Buhtrap黑客组织最新0day漏洞实例分析

今天就跟大家聊聊有关Buhtrap黑客组织最新0day漏洞实例分析，可能很多人都不太了解，为了让大家更加了解，小编给大家总结了以下内容，希望大家根据这篇文章可以有所收获。一直以来Buhtrap组织以其针对俄罗斯的金融机构和企业而闻名。在我们的跟踪过程中，发现并分析了该组织的主要后门以及其他工具。自2015年底以来，该组织变为以经济利益位目的的网络犯罪组织，其恶意软件出现于东欧和中亚进行间谍活动中。2019年6月我们第一次发现Buhtrap使用0day攻击作。 同时我们发现Buhtrap在攻击过程中使用了本地提权漏洞CVE-2019-1132。
在Microsoft Windows中的本地权限提升漏洞利用的是win32k.sys组件中的NULL指针取消引用产生的问题。 该漏洞发现后就已经向Microsoft安全响应中心报告，该中心及时修复了漏洞并发布了补丁。
下图中的时间表体现了Buhtrap活动中一些最重要的发展节点。
在他们的工具在网上开源的时期，很难把该组织的活动和网络攻击行为联系在一起。 然而，由于该组织在目标的转变后发生了源代码泄漏的问题，我们迅速高效的分析了该组织攻击的恶意软件，明确了该组织针对的企业和银行目标，同时确认了该组织参与了针对政府机构的攻击。尽管新的工具已经添加到他们的武器库中并且替换了旧版本，但是不同时期的Buhtrap活动中使用的策略、技术和程序并没有发生显着变化。 他们主要通过恶意文档作为载体，并广泛使用NSIS安装程序作为droppers。 此外，他们的一些工具会使用有效的代码签名证书进行签名，并利用已知的合法应用程序来作为攻击载体。用于传递攻击载荷的文件通常为设计好的钓鱼文件，以避免在受害者打开时产生怀疑。对这些钓鱼文件为我们的分析提供了可靠的线索。 当Buhtrap目标为企业时，钓鱼文件通常是合同或发票。下图是该组织在2014年攻击行为中使用的通用发票的示例。当该组织将目标对准银行时，钓鱼文件通常与金融系统法规或Fincert的咨询有关，Fincert是俄罗斯政府创建的一个组织，为其金融机构提供帮助和指导。因此，当我们第一次看到与政府行动有关的钓鱼文件时，我们立即开始跟踪这些行为。2015年12月，发现了第一批恶意样本，它下载了一个NSIS安装程序，该安装程序的作用是安装buhtrap后门，钓鱼文档如下图：
文本中的URL很有特点，它与乌克兰国家移民局网站dmsu.gov.ua非常相似。 该文本以乌克兰语要求员工提供他们的联系信息，尤其是他们的电子邮件地址，还试图说服他们点击文本中的恶意链接。
这是我们遇到众多恶意样本中的第一个，这些样本被Buhtrap组织用于攻击政府机构。 我们认为另一个更近期的钓鱼文件也是由Buhtrap组织设计的，如图所示这个文件可以吸引与政府相关的另一类群体。
该组织在0day攻击中使用的工具与其用于企业和金融机构的工具非常相似。 我们分析的第一批针对政府组织的恶意样本哈希为2F2640720CCE2F83CA2F0633330F13651384DD6A。 此NSIS安装程序下载包含Buhtrap后门的常规包，并显示如上文提到的2015年12月的钓鱼文档。
从那以后，我们看到了针对这一政府组织群体的多次攻击。 攻击中经常使用漏洞来提升权限，以便安装恶意软件。 他们利用了旧的漏洞，如CVE-2015-2387。他们最近使用的0day也采用了相同的模式：利用漏洞以最高权限运行恶意软件。
多年来，该组织使用了具有不同功能的软件包装。 最近，我们发现并详细分析了两个全新软件包，因为它们与该组织典型的工具集相比发生了变化。
钓鱼文档包含一个恶意宏，启用后会删除NSIS安装程序。NSIS安装程序的任务是安装主后门。 但是此NSIS安装程序与此组织早期使用的版本不同， 它更简单，仅用于设置并启动嵌入其中的两个恶意模块。
第一个模块，称为“抓取器”，是一个独立的密码窃取程序。 它尝试从邮件客户端，浏览器中获取密码，并将它们发送到C＆C服务器。 此模块使用标准Windows API与其C＆C服务器进行通信。
第二个模块是我们从Buhtrap操作人员得到的：一个包含合法应用程序的NSIS安装程序，将用来安装Buhtrap主后门。利用的是一种免费的反病毒扫描程序AVZ。
本文档包含一个恶意宏，启用后会删除NSIS安装程序，该安装程序的任务是准备安装主后门。 安装过程的一部分是设置防火墙规则以允许恶意组件与C＆C服务器通信。 接下来是NSIS安装程序用于设置这些规则的命令示例：
“`cmd.exe /c netsh advfirewall firewall add rule name=”Realtek HD Audio Update Utility” dir=in action=allow program=”RtlUpd.exe” enable=yes profile=any“`最终的有效载荷是与Buhtrap传统工具完全不同的东西。 在其正文中加密了两个有效负载。 第一个是一个非常小的shellcode下载器，而第二个是Metasploit的Meterpreter。 Meterpreter是一个反向shell，允许其操作员完全访问被攻击的系统。
Meterpreter反向shell实际上使用DNS隧道与其C＆C服务器进行通信。对于防御者来说，检测DNS隧道可能很困难，因为所有恶意流量都是通过DNS协议完成的，而不是常规的TCP协议。 以下是此恶意模块的初始通免费云主机域名信片段。
此示例中的C＆C服务器域名模仿Microsoft。 事实上攻击者注册了不同的域名，其中大多数都模仿微软域名。
虽然我们不知道为什么该组织突然转变目标，但它是说明了网络间谍团体与网络犯罪之间界限日益模糊。 目前还不清楚该组织中的一个或几个成员出于什么原因改变目标，但未来会有更多的攻击行为出现。
###ESET检测名称###恶意软件样本Main packages SHA-1：Grabber SHA-1：###C&C服务器###Certificates###MITRE ATT&CK techniques看完上述内容，你们对Buhtrap黑客组织最新0day漏洞实例分析有进一步的了解吗？如果还想了解更多知识或者相关内容，请关注云编程开发博客行业资讯频道，感谢大家的支持。

相关推荐: 配置隔离组使二层之间不能相互通信，但能与外层互通

一、配免费云主机域名置隔离信息1、创建如下图的网络结构图，并配置IP地址：2、配置交换机隔离信息：3、查看交换机配置信息：4、验证配置隔离组二层之间不能相互通信，但能与外层互通结果：相关推荐: 因超多短连接导致的过多TIME_WAIT的处理方案近期，发现WEB…