数据自动生成的。
C2发送的附加模块如下:
- 应用程序:枚举卸载注册表值并使用“wmic”命令确定受感染系统上安装了哪些应用程序。
- 屏幕截图:根据指定的频率捕获屏幕截图,并使用硬编码凭据将它们上传到 FTP 服务器。
- 进程:使用 tasklist 命令获取正在运行的进程。
- 系统信息:执行“systeminfo”命令以收集系统信息。
- 命令执行:具有 Invoke-Expression、cmd 和 PowerShell 选项的远程命令执行模块。
- 清理:删除受感染系统中留下的所有痕迹,例如注册表和启动文件夹条目、文件和进程。
归因
“CharmPower”后门与 APT35 过去使用的 Android 间谍软件之间具有相似之处,包括实现相同的日志记录功能并使用相同的格式和语法。此外,在两个样本中都可以看到 C2 通信中的“Stack=Overflow”参数,这是仅在 APT35 工具中观察到的独特参数。研究人员基于这些代码的相似性和基础设施重叠将活动归因于 APT35。
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
Night Sky,一种针对企业的新型勒索软件 - 网络·安全技术周刊第520期
【责任编辑:贺鑫 TEL:(010)68476606】
- 下一篇
Google呼吁政府参与和保护关键开源项目 避免Log4j漏洞重演
美国当地时间周四白宫举办的开源安全峰会之后,Google 呼吁政府更多地参与识别和保护关键的开源软件项目。在峰会结束后不久发表的一篇博文中,Google 和 Alphabet 的全球事务总裁和首席法律官肯特·沃克(Kent Walker)说,政府和私营部门之间需要合作,以进行开源资金和管理。 沃克写道:“我们需要公私合作,确定一份关键开源项目的清单--关键程度根据项目的影响力和重要性来确定--以帮助优先考虑和分配资源,用于最基本的安全评估和改进”。 该博文还呼吁增加公共和私人投资,以保持开源生态系统的安全,特别是当软件被用于基础设施项目时。在大多数情况下,此类项目的资金和审查是由私营部门进行的。 截至发稿时,白宫尚未对评论请求作出回应。 沃克写道:“开放源码软件代码是向公众开放的,任何人都可以免费使用、修改或检查......。这就是为什么关键基础设施和国家安全系统的许多方面都采用了它。但没有官方的资源分配,也没有什么正式的要求或标准来维护该关键代码的安全。事实上,大多数维护和加强开源安全的工作,包括修复已知的漏洞,都是在临时的、自愿的基础上完成的”。 长期以来,开源开发的资金和资源短缺...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- CentOS8安装MyCat,轻松搞定数据库的读写分离、垂直分库、水平分库
- SpringBoot2初体验,简单认识spring boot2并且搭建基础工程
- Docker快速安装Oracle11G,搭建oracle11g学习环境
- 2048小游戏-低调大师作品
- Linux系统CentOS6、CentOS7手动修改IP地址
- CentOS8安装Docker,最新的服务器搭配容器使用
- Docker使用Oracle官方镜像安装(12C,18C,19C)
- Windows10,CentOS7,CentOS8安装Nodejs环境
- SpringBoot2更换Tomcat为Jetty,小型站点的福音
- 设置Eclipse缩进为4个空格,增强代码规范