安全路透社
当前位置:安全路透社 > 网络转载 > 正文

“双子星”文档攻击预警 – 新型的跨平台恶意文档攻击分析报告

概述及预警

近日,360公司核心安全部QEX团队和追日团队发现了一种新型的跨平台恶意文档攻击开始流行,并捕获到了该攻击在野外出现的恶意样本。该恶意文档支持跨平台攻击,使用了白利用、无文件和windows安全策略绕过等高端攻击技术。以往的office文档只针对windows操作系统和苹果操作系统分别进行攻击,而最新的攻击样本兼容了两个操作系统,用户无论是在哪个系统打开这个文档,都有可能中招,我们将其命名为“双子星”文档攻击。

1.png

图1

攻击影响分析

攻击影响安装了office软件的MacOS和windows系统,目前野外出现了少量恶意样本,暂未出现大规模利用的情况。

攻击形式分析

攻击者利用OFFICE软件的宏功能发起攻击,宏功能一般用作批量处理办公文档,由于其强大的功能也被黑客利用制作恶意文档,但OFFICE软件的宏功能在MacOS上并不被人关注,这个功能在MacOS上也能良好运作。宏功能是默认关闭的,但仍然会有运行安全提示,用户打开文档后,大都会忽略安全提示,直接运行宏导致中招。

2.png

图2

3.png

图3

新型office恶意样本技术分析

通过对捕获样本分析,我们发现样本使用宏内建的预定义语法对mac和windows平台进行兼容。

MAC攻击分析

如果是mac平台,则通过一行shell脚本执行代码,恶意样本就会从自身定义的文档属性M值中读取预先写好的url。

4.png

图4

然后使用curl 下载恶意代码,通过管道符传递给Python解释器执行。

5.png

图5

由于mac的系统环境内置了python程序,目前这种使用一句话shell脚本执行Python恶意代码的荷载攻击方式,在mac平台上非常流行。

6.png图6

windows攻击分析

如果是windows平台,恶意样本首先会确定处理器构架是X86 还是 X64

7.png

图7

然后从文档属性中读取预先准备好的数据

8.png

图8

9.png图9

数据其实是2个压缩率为0的zip包,解压后为2个PE,分别对应X86和X64构架使用

10.png

图10

为创建的新进程设置父进程为Explorer.exe

11.png

图11

当前版本使用计划任务来执行释放的PE文件

12.png

图12

并继续从预先设置的文档属性中读取数据,来配置计划任务描述信息

13.png

图13

14.png

图14

计划任务添加完成后,将受害者机器信息通过post请求返回给控制端。

15.png

图15

数据包如下。

16.png

图16

安全措施绕过及攻防分析

该样本的执行利用了InstallUtil.exe来启动 .net 的dll文件,该技巧通常用于绕过applocker 等极其严苛的白名单限制工具策略,同时该样本还使用了x86和x64的两套.net 的dll适配不同系统环境。

17.png

图17

从执行的命令行中获取UpdateServer和 ID 的参数作为变量,然后调用GetFile函数从远程网页中获取查找信息,使用内置的key,调用Crypt函数解密获取的shellcode,最后调用Inject函数在自身内存中执行shellcode。

18.png

图18

GetFile函数从网页中匹配正则表达式“‘showandtell’>(.*?)<” ,把获取到的数据用base64解码返回,远控平台支持配置成https格式的并且验证证书有效性,可以阻碍安全工程师排查分析。

19.png

图19

20.png

图20

21.png

图21

解密shellcode的Crypt函数

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册