Buhtrap黑客組織最新0day漏洞實例分析

今天就跟大家聊聊有關Buhtrap黑客組織最新0day漏洞實例分析，可能很多人都不太了解，為了讓大家更加了解，小編給大家總結了以下內容，希望大家根據這篇文章可以有所收獲。

一直以來Buhtrap組織以其針對俄羅斯的金融機構和企業而聞名。在我們的跟蹤過程中，發現并分析了該組織的主要后門以及其他工具。

自2015年底以來，該組織變為以經濟利益位目的的網絡犯罪組織，其惡意軟件出現于東歐和中亞進行間諜活動中。

2019年6月我們第一次發現Buhtrap使用0day攻擊作。 同時我們發現Buhtrap在攻擊過程中使用了本地提權漏洞CVE-2019-1132。    

在Microsoft Windows中的本地權限提升漏洞利用的是win32k.sys組件中的NULL指針取消引用產生的問題。 該漏洞發現后就已經向Microsoft安全響應中心報告，該中心及時修復了漏洞并發布了補丁。    

歷史活動

下圖中的時間表體現了Buhtrap活動中一些最重要的發展節點。    

在他們的工具在網上開源的時期，很難把該組織的活動和網絡攻擊行為聯系在一起。 然而，由于該組織在目標的轉變后發生了源代碼泄漏的問題，我們迅速高效的分析了該組織攻擊的惡意軟件，明確了該組織針對的企業和銀行目標，同時確認了該組織參與了針對政府機構的攻擊。

盡管新的工具已經添加到他們的武器庫中并且替換了舊版本，但是不同時期的Buhtrap活動中使用的策略、技術和程序并沒有發生顯著變化。 他們主要通過惡意文檔作為載體，并廣泛使用NSIS安裝程序作為droppers。 此外，他們的一些工具會使用有效的代碼簽名證書進行簽名，并利用已知的合法應用程序來作為攻擊載體。

用于傳遞攻擊載荷的文件通常為設計好的釣魚文件，以避免在受害者打開時產生懷疑。對這些釣魚文件為我們的分析提供了可靠的線索。 當Buhtrap目標為企業時，釣魚文件通常是合同或發票。 下圖是該組織在2014年攻擊行為中使用的通用發票的示例。

當該組織將目標對準銀行時，釣魚文件通常與金融系統法規或Fincert的咨詢有關，Fincert是俄羅斯政府創建的一個組織，為其金融機構提供幫助和指導。

因此，當我們第一次看到與政府行動有關的釣魚文件時，我們立即開始跟蹤這些行為。2015年12月，發現了第一批惡意樣本，它下載了一個NSIS安裝程序，該安裝程序的作用是安裝buhtrap后門，釣魚文檔如下圖：    

文本中的URL很有特點， 它與烏克蘭國家移民局網站dmsu.gov.ua非常相似。 該文本以烏克蘭語要求員工提供他們的聯系信息，尤其是他們的電子郵件地址，還試圖說服他們點擊文本中的惡意鏈接。    

這是我們遇到眾多惡意樣本中的第一個，這些樣本被Buhtrap組織用于攻擊政府機構。 我們認為另一個更近期的釣魚文件也是由Buhtrap組織設計的，如圖所示這個文件可以吸引與政府相關的另一類群體。    

0day攻擊分析

該組織在0day攻擊中使用的工具與其用于企業和金融機構的工具非常相似。 我們分析的第一批針對政府組織的惡意樣本哈希為2F2640720CCE2F83CA2F0633330F13651384DD6A。 此NSIS安裝程序下載包含Buhtrap后門的常規包，并顯示如上文提到的2015年12月的釣魚文檔。    

從那以后，我們看到了針對這一政府組織群體的多次攻擊。 攻擊中經常使用漏洞來提升權限，以便安裝惡意軟件。 他們利用了舊的漏洞，如CVE-2015-2387。他們最近使用的0day也采用了相同的模式：利用漏洞以最高權限運行惡意軟件。    

多年來，該組織使用了具有不同功能的軟件包裝。 最近，我們發現并詳細分析了兩個全新軟件包，因為它們與該組織典型的工具集相比發生了變化。    

釣魚文檔包含一個惡意宏，啟用后會刪除NSIS安裝程序。NSIS安裝程序的任務是安裝主后門。 但是此NSIS安裝程序與此組織早期使用的版本不同， 它更簡單，僅用于設置并啟動嵌入其中的兩個惡意模塊。    

后門分析

第一個模塊，稱為“抓取器”，是一個獨立的密碼竊取程序。 它嘗試從郵件客戶端，瀏覽器中獲取密碼，并將它們發送到C＆C服務器。 此模塊使用標準Windows API與其C＆C服務器進行通信。    

第二個模塊是我們從Buhtrap操作人員得到的：一個包含合法應用程序的NSIS安裝程序，將用來安裝Buhtrap主后門。利用的是一種免費的反病毒掃描程序AVZ。    

Meterpreter和DNS隧道

本文檔包含一個惡意宏，啟用后會刪除NSIS安裝程序，該安裝程序的任務是準備安裝主后門。 安裝過程的一部分是設置防火墻規則以允許惡意組件與C＆C服務器通信。 接下來是NSIS安裝程序用于設置這些規則的命令示例：    

```
cmd.exe /c netsh advfirewall firewall add rule name=\”Realtek HD Audio Update Utility\” dir=in action=allow program=\”<path>\RtlUpd.exe\” enable=yes profile=any
```

最終的有效載荷是與Buhtrap傳統工具完全不同的東西。 在其正文中加密了兩個有效負載。 第一個是一個非常小的shellcode下載器，而第二個是Metasploit的Meterpreter。 Meterpreter是一個反向shell，允許其操作員完全訪問被攻擊的系統。

Meterpreter反向shell實際上使用DNS隧道與其C＆C服務器進行通信。對于防御者來說，檢測DNS隧道可能很困難，因為所有惡意流量都是通過DNS協議完成的，而不是常規的TCP協議。 以下是此惡意模塊的初始通信片段。

```7812.reg0.4621.toor.win10.ipv6-microsoft[.]org7812.reg0.5173.toor.win10.ipv6-microsoft[.]org7812.reg0.5204.toor.win10.ipv6-microsoft[.]org7812.reg0.5267.toor.win10.ipv6-microsoft[.]org7812.reg0.5314.toor.win10.ipv6-microsoft[.]org7812.reg0.5361.toor.win10.ipv6-microsoft[.]org[…]```

此示例中的C＆C服務器域名模仿Microsoft。 事實上攻擊者注冊了不同的域名，其中大多數都模仿微軟域名。

總結

雖然我們不知道為什么該組織突然轉變目標，但它是說明了網絡間諜團體與網絡犯罪之間界限日益模糊。 目前還不清楚該組織中的一個或幾個成員出于什么原因改變目標，但未來會有更多的攻擊行為出現。    

##IOC

###ESET檢測名稱

VBA/TrojanDropper.Agent.ABMVBA/TrojanDropper.Agent.AGKWin32/Spy.Buhtrap.WWin32/Spy.Buhtrap.AKWin32/RiskWare.Meterpreter.G

###惡意軟件樣本

Main packages SHA-1：

2F2640720CCE2F83CA2F0633330F13651384DD6A
E0F3557EA9F2BA4F7074CAA0D0CF3B187C4472FF
C17C335B7DDB5C8979444EC36AB668AE8E4E0A72

Grabber SHA-1：

9c3434ebdf29e5a4762afb610ea59714d8be2392

###C&C服務器

https://hdfilm-seyret[.]com/help/index.php
https://redmond.corp-microsoft[.]com/help/index.php
dns://win10.ipv6-microsoft[.]org
https://services-glbdns2[.]com/FIGm6uJx0MhjJ2ImOVurJQTs0rRv5Ef2UGoSc
https://secure-telemetry[.]net/wp-login.php

###Certificates

###MITRE ATT&CK techniques

看完上述內容，你們對Buhtrap黑客組織最新0day漏洞實例分析有進一步的了解嗎？如果還想了解更多知識或者相關內容，請關注億速云行業資訊頻道，感謝大家的支持。