“窃密寄生虫”木马群发邮件传播，危害北上广等地众多企业
感谢腾讯御见威胁情报中心来稿！
原文：https://s.tencent.com/research/report/846.html
一、背景
腾讯安全御见威胁情报中心检测到以窃取机密为目的的大量钓鱼邮件攻击，主要危害我国外贸行业、制造业及互联网行业。攻击者搜集大量待攻击目标企业邮箱，然后批量发送伪装成“采购订单”的钓鱼邮件，邮件附件为带毒压缩文件。若企业用户误解压执行附件，会导致多个“窃密寄生虫”（Parasite Stealer）木马被下载安装，之后这些木马会盗取多个浏览器记录的登录信息、Outlook邮箱密码及其他机密信息上传到指定服务器。
御见威胁情报中心根据一个窃密木马PDB信息中包含的字符“Parasite Stealer”(窃密寄生虫)，将其命名为Parasite Stealer（窃密寄生虫）。
根据腾讯安全御见威胁情报中心的监测数据，受Parasite Stealer（窃密寄生虫）木马影响的地区分布特征明显，主要集中在东南沿海地区，其中又以广东、北京和上海最为严重。这些地区也是我国外贸企业和互联网企业相对密集的省市。
此次攻击影响约千家企业，从行业分布来看，Parasite Stealer（窃密寄生虫）病毒影响最多的是贸易服务、制造业和互联网行业。
二、详细分析
“窃密寄生虫”（Parasite Stealer）木马的主要作案流程为：通过邮件群发带毒附件，附件解压后是伪装成文档的Jscript恶意脚本代码，一旦点击该文件，脚本便会拷贝自身到启动项目录，然后通过写二进制释放木马StealerFile.exe。StealerFile.exe进一步从服务器下载名为“q”,”w”,”e”,”r”,”t”的多个木马盗窃中毒电脑机密信息，并将获取到的信息通过FTP协议上传到远程服务器。
钓鱼邮件 钓鱼邮件内容如下，附带的邮件附件名为K378-19-SIC-RY – ATHENA REF. AE19-295.gz。
附件 附件解压后为Jscript脚本文件K378-19-SIC-RY – ATHENA REF. AE19-295.js，该文件执行后会立即拷贝自身到全局启动目录下。
Jscript脚本进一步通过写二进制释放木马文件StealerFile.exe，StealerFile.exe会使用Word.exe程序的图标来进行伪装。
随后StealerFile.exe从服务器依次下载q.exe，w.exe，e.exe运行，若判断系统为64位还会下载r.exe，t.exe运行。
q.exe q.exe（64位对应t.exe）为密码窃取程序。chrome浏览器加密后的密钥存储于%APPDATA%\..\Local \Google\Chrome\User Data\Default\Login Data下的一个SQLite数据库中，使用CryptProtectData加密。首次登陆某个网站时，Chrome会询问是否记住密码，若选择是则浏览器将密码保持到SQLite数据库中。 木马从数据库中抽取出action_url，username_value 和password_value，然后调用Windows API中的CryptUnprotectData函数来破解密码。
64位版本t.exe 64位版本t.exe文件PDB为
E:\Work\HF\KleptoParasite Stealer 2018\Version 6\3 – 64 bit firefox n chrome\x64\Release\Win32Project1.pdb
Firefox登录密码加密时使用的Signons.sqlite和key3.db文件均位于%APPDATA%\Mozilla \Firefox\Profiles\[random_profile]目录下的sqlite数据库中。木马使用NSS的开源库中的函数来破解加密所使用的SDR密钥，进而破译Base64编码的数据。
w.exe和e.exe w.exe目前无法下载，e.exe的功能为获取当前计算机所使用的外网IP地址，并将其添加到待上传文件DXWRK.html中。
r.exe r.exe为邮箱密码窃取程序。通过读取 “Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows Messaging Subsystem\\Profiles\\Outlook\\9375CFF0413111d3B88A00104B2A6676″等位置的注册表来获取Outlook保存的密码信息。
待下载的各个模块完成密码搜集工作后，StealerFile.exe尝试连接到指定的FTP服务器，准备上传机密信息文件，代码中保存有5组地址和登录所需账号密码可供登录使用。
（为防止受害者信息泄露，做打码处理）
FTP服务器地址：
“ftp.secures******.com”
“ftp.driv******..com”
“45.137.***.95”
“ftp.an******.com”
“fine.tec******”
登录用户名：
“admi*****”
“insan*****on.com”
“lenfi**********net.com”
“a$%2*****23”
“8347**********1”
登录密码：
“ad******”
“%*h#$j#******”
“W@T9$$******”
“1pass4ll@let******”
连接服务器成功后，通过调用FtpPutFileA函数将存有账号密码等机密信息的本地文件\%Temp%\DXWRK.html上传为服务器指定文件<random>_.htm。
我们利用木马中的账号密码登录到其中一个FTP服务器，可以看到其保存的文件列表如下。
下载某个服务器上的.htm文件，其内容为用户使用Firefox，Chrome浏览器登录某些网站时使用的用户名和密码等信息。
三、安全建议
IOCs@Parasite Stealer
伪造的发件邮箱：
ayp@hct-battery.com
sales5@amotach-cn.com
admin@ticctv.com
marketing@med-linket.com
wy-sh@szzhenji ***
g-factory@paiying.com.tw
fm@saspg.com
hoteamsoft@hoteamsoft.com
zhong.fei.ran@tateyam *** .cn
info@space-icecream.com
chu.yi.ye@tateyam *** .cn
su.jia.min@tateyam *** .cn
cnsy@quartzglasschin ***
admin@tingyimould.com
overseas_sales@waxpi.com
zhong.fei.ran@tateyam *** .cn
info@tongyongfans.com
liuxiong@xinteenergy.com
chu.yi.ye@tateyam *** .cn
g-factory@paiying.com.tw
wangjc96@tsinghua.org.cn
zhong.fei.ran@tateyam *** .cn
pzg@teccable.com
zsh@tgc.edu.cn
liucong@mail.cmec.com
baiyang@baiyangcy.com
xiongyi@yanshun-sh.com
su.jia.min@tateyam *** .cn
guokai@ruiduo.net.cn
wy-sh@szzhenji ***
olive@ykxfw ***
MD5
b213bf2fb08b6f9294e343054c8231f4（K378-19-SIC-RY – ATHENA REF. AE19-295.gz）
67eabc565db23cf5a965309eaa62228d（K378-19-SIC-RY – ATHENA REF. AE19-295.js）
a5fe827cf2bc87008588f633a5607755（StealerFile.exe）
15a02f0d086df6a9082667635d524e92（q.exe）
499de77bc4d8d91a62e824ce40b306bd（e.exe）
16690c337d1d78ac18f26926c0e0df7b（r.exe）
1cd8b31b1aef17f1901db887b7de6f2d（t.exe）
URL
http[:]//drajacoffee.com/images/produk/t
http[:]//drajacoffee.com/images/produk/q
http[:]//drajacoffee.com/images/produk/e
http[:]//drajacoffee.com/images/produk/r
http[:]//drajacoffee.com/images/produk/w
ftp[:]//ftp.sec*****g.com
ftp[:]//ftp.dr*****.com
ftp[:]//45.137.***.***
ftp[:]//ftp.a*****.com
““窃密寄生虫”木马群发邮件传播，危害北上广等地众多企业” 的相关文章
去年恶意勒索资金中有 74% 流向了俄罗斯有关黑客手中
一项新研究表明，2021 年通过勒索软件攻击方式牟取的所有资金中有 74% 流向了俄罗斯有关的黑客手中。研究人员说，价值超过 4 亿美元的加密货币支付给了“极有可能与俄罗斯有关联”的团体。研究人员还称，大量基于加密货币的洗钱活动是通过俄罗斯加密公司进行。 这项研究是由 Chainalysi...
俄乌冲突引发顾虑 五眼网络安全部门建议盟友增强关键基础设施防护
以美国为首的“五眼”网络安全部门，刚刚向其盟友（包括英国、加拿大、澳大利亚和新西兰）发出了关键网络基础设施的维护警告。美国家安全局（NSA）给出的理由是 —— 受俄罗斯支持的黑客组织，或对乌克兰境内外的组织构成更大的风险 —— 因而建议各组织对相关网络威胁保持高度警惕，并遵循联合咨询中提当过的缓解...
美国联邦调查局通缉 23 岁俄罗斯黑客
Hackernews 编译，转载请注明出处： 一名23岁的俄罗斯人在美国被起诉，并被列入美国联邦调查局网络通缉名单，因为他被指控是一家网络犯罪论坛 Marketplace A的管理员，该论坛出售被盗的登录凭证、个人信息和信用卡数据。 伊戈尔 · 德赫蒂亚克(Igor Dekhty...
BlackMatter 勒索软件营运者称因地方当局压力而停业
BlackMatter勒索软件背后的犯罪集团今天宣布计划关闭其业务，理由是来自地方当局的压力。该组织在其 “勒索软件即服 “门户后台发布的一条信息中宣布了其计划，其他犯罪集团通常在这里注册，以获得BlackMatter勒索软件的使用权。 这条消息是由vx-underground信息安全小组的一名成员...
微软警告称乌克兰计算机网络遭到具有潜在破坏性的网络攻击
微软周六晚间警告说，它在乌克兰的几十个政府和私人计算机网络中检测到一种极具破坏性的恶意软件，似乎在等待着一种未知行为的触发。该公司在一篇博文中说，周四，大约在乌克兰政府机构发现其网站被破坏的同一时间，监视微软全球网络的调查人员发现了该代码。微软说：”这些系统横跨多个政府、非营利组织和信息技术组织，都...
因担心通风报信 FBI 暂缓公开 REvil 恶意软件的密钥
今年夏季 REvil 团伙发起了将近 3 周的大规模恶意软件攻击，美国联邦调查局（FBI）秘密扣留了密钥。该密钥本可以解密多达 1500 个网络上的数据和计算机，包括医院、学校和企业运营的网络。 援引华盛顿邮报报道，联邦调查局渗透了 REvil 团伙的服务器以获得该密钥。不过在和其他机构讨论之后，...
评论列表
发表评论
