MontysThree工业间谍软件分析
2020年夏季发现了针对性较强的工业间谍软件的活动,工具集中包含未知的C++模块。恶意软件作者将工具集命名为“MT3”,研究人员将工具集命名为“MontysThree”。
该恶意软件包括一组用于持久控制的C++模块,使用隐写术从位图中获取数据,解密配置任务(屏幕截图,获取目标指纹,获取文件等)等。该恶意软件使用自定义隐写术,基于XOR的自定义加密,3DES和RSA算法进行解密和通信。
传播方式
初始加载程序模块在RAR自解压文件中,只有PE文件(伪装.pdf或.doc文件),其中一个(MD5da49fea229dd2dedab2b909f24fb24ab)名为“Списоктелефоновсотрудников2019.doc”(“员工电话清单”,俄语),另外还有“Techtask.pdf”和“ invitro-106650152-1.pdf”。 后者是俄罗斯医学实验室的名称。 SFX脚本如下:
执行后,SFX脚本会调用%TEMP%目录中已解压缩的可执行文件,并将其删除。
技术分析
执行流程如下:
下表列出了四个模块及其功能, 这些模块共享通用的通信规范。当处理诸如配置文件和执行日志之类的共享数据时,该恶意软件会初始化线程本地存储(TLS)中的结构。
入口点DllEntryPoint()的工作方式类似于构造函数,模块必须导出一个名为Open()的函数,该函数不带任何参数(但可以解析命令行)并返回一个四字节的错误代码。
1. 加载程序模块
将加密数据的位图文件名作为参数提供给加载程序,加载程序会从像素数组解密下一个程序。 在第一次迭代中,它提取隐写参数数据。
IID,IParam和ISize参数保存在像素阵列的前384个字节中,因此仅需要每个像素阵列字节的最后一位。该模块使用这些字段收集48个字节的配置结构,确定下一个解密阶段。
提取隐写参数后,使用两步算法对下一个程序进行解密。首先,IParam算法从像素阵列的字节中选择bits。如果IID等于2,则对收集到的字节使用四字节轮回密钥,前四个字节解密的初始密钥硬编码为0x23041920。下一个字节的XOR公式为:
key ^= 8 * (key ^ (key
解密结果并未注入到某个进程内存中,而是生成名为msgslang32.dll的文件放到磁盘上。加载程序使用WindowsAPI函数LoadLibraryW()和GetProcAddress()来运行下一个阶段的Open()函数。
2. Kernel模块
内核模块包含三个用于配置解密和C2通信的加密密钥。公用和专用RSA密钥分别以PUBLICKEYBLOB和PRIVATEKEYBLOB的形式存储在.data节中,用于加密C2通信、解密3DES密钥。
第三个3DES密钥也以加密形式存储在.data节中。此密钥用于解密包含XML配置的.cab文件,该模块使用Window的标准程序“expand.exe”解压缩.cab。
XML配置包含恶意软件的各种“任务”,例如对目标进行指纹识别,捕获屏幕截图,从%USERPROFILE%、%APPDATA%、%APPDATA%\Microsoft\Office\Последниефайлы中最新目录中获取扩展名为.doc,.docx,.xls,.xlsx,.rtf,.pdf,.odt,.psw,.pwd的文档列表。Последниефайлы翻译成俄语为“最近文件”。
Config包含任务计划(屏幕截图),访问令牌,感兴趣的目录和扩展:
发现俄语字符串,例如“Снимокрабочегостола”(桌面快照),“Системнаяинформация”(系统信息),“Времявыхода”(退出时间)。
解密后的配置结构如下:
处理指令的主要类是CTask。CTask的IoControl()方法负责处理相应的任务,并可运行以下方法:
3. 通信模块
HttpTransport存在于内核模块.text部分中的四个加密数据块。当内核需要通信时,它会解密该模块,并运行Open()函数,传递命令行参数。
根据从内核模块传输的参数,该模块可以使用RDP,WebDAV,Citrix和HTTP协议上传或下载内容。HttpTransport也实现了使用用户令牌从Google和Dropbox公共服务下载数据。在HTTPGET /POST请求下,该恶意软件将使用Windows API HTTP功能从URL接收隐写位图图片。
上述通信协议本身并未在模块内部实现。恶意软件利用计算机上已安装的Windows程序(例如RDP,Citrix客户端和InternetExplorer)进行操作。可通过剪贴板将URL粘贴到浏览器中;等待并再次通过剪贴板接收结果。
Dropbox和Google数据的上传和下载依赖于另一个原理:使用自定义类CSimpleHttp进行身份验证并发送HTTP请求。
总结
通常恶意软件主要针对政府实体,外交官和电信运营商,像MontysThree这样的工业间谍少见很多。
就传播方式,持续性控制方法而言,其复杂性无法与顶尖APT相提并论。恶意软件开发方面(同时登录RAM和文件,将加密密钥保留在同一文件中,在远程RDP主机上运行不可见的浏览器)还不成熟。
MontysThree中的代码量以及投入的精力是巨大的:在RSA加密下存储3DES密钥,规避IDS的自定义隐写术以及使用合法的云存储隐藏C2流量。
IOCs
Loader:
- 1B0EE014DD2D29476DF31BA078A3FF48
- 0976*42A06D2D8A34E9B6D38D45AE42
- A2AA414B30934893864A961B71F91D98
Kernel:
- A221671ED8C3956E0B9AF2A5E04BDEE3
- 3A885062DAA36AE3227F16718A5B2BDB
- 3AFA43E1BC578460BE002EB58FA7C2DE
HttpTransport:
- 017539B3D744F7B6C62C94CE4BCA444F
- 501E91BA1CE1532D9790FCD1229CBBDA
- D6FB78D16DFE73E6DD416483A32E1D72
Domains and IPs:
- autosport-club.tekcities[.]com
- dl10-web-stock[.]ru
- dl16-web-eticket[.]ru
- dl166-web-eticket[.]ru
- dl55-web-yachtbooking[.]xyz
原文链接:securelist
鸿蒙官方战略合作共建——HarmonyOS技术社区
推荐系统
雨林木风 winxp下载 纯净版 永久激活 winxp ghost系统 sp3 系统下载
系统大小:0MB系统类型:WinXP雨林木风在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业知名品牌,雨林木风WindowsXP其系统口碑得到许多人认可,积累了广大的用户群体,是一款稳定流畅的系统,雨林木风 winxp下载 纯净版 永久激活 winxp ghost系统 sp3 系统下载,有需要的朋友速度下载吧。
系统等级:进入下载 >萝卜家园win7纯净版 ghost系统下载 x64 联想电脑专用
系统大小:0MB系统类型:Win7萝卜家园win7纯净版是款非常纯净的win7系统,此版本优化更新了大量的驱动,帮助用户们进行舒适的使用,更加的适合家庭办公的使用,方便用户,有需要的用户们快来下载安装吧。
系统等级:进入下载 >雨林木风xp系统 xp系统纯净版 winXP ghost xp sp3 纯净版系统下载
系统大小:1.01GB系统类型:WinXP雨林木风xp系统 xp系统纯净版 winXP ghost xp sp3 纯净版系统下载,雨林木风WinXP系统技术积累雄厚深耕多年,采用了新的系统功能和硬件驱动,可以更好的发挥系统的性能,优化了系统、驱动对硬件的加速,加固了系统安全策略,运行环境安全可靠稳定。
系统等级:进入下载 >萝卜家园win10企业版 免激活密钥 激活工具 V2023 X64位系统下载
系统大小:0MB系统类型:Win10萝卜家园在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的萝卜家园品牌,(win10企业版,win10 ghost,win10镜像),萝卜家园win10企业版 免激活密钥 激活工具 ghost镜像 X64位系统下载,其系统口碑得到许多人认可,积累了广大的用户群体,萝卜家园win10纯净版是一款稳定流畅的系统,一直以来都以用户为中心,是由萝卜家园win10团队推出的萝卜家园
系统等级:进入下载 >萝卜家园windows10游戏版 win10游戏专业版 V2023 X64位系统下载
系统大小:0MB系统类型:Win10萝卜家园windows10游戏版 win10游戏专业版 ghost X64位 系统下载,萝卜家园在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的萝卜家园品牌,其系统口碑得到许多人认可,积累了广大的用户群体,萝卜家园win10纯净版是一款稳定流畅的系统,一直以来都以用户为中心,是由萝卜家园win10团队推出的萝卜家园win10国内镜像版,基于国内用户的习惯,做
系统等级:进入下载 >windows11下载 萝卜家园win11专业版 X64位 V2023官网下载
系统大小:0MB系统类型:Win11萝卜家园在系统方面技术积累雄厚深耕多年,windows11下载 萝卜家园win11专业版 X64位 官网正式版可以更好的发挥系统的性能,优化了系统、驱动对硬件的加速,使得软件在WINDOWS11系统中运行得更加流畅,加固了系统安全策略,WINDOWS11系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。
系统等级:进入下载 >
相关文章
- 如何解决锐龙2200g死机蓝屏
- Win8.1本地搜索为什么无法使用
- Win8.1无线网络不稳定/掉线怎么办
- 电脑机箱漏电怎么消除?电脑机箱漏电是哪里的问题?
- 电脑开不了机怎么办?电脑无法开机怎么解决?
- 硬盘双击无法打开的问题该怎么办
- 风行下载速度慢甚至是为0怎么办?风行播放器下载问题及解决方法汇总
- 苹果回应新的iOS恶意软件YiSpector:已在iOS8.4中解决该问题
- 没有路由器怎么连无线 160wifi 解决没有路由器连接无线问题
- 维棠FLV下载视频失败问题汇总及解决方法
- Word2016 出现“此功能看似已中断 并需要修复”问题解决方案(图文)
- Cisco管理的35个常见问题及解答
- NanoStudio怎么用?NanoStudio使用方法及常见问题
- IE浏览器登录网上银行时出现崩溃问题的解决办法
热门系统
推荐软件
推荐应用
推荐游戏
热门文章
常用系统
- 1win11最新娱乐版下载 技术员联盟x64位 ghost系统 ISO镜像 v2023
- 2电脑公司windows7纯净版 ghost x64位 v2022.05 官网镜像下载
- 3外星人系统Win11稳定版系统下载 windows11 64位稳定版Ghost V2022
- 4win11一键装机小白版下载 外星人系统 x64位纯净版下载 笔记本专用
- 5萝卜家园Ghost win10 64位中文版专业版系统下载 windows10纯净专业版下载
- 6【国庆特别版】番茄花园Windows11高性能专业版ghost系统 ISO镜像下载
- 7青苹果系统 GHOST WIN7 SP1 X64 专业优化版 V2024
- 8深度技术ghost win7纯净版最新下载 大神装机版 ISO镜像下载
- 9雨林木风windows11中文版免激活 ghost镜像 V2022.04下载