最新消息:本站介绍:国外VPS、云服务器,海外服务器,一手资源推荐平台

Winnti黑客将Cobalt Strike 拆分为154块以逃避检测

网络安全 快米云 来源:快米云 64浏览

中国 Winnti 黑客组织,也称为“APT41”或“Wicked Spider”,去年攻击了至少 80 个组织,并成功入侵了至少 13 个组织的网络。

根据 Group-IB 的研究人员的说法,他们一直在关注 Wintti 的活动,并将 2021 年描述为中国黑客最“激烈”的年份之一。

研究人员表示,Wintti 的目标是美国的酒店和软件开发公司、印度的一家航空公司、台湾的政府、制造和媒体实体,甚至中国的软件供应商。

2021 年被 Winnti 破坏的组织 (Group-IB)
为了促进他们的活动,Winnti 还入侵了英国、爱尔兰和香港的大学网站、泰国军事门户网站以及属于印度政府的各种网站。

2021 年 Winnti 运营中使用的受损基础设施 (Group-IB)
作为这些活动的一部分,Winnti 在其恶意操作中使用了各种方法,包括网络钓鱼、水坑、供应链攻击和大量 SQL 注入。

为了发现目标网络中的漏洞或在其中横向传播,威胁参与者使用了商品和专用软件的混合物,例如 Acunetix、Nmap、SQLmap、OneForAll、subdomain3、subDomainsBrute、Sublist3r 和“古老的”Cobalt Strike。

隐藏他们的 Cobalt Strike 信标
Wintti 独特的 Cobalt Strike 信标部署方法之一涉及混淆主机上的有效负载以逃避软件检测。

根据 Group-IB 报告,黑客使用 base64 对有效负载进行编码,并将其分解为由 775 个字符组成的大量小片段,然后将其回显到名为 dns.txt 的文本文件中,如下所示。

将 Cobalt Strike 信标分解为 Base64 编码的小块
在某些情况下,此操作需要重复 154 次才能将有效负载写入文件,但在其他情况下,Winnti 将块大小增加到 1,024 个字符以减少迭代次数。

要重建 Cobalt Strike 可执行文件并启动它,威胁参与者将使用 Certutil LOLBin,如下所述:

certutil -decode C:\dns.txt C:\dns.exe
certutil -hashfile C:\dns.exe
copy C:\dns.exe C:\WINDOWS\dns.exe
move C:\dns.exe C:\windows\mciwave.exe
Winnti 部署 Cobalt Strike 的另一种独特方法是使用具有超过 106 个自定义 SSL 证书的侦听器,模仿 Microsoft、Facebook 和 Cloudflare。

这些证书确保 C2 服务器上的侦听器仅接受来自已植入信标的连接,从而将窥探研究人员或好奇的黑客锁定在外面。

工作时间
长期以来一直跟踪威胁组织的活动,Group-IB 能够根据黑客的工作时间来估计他们的大致位置,这些时间往往遵循规定的时间表。

该小组在 UTC+8 时区的早上 09:00 AM 开始工作,并在下午 07:00 PM 左右结束。

Winnti 的工作时间和大概位置 (Group-IB)
这使黑客组织能够对马来西亚、新加坡、俄罗斯、澳大利亚和中国的目标进行实时操作。

值得注意的是,Winnti 在周末记录的时间很少,尽管在周日观察到一些活动,可能是为了执行人员不足的 IT 团队不太可能注意到的操作。

潜伏在阴影中
即使研究人员持续跟踪 Winnti 的行动,这个老练的中国组织仍然隐藏得很好,并且继续其网络间谍活动不受阻碍。

然而,Group-IB 的报告有助于填补空白,概述了黑客组织的策略、技术和程序 (TTP),并确认 Winnti 设法保持难以捉摸。

2022 年 1 月,卡巴斯基的研究人员发现了“MoonBounce”,这是一种由 Winnti 在野外针对知名组织部署的高级UEFI 固件植入程序。

2022 年 3 月,Mandiant 报告说, Winnti 使用 Cisco 和 Citrix 漏洞攻击了美国六个州的政府网络。

2022 年 5 月,Cyber​​eason 的一份报告在绘制了至少自 2019 年以来一直在进行的以前未知的操作后,发现了很多有关 Winnti 的武器库和 TTP(技术、战术和程序)的信息。

转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » Winnti黑客将Cobalt Strike 拆分为154块以逃避检测