国外安全研究人员在社交网站发现疑似某APT组织的后台

2019-10-31 6,785

事件追踪

近日,深信服安全团队关注到,国外安全研究人员Misterch0c在twitter上发现疑似某APT组织的后台,时间节点在20191027日。

图片1.png

28日,另外一名安全研究员跟推,指出有部分中国用户被控制。

图片2.png

关于此次事件的重要C2服务器lmhostsvc.net,深信服安全云脑威胁情报显示,只有极少数的访问记录,访问时间在2019年10月29号,并非关键核心部门,是一些学院性质的学校,疑似是twitter曝光lmhostsvc.net后,一些在校安全研究人员在研究和访问。

图片3.png


样本分析

该次事件所关联的样本母体是一个.msi文件,这个病毒以钓鱼邮件附件的方式分发到被攻击的目标。病毒运行后,会弹出一个提示框提示用户等待安装,来以掩盖背后的恶意行为。

图片4.png

该msi会释放主程序audiodq.exe,该程序的主要功能为发送主机信息及接收C&C端下发的组件,如下图所示,regdl.exeMSAServices.exe即为下发的后门组件。

图片5.png

各组件功能如下:

捕获.PNG

MSAServices.exe是一个.NET编写的后门,反编译后,其核心功能如下,主要为:文件操作、进程管理、远程执行命令。

图片6.png

最后,从监控到的流量可以发现,中招主机上线URL形如:


http://lmhostsvc.net/healthne/accept.php?a=MT&b=MT&c=Windows 7 Ultimate&d=G4rb3nG4rb3n53be9afe-e736-4104-8f32-fce8324c70e8365536040965860&e=

图片7.png

安全加固

在此,提醒广大用户,不用过度恐慌。目前深信服用户,还未发现被此病毒大规模攻陷的现象。

本文作者:Further_eye

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/116901.html

Tags:
评论  (0)
快来写下你的想法吧!

Further_eye

文章数:319 积分: 2105

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号