CTF导航 CTF导航

揭秘APT团体常用的秘密武器——AsyncRAT

APT 2年前 (2022) admin
765 0 0
AsyncRAT 是 2019 年 1 月在 GitHub上开源的远控木马，旨在通过远程加密链接控制失陷主机，提供如下典型功能：
截取屏幕
键盘记录
上传/下载/执行文件
持久化
禁用 Windows Defender
关机/重启
DOS 攻击
GitHub 上提供了免责声明，但 AsyncRAT 仍然被许多攻击者，甚至是 APT 组织所广泛使用。Netskope 的研究人员最近发现了一个零检出的恶意脚本，该脚本通过 Amazon S3 存储桶下载 AsyncRAT 恶意软件。在分析时，VirusTotal 上的所有检测引擎都没有检出。

揭秘APT团体常用的秘密武器——AsyncRAT【攻击链】


阶段 01 – 零检出 Downloader

起始的批处理脚本，就是 VirusTotal 零检出的文件。

揭秘APT团体常用的秘密武器——AsyncRAT【零检出 Downloader】

尽管没有检测引擎检出，但该样本仍然能够被沙盒动态分析中的 Sigma 和 IDS 规则进行检出。

揭秘APT团体常用的秘密武器——AsyncRAT【Sigma 规则检测恶意行为】

检测引擎未能静态检出可能是由于攻击者在文件中增加了超过一百个长字符串进行干扰。

揭秘APT团体常用的秘密武器——AsyncRAT【注释字符串】

字符串都是相同的日文文本，翻译过来都是无用的废话。

揭秘APT团体常用的秘密武器——AsyncRAT【文本翻译】

恶意的命令反而非常简单，夹杂在无意义的长字符串间。经过了混淆也可能是导致没有检出的原因之一。

揭秘APT团体常用的秘密武器——AsyncRAT【恶意命令】

恶意命令通过 PowerShell 从 Amazon S3 存储桶下载并执行后续阶段攻击。


阶段 02 – PowerShell

从 Amazon S3 存储桶下载的文件是一个 PowerShell 脚本。它首先在 C:ProgramData中创建一个名为 Not的文件夹。

揭秘APT团体常用的秘密武器——AsyncRAT
【创建目录】

随后在目录中创建五个文件，链式执行另一个 PowerShell 脚本。

揭秘APT团体常用的秘密武器——AsyncRAT【链式执行】

最后一个 PowerShell 脚本中包含两个 PE 文件：

揭秘APT团体常用的秘密武器——AsyncRAT【PowerShell 脚本】

第一个文件名为 RunPE，第二个文件用于将 AsyncRAT 注入到的合法进程中。

揭秘APT团体常用的秘密武器——AsyncRAT【运行命令】

PowerShell 脚本将 RunPE 直接加载到内存中，因此所有 PE 文件都不会落地。


阶段 03 – RunPE

该文件负责使用 Process Hollowing 技术将 AsyncRAT 注入另一个进程，攻击者使用 .NET 开发该恶意软件并使用 Confuser 进行加壳。

揭秘APT团体常用的秘密武器——AsyncRAT【RunPE 文件信息】

后续由 PowerShell 脚本将 RunPE 加载到内存中，调用 Execute方法。
该方法接收可执行文件路径 
C:WindowsMicrosoft.NETFrameworkv4.0.30319aspnet_compiler.exe与参数中的 AsyncRAT 数据。

揭秘APT团体常用的秘密武器——AsyncRAT【执行函数】

去除混淆后，可以明确看出 AsyncRAT 是通过 Process Hollowing 注入的。

揭秘APT团体常用的秘密武器——AsyncRAT【函数调用】


阶段 04 – AsyncRAT

AsyncRAT 样本在 2022 年 7 月 22 日编译。

揭秘APT团体常用的秘密武器——AsyncRAT【AsyncRAT 样本】

样本没有经过混淆，可以直接进行反编译。

揭秘APT团体常用的秘密武器——AsyncRAT
【反编译 AsyncRAT 样本】

AsyncRAT 样本的主要执行流程如下所示：

揭秘APT团体常用的秘密武器——AsyncRAT【多个方法】

AsyncRAT 的配置在 InitializeSettings函数中被解密。

揭秘APT团体常用的秘密武器——AsyncRAT【解密的配置参数】

AsyncRAT 在 CBC 模式下使用 AES-256 算法来解密字符串：

揭秘APT团体常用的秘密武器——AsyncRAT【使用 AES 解密】

该函数读取 base64 编码的字符串，前 32 个字节代表 HMAC，后面 16 个字节是解密向量 IV，其余字节是加密数据。

揭秘APT团体常用的秘密武器——AsyncRAT【加密数据】

研究人员提供了解密 AsyncRAT 的 Python 脚本。

揭秘APT团体常用的秘密武器——AsyncRAT【配置解密】

该样本并未启用反分析功能，但也使用了反虚拟化的技术，检查了硬盘大小、操作系统制造商和型号等。

揭秘APT团体常用的秘密武器——AsyncRAT【AsyncRAT 反分析】

样本还通过注册表与计划任务来实现持久化。

揭秘APT团体常用的秘密武器——AsyncRAT【持久化机制】

AsyncRAT 将 C&C 地址和端口存储在其配置中，还提供了从 Pastebin 下载获取配置的选项。

揭秘APT团体常用的秘密武器——AsyncRAT【从 Pastebin 下载获取配置】

AsyncRAT 与 C&C 服务器进行加密通信，通过界面控制设备。

揭秘APT团体常用的秘密武器——AsyncRAT【AsyncRAT 控制面板】


结论

本文介绍了 AsyncRAT 完整攻击流程的一个示例，攻击者甚至动用了完全未检测的脚本。由于 AsyncRAT 开源，攻击者都可以根据自己的需要进行功能修改。

Ioc

6d49c55e6231ae7af3b09287df08f440
96e6e83b2a8e85153bcf6756403ae3e0
228c44b9cc0e8c86c51fddaf3294bcf8
370a1f36b649d6a041afca88c6ac0e55
9c7994acb861283eab4675bb06ba4159
bed7fd2f5fc7183c0a509fc8f9d48ec9
192a7c188e6ede340bdb4d518a4ed036
2cb-586884e131b1c0ba96396ea4e70f6
fbf876a3676d0b6959639bc5c603d8e4
hxxps://buckotx.s3.amazonaws[.]com/x.png
bashamed[.]org:6666


参考来源：

https://www.netskope.com/blog/asyncrat-using-fully-undetected-downloader
揭秘APT团体常用的秘密武器——AsyncRAT



精彩推荐








揭秘APT团体常用的秘密武器——AsyncRAT揭秘APT团体常用的秘密武器——AsyncRAT揭秘APT团体常用的秘密武器——AsyncRAT揭秘APT团体常用的秘密武器——AsyncRAT

原文始发于微信公众号（FreeBuf）：揭秘APT团体常用的秘密武器——AsyncRAT

版权声明：admin 发表于 2022年10月6日 上午9:01。
转载请注明：揭秘APT团体常用的秘密武器——AsyncRAT | CTF导航

相关文章

美相关 APT 组织分析报告 — APT-C-40(NSA)
admin
140
近期 Higaisa（黑格莎） APT 针对中国用户的钓鱼网站、样本分析(二)
admin
102
最新活动！与朝鲜有关的APT37组织正攻击捷克、波兰等多个国家
admin
1,184
SideCopy组织最新攻击武器披露
admin
515
多变的朝鲜APT37组织正瞄准新目标
admin
682
攻击印度政府强制的双因素认证Kavach-巴基斯坦黑客有高招！
admin
704

暂无评论

您必须登录才能参与评论！
立即登录
暂无评论...

相关文章

海莲花（APT-Q-31）组织数字武器Rust加载器技术分析
0
New Xagent Mac Malware Linked with the APT28
0
APT分析 │ VPN安装包“引狼入室”：疑似金眼狗（APT-Q-27）团伙的窃密行动
0
首篇报告！APT组织SideWinder(响尾蛇)积极对其后门武器WarHawk进行迭代重构
0
第90篇：美国APT的全球流量监听系统（Turmoil监听与Turbine涡轮）讲解与分析
0
朝鲜APT Lazarus利用AppLocker零日漏洞部署rootkit
0
liblzma后门疑似国家级APT
0
朝鲜APT 积极利用JETBRAINS TEAMCITY 缺陷
0
朝鲜APT LAZARUS 在供应链攻击中使用 MAGICLINE4NX 零日漏洞
0
APT-C-43（Machete）组织疑向更多元化演变
0