本文主要是介绍专注 APT 攻击与防御 —反攻的一次溯源,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
某厂商通过日志分析发现可疑 IP,但是日志记录里显示该 IP 的行为是频繁地登陆内网,并无发现有攻击的迹象,因此无法下手进行内网安全的加固和清除后门。而且显示的是外国 IP,无法确定是真实 IP 还是代理 IP,因此无法定位攻击者的地理位置。
思路:
反入侵得到攻击者机器权限 -> 入侵现场还原,摸清入侵思路 -> 并且须知入侵者的相关后门遗留,以便处理后门 -> 抓取入侵者的真实IP获得地理位置 -> 并按照攻击者的攻击路线加固相关漏洞安全。
一、日志分析
- 某厂商日志:该IP 为韩国,login 状态全部为success
221-ip 成功,进入内网多个IP。但无其他记录,如过程,手法。无法安全加固客户内网。无法分析出哪里出现问题,只能找出起始被入侵成功的IP,需要得到攻击者的电脑权限,还原攻击过程,才可得知被攻击者的弱点并加固。
在tns日志中,oracle相关存储得到入侵者相关的存储利用。如 downfile‐smss.exe,地址为 115.231.60.76。
- 此时,我们得到2个攻击者IP,1个样本
- IP分别为韩国,河南,样本1为:smss.exe
二、现场还原
- 刺探攻击者的服务器相关信息:
起初连接到入侵者IP的服务器,IP归属地为韩国,并且服务器也为韩文,非中国渠道购买,起初以为攻击者为国外人员。
但当刺探攻击者服务器21端口时发现并非真正的“国外黑客”
于是,暂时定为攻击者为国内,需要摸查的IP锁定为中国范围内IP
整体思路临时改为: 需要得到该服务器的权限,查看所有登陆成功日志,找出IP以及对应时间。
入侵思路临时改为:该服务器为懂攻防人员所拥有,尽可能在该服务器不添加任何账号或留有明显痕迹。
由于韩国服务器此段有DHCP记录查看应用,该应用存在loadfile漏洞,并且得知目标服务器存在 shift 后门。
攻击思路为:16进制读取 shift 后门,并unhex本地还原exe,得到样本2,本地分析该样本,从而不留痕迹得得到攻击者服务器。
至此:目前我们得到2个攻击者IP,2个样本,IP分别为韩国,河南,样本分别为smss.exe与sethc.exe。
三、本地样本分析
样本1:生成替换dll。并且自启动,反链接到某IP的8080端口,并且自删除。为远控特征。
远控样本md5值:
样本2:shift 后门,VB编译,并且未加壳。思路为,反汇编得到样本密码以及软件工作流程。
Shift后门样本MD5:
特征为密码输入错误,呼出msgbox
得到该程序相关工作流程,当输入密码正确时,调出taskmgr.exe(任务管理器)以及 cmd.exe
四、测试并取证
-
输入得到的密码。
当密码正确时呼出相关进程,并且得到system权限。 -
取证以及样本截留:
攻击者真实IP以及对应时间:
得到真实入侵者的IP归属地为:四川省眉山市 电信
并且桌面截图:
再该服务器上留有大量以地名名为的 txt 文本(如 beijing.txt)。文本内容为 IP,部分内容为账号,密码,ip。其中dongbei.txt(被攻击者归属地为东北)找到某政府对应IP。
至此通过该服务器的桌面相关软件以及相关攻击者本文记录,得知攻击者的入侵思路,以及部分后门留存位置特征等。以此回头来加固某政府内网安全以及切入点。
文章来源:《专注 APT 攻击与防御 - Micro8 系列教程》 - 书栈网 · BookStack
这篇关于专注 APT 攻击与防御 —反攻的一次溯源的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!