节日期间某企业远程办公遭遇 XRed 病毒攻击
感谢腾讯御见威胁情报中心来稿！
原文：https://s.tencent.com/research/report/880.html
腾讯企业安全应急响应中心（下称腾讯安全）接到某互联网公司求助，该公司一位业务主管分享到内部工作群的远程办公工具及电子表格文件被发现感染病毒，导致部门200多名员工电脑被感染，该公司担心系统业务安全受到威胁。
一、概述
受疫情影响，多个省市延长春节假期，一些企事业单位、互联网公司或推迟开工日期，或全员进行远程办公，一部分员工使用个人电脑临时替代工作电脑，增加了企业被感染的风险。
近日，腾讯企业安全应急响应中心（下称腾讯安全）接到某互联网公司求助，该公司一位业务主管分享到内部工作群的远程办公工具及电子表格文件被发现感染病毒，导致部门200多名员工电脑被感染，该公司担心系统业务安全受到威胁，希望腾讯安全协助处理。
接到求助后，腾讯安全工程师和该公司密切配合，快速梳理了相关信息，通过溯源发现是该企业在进行远程办公时，某位业务主管使用个人电脑办公，该电脑被XRed病毒感染，致使电脑EXE文件及电子表格文件均被病毒感染，通过内部工作群分享远程办公工具之后，造成该病毒在同事间扩散。
通过分析，腾讯安全专家发现XRed病毒是具备远程控制、信息窃取能力的感染型病毒，可以感染本地EXE文件及xlsx电子表格文件，病毒可通过文件分享和U盘、移动硬盘等媒介传播。
该企业因发现比较及时，使用腾讯电脑管家或腾讯T-sec终端安全管理系统清除病毒后，已完美恢复被感染的文件，本次病毒攻击未对该企业造成重大影响。
二、病毒感染源排查
1.该公司前期内部排查：公司网管注意到某员工通过内部工作群分享的压缩包中远程办公工具exe文件被感染，而公司统一提供的远程办公工具exe则为正常文件。因此基本确认病毒传播源头。
2.腾讯安全工程师对此进行了远程排查，发现怀疑感染病毒的电脑有如下现象：
（1）在该电脑上解压文件，发现解压出来的exe文件对比原始文件大，已被感染
（2）任意复制一个exe文件放到桌面上，exe文件都会被感染，感染后文件描述被修改成触摸板设备驱动程序，据此可以基本确认该病毒为同行已披露过的“Synaptics”蠕虫病毒。
（3）继续检查发现，这台中毒电脑上破解版压缩软件并未发现“供应链污染”类问题。基本可以确认是这台个人电脑更早前某个时刻感染XRed病毒，在本次应急用作工作电脑远程办公使用，对外分享文件时，被该公司IT人员监测发现异常。
三、阻断病毒传播和修复方案
四、样本详细分析
根据该病毒在写入的日志信息以及Gmail用户名的关键词，将该感染型病毒名确定为“XRed”。XRed病毒最近四个月较为活跃，有一定增长态势。
该病毒通过感染指定位置的32位的“.exe”后缀文件与“.xlsx”后缀文件，使其恶意代码可以通过文件共享大量传播但不会导致系统明显卡顿。
如下三个指定的感染位置：
%USERPROFILE%\Desktop
%USERPROFILE%\Documents
%USERPROFILE%\Downloads
被感染的文件被执行时，会执行恶意逻辑，包括释放伪装名为“Synaptics.exe”的文件常驻系统，进行远程控制，回传窃取的敏感信息等恶意行为。
主要功能逻辑如下图所示：
被感染的可执行文件体积增量约为753KB，包含一个名为“EXERESX”的资源，该资源是原始正常的程序。被感染的文件资源如下图所示。
EXERESX”资源会在宿主文件运行时被释放到当前目录并设置隐藏属性后执行。添加“ ._cache_”前缀拼接文件名，如下图所示。
该病毒释放并加载名为“KBHKS”的动态库资源，通过设置相关钩子消息以记录键盘输入信息及其窗口信息等， Hook代码关键逻辑如下：
病毒使用“XL *** ”资源感染xlsx后缀文件，并将“.xlsx”后缀改为“.xl *** ”。修改office组件设置以及xl *** 后缀目的为了能够自动静默启用宏。
“XL *** ”资源包含了恶意VBA脚本，恶意功能如下：
- 篡改Word和Excel组件的宏设置，启用所有宏。
- 通过公有云盘下载并执行Synaptics.exe病毒。
键盘记录特殊虚拟键码转换如下图所示
用于回传敏感信息的邮箱账密、配置与病毒本体的更新链接等硬编码配置如下图所示：
具有基础的远程控制功能，包括执行CMD命令、屏幕截图、打印目录、下载文件、删除文件等。功能代码如下图所示：
远控功能
IOCs:
md5
13358cfb6040fd4b2dba262f209464de
C2 & URL
xred.mooo.com
freedns.afraid.org/api/?action=getdyndns&sha=a30fa9*****797bcc613562978
hxxps://docs.google.com/uc?id=0BxsM*****aHFYVkQxeFk&export=download
hxxps://www.dropbox.com/s/zh*****hwylq/Synaptics.rar?dl=1
hxxp://xred.site50.net/syn/*****.rar
病毒作者邮箱地址
xredline1@gmail.com
xredline2@gmail.com
xredline3@gmail.com
参考资料：
https://www.freebuf.com/articles/terminal/222991.html
“节日期间某企业远程办公遭遇 XRed 病毒攻击” 的相关文章
日本电装德国分部大量机密数据被窃取 黑客威胁将公开
丰田汽车旗下零部件制造商日本电装于13日宣布，其德国当地法人受到了网络攻击。该公司确认其网络感染了勒索软件。被认定发动了此次攻击的黑客集团已经发布了勒索声明。公司称虽然目前并没有立刻对公司经营造成影响，但是“关于受害的详细情况正在调查中”。公司已向德国当地政府提交了受害报告。 据信息安全公司三井物...
美国在俄罗斯对乌克兰采取军事行动前已展开网络防御秘密任务
在俄罗斯对乌克兰采取军事行动的几个月前，一队美国人在乌克兰各地寻找一种非常特殊的威胁。据悉，其中一些小组成员是美国陆军网络司令部的士兵，其他人则是民用承包商和一些美国公司的雇员，他们帮助保护关键基础设施免受俄罗斯机构对乌克兰采取的网络攻击。 自2015年乌克兰电网遭遇网络攻击进而导致基辅部分地区停...
分销网络遭黑客攻击后，伊朗加油站停止服务
伊朗国家石油产品分销公司（NIOPDC）的加油站26日停工，原因是网络攻击波及了整个分销网络。 NIOPDC网络在全国拥有3500多个加油站，80多年来一直供应石油产品。 调查机构正在查找造成破坏的原因，目前还没有公开说明幕后黑手的信息，但伊朗正在指责一个敌对国家。 并非全无线索，ISNA 通讯社首...
攻击者部署后门，窃取 Exchange 电子邮件
网络安全研究人员将该 APT 组织追踪为 UNC3524，并强调在某些情况下，该组织可以对受害者环境进行超过 18 个月的访问，展示了其 “先进 “的隐匿能力。 在每一个 UNC3524 受害者环境中，攻击者都会针对一个子集的邮箱，集中其注意力在执行团队和从事企业发展、兼并和收购的员工或 IT 安...
加密货币平台 Wormhole 遭黑客入侵 预估损失 3.22 亿美元
Wormhole Portal 刚刚遭遇了“桥梁”漏洞攻击，导致该加密货币平台损失了相当于 3.228 亿美元的 ETH 和 SOL 。问题源于以太坊区块链上的一个“智能合约”缺陷，别有用心的攻击者可借此将一款加密货币转换成另一种并跑路。 攻击后，失窃的加密货币资产已缩水至 2.94 亿美元。虽然...
FontOnLake Rootkit 恶意软件攻击 Linux 系统
网络安全研究人员详细介绍了一项新的黑客行动，该行动可能以东南亚的实体为目标，工具是一种以前未被识别的Linux恶意软件，该恶意软件被用于进行远程访问，此外还可以收集凭证和充当代理服务器。 该恶意软件家族被斯洛伐克网络安全公司ESET称为“FontOnLake”，据说具有“设计良好的模块”，可以不断升...
评论列表
发表评论
