证券简称:天融信 证券代码:002212
全天候7x24小时服务: 400-777-0777

远控木马“badnews”升级再现,天融信安全防御方案速速安排!-澳门银银河官方网welcome

精准狙击badnews木马,天融信下一代防火墙、edr、僵尸网络木马和蠕虫监测与处置系统、入侵检测系统、入侵防御系统、病毒过滤网关均可检测并防御,快来升级吧~
发布时间:2023-05-15
浏览次数:1993
分享:

近日,天融信天璇实验室在日常安全运营中发现国外黑客组织patchwork将badnews远控木马伪装成pdf的lnk文件进行活动。本次发现的badnews远控木马,不同于之前版本使用http协议上传主机信息和接收远控指令,而是采取https通信,更为隐蔽。

patchwork,印度知名黑客组织,又称hangover、viceroy tiger、the dropping elephant、摩诃草(apt-c-09),该组织主要针对亚洲国家(地区)的政府机构、科研教育等领域进行网络间谍活动,以窃取敏感信息为主。

目前天融信天璇实验室已分析提取出badnews木马特征,经验证,天融信下一代防火墙、edr、僵尸网络木马和蠕虫监测与处置系统、入侵检测系统、入侵防御系统、病毒过滤网关均可精确检测该木马的传播及活动行为,提供全面的保护措施,有效阻止危害进一步蔓延。

样本分析

1、该样本后缀名为.pdf.lnk,实际为lnk文件,双击运行后会执行文件中的powershell命令。lnk文件会从shhh2564.b-cdn.net/abc.pdf下载诱饵文件并打开,接着从shhh2564.b-cdn.net/c下载文件到c:\programdata\microsoft\devicesync\p,将p文件复制为同路径下的onedrive.exe,并删除p文件,最后创建计划任务每隔1分钟执行onedrive.exe。

2、onedrive.exe就是badnews远控木马,使用c 语言编写,编译于4月6日。

3、该远控运行后首先隐藏运行窗口。

4、创建互斥体名为“qzex”,保证木马自身单实例运行。

5、使用setwindowshookexw注册键盘钩子,将捕获到的键盘记录以文本的方式保存在%temp%目录下的kednfbdnfby.dat文件中。

6、获取受害主机的时区名称,检查是否为中国标准时区。

7、若检测结果为中国标准时区将收集系统信息上传至服务器。

① 获取操作系统版本信息。

②使用正常的web服务(myexternalip.com, api.ipify.org,ifconfig.me)获取主机ip外网地址。

③将上一步获取到的外网ip地址在(api.iplocation.net,ipapi.co等)web服务中查询所属国家的名称。

④将获取的信息base64编码后进行aes-128的cbc模式加密,最后将加密后的数据再进行base64编码。aes-128加密使用的密钥为“qgdrbn8kloiuytr3”,iv为“feitrt74673ngbfj”。

⑤具体收集的受害主机基本信息如下表:

8、接着获取createthread函数地址,创建3个线程与服务器通信,上传主机信息接收远控指令。

①获取createthread函数地址,创建3个线程。

②c2地址为:charliezard.shop:443,uri为/tagpdjjarzajgt/cooewlzafloumm.php,通信内容会使用aes-128加密数据。

③线程sub_409900负责将收集到的信息使用post方式发送给c2,内容为收集的系统信息加密数据。

④线程sub_4090a0主要接收服务器下发的控制指令,执行相应的操作。

⑤线程sub_409440创建cmd进程执行whoami命令、ipconfig /all命令、ipconfig /displaydns命令、systeminfo命令、tasklist命令。收集当前用户名、完整网络配置信息、dns缓存信息、完整系统信息、正在执行的进程信息后,使用aes-128加密数据,添加到endfh参数发送到c2。

样本ioc列表

防护建议

应用软件下载请通过官方网站获取,避免通过第三方网站下载,下载文件打开前,提前使用杀毒软件查杀。

及时关闭客户端上不必要的文件共享权限以及端口。

配置高强度密码认证,建议口令长度为16位及以上,包括大小写字母、数字和符号在内的组合。避免多个账户使用相同口令以及弱口令,并定期更换。

定期对系统展开基线检查,组织渗透测试及安全加固,并及时更新操作系统、开源软件、第三方应用程序补丁等。

购买天融信下一代防火墙、edr、僵尸网络木马和蠕虫监测与处置系统、入侵检测系统、入侵防御系统、病毒过滤网关系统的客户,可以通过升级僵尸主机规则库、威胁情报库、病毒特征库进行有效监测防护。

天融信产品防御配置

1、天融信下一代防火墙系统防御配置

1)升级到最新病毒特征库,配置病毒防护策略,开启日志记录和报警功能;

2)通过访问控制策略禁用不必要的端口、服务,缩小资产暴露面,降低传染风险;

3)开启弱口令防护、暴力破解防护功能,可有效降低口令破解风险;

4)开启联动功能,获取天融信edr系统、病毒过滤网关、僵尸网络木马和蠕虫监测与处置系统等产品检测结果,及时拦截传播/感染源,控制网络传播范围;

5)开启资产防护功能,启用资产行为基线功能,通过检测资产异常行为,可及时发现隐藏攻击行为并启用策略进行阻断。

2、天融信edr系统防御配置

1)开启病毒实时监控功能,有效预防和查杀该病毒;

2)通过微隔离策略加强访问控制,降低横向感染风险;

3)创建周期扫描任务,定时对主机进行全面清理,消除安全隐患。

3、天融信僵尸网络木马和蠕虫监测与处置系统入侵检测系统配置

1)升级最新僵尸主机规则库,配置僵尸主机策略,实时检测木马的异常通信;

2)升级最新威胁情报库,开启威胁情报恶意文件检测和捕获功能,实时检测和捕获网络中传播的木马;

3)开启僵尸主机、威胁情报日志记录和告警功能;

4)可配置旁路阻断或者天融信防火墙联动,拦截木马的异常通信和网络传播。

4、天融信入侵防御系统配置

1)升级最新僵尸主机规则库,配置僵尸主机策略,实时检测、拦截木马的异常通信;

2)升级最新威胁情报库,开启威胁情报恶意文件阻断和捕获功能,实时检测、拦截及捕获网络中传播的木马;

3)开启僵尸主机、威胁情报日志记录和告警功能。

5、天融信病毒过滤网关防御配置

1)升级到最新病毒特征库;

2)导入https证书;

3)开启http、pop3、smtp、ftp、imap等协议的病毒扫描检测;

4)配置病毒检测处置策略;

5)开启日志记录和报警功能。

天融信产品获取方式

天融信下一代防火墙、病毒过滤网关、僵尸网络木马和蠕虫监测与处置系统、入侵检测系统、入侵防御系统等产品特征库下载地址: ftp://ftp.topsec.com.cn

天融信edr企业版试用:天融信全国各分支机构获取(查询网址:

http://www.topsec.com.cn/contact/)

天融信edr单机版下载地址:http://edr.topsec.com.cn

关键词标签:
天融信 安全防御方案 远控木马“badnews”
在线咨询





在线留言





客户服务热线

400-777-0777
7*24小时服务

联系邮箱

servicing@topsec.com.cn

扫码关注
网站地图