“窃密寄生虫”木马群发邮件传播，危害北上广等地众多企业
感谢腾讯御见威胁情报中心来稿！
原文：https://s.tencent.com/research/report/846.html
一、背景
腾讯安全御见威胁情报中心检测到以窃取机密为目的的大量钓鱼邮件攻击，主要危害我国外贸行业、制造业及互联网行业。攻击者搜集大量待攻击目标企业邮箱，然后批量发送伪装成“采购订单”的钓鱼邮件，邮件附件为带毒压缩文件。若企业用户误解压执行附件，会导致多个“窃密寄生虫”（Parasite Stealer）木马被下载安装，之后这些木马会盗取多个浏览器记录的登录信息、Outlook邮箱密码及其他机密信息上传到指定服务器。
御见威胁情报中心根据一个窃密木马PDB信息中包含的字符“Parasite Stealer”(窃密寄生虫)，将其命名为Parasite Stealer（窃密寄生虫）。
根据腾讯安全御见威胁情报中心的监测数据，受Parasite Stealer（窃密寄生虫）木马影响的地区分布特征明显，主要集中在东南沿海地区，其中又以广东、北京和上海最为严重。这些地区也是我国外贸企业和互联网企业相对密集的省市。
此次攻击影响约千家企业，从行业分布来看，Parasite Stealer（窃密寄生虫）病毒影响最多的是贸易服务、制造业和互联网行业。
二、详细分析
“窃密寄生虫”（Parasite Stealer）木马的主要作案流程为：通过邮件群发带毒附件，附件解压后是伪装成文档的Jscript恶意脚本代码，一旦点击该文件，脚本便会拷贝自身到启动项目录，然后通过写二进制释放木马StealerFile.exe。StealerFile.exe进一步从服务器下载名为“q”,”w”,”e”,”r”,”t”的多个木马盗窃中毒电脑机密信息，并将获取到的信息通过FTP协议上传到远程服务器。
钓鱼邮件 钓鱼邮件内容如下，附带的邮件附件名为K378-19-SIC-RY – ATHENA REF. AE19-295.gz。
附件 附件解压后为Jscript脚本文件K378-19-SIC-RY – ATHENA REF. AE19-295.js，该文件执行后会立即拷贝自身到全局启动目录下。
Jscript脚本进一步通过写二进制释放木马文件StealerFile.exe，StealerFile.exe会使用Word.exe程序的图标来进行伪装。
随后StealerFile.exe从服务器依次下载q.exe，w.exe，e.exe运行，若判断系统为64位还会下载r.exe，t.exe运行。
q.exe q.exe（64位对应t.exe）为密码窃取程序。chrome浏览器加密后的密钥存储于%APPDATA%\..\Local \Google\Chrome\User Data\Default\Login Data下的一个SQLite数据库中，使用CryptProtectData加密。首次登陆某个网站时，Chrome会询问是否记住密码，若选择是则浏览器将密码保持到SQLite数据库中。 木马从数据库中抽取出action_url，username_value 和password_value，然后调用Windows API中的CryptUnprotectData函数来破解密码。
64位版本t.exe 64位版本t.exe文件PDB为
E:\Work\HF\KleptoParasite Stealer 2018\Version 6\3 – 64 bit firefox n chrome\x64\Release\Win32Project1.pdb
Firefox登录密码加密时使用的Signons.sqlite和key3.db文件均位于%APPDATA%\Mozilla \Firefox\Profiles\[random_profile]目录下的sqlite数据库中。木马使用NSS的开源库中的函数来破解加密所使用的SDR密钥，进而破译Base64编码的数据。
w.exe和e.exe w.exe目前无法下载，e.exe的功能为获取当前计算机所使用的外网IP地址，并将其添加到待上传文件DXWRK.html中。
r.exe r.exe为邮箱密码窃取程序。通过读取 “Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows Messaging Subsystem\\Profiles\\Outlook\\9375CFF0413111d3B88A00104B2A6676″等位置的注册表来获取Outlook保存的密码信息。
待下载的各个模块完成密码搜集工作后，StealerFile.exe尝试连接到指定的FTP服务器，准备上传机密信息文件，代码中保存有5组地址和登录所需账号密码可供登录使用。
（为防止受害者信息泄露，做打码处理）
FTP服务器地址：
“ftp.secures******.com”
“ftp.driv******..com”
“45.137.***.95”
“ftp.an******.com”
“fine.tec******”
登录用户名：
“admi*****”
“insan*****on.com”
“lenfi**********net.com”
“a$%2*****23”
“8347**********1”
登录密码：
“ad******”
“%*h#$j#******”
“W@T9$$******”
“1pass4ll@let******”
连接服务器成功后，通过调用FtpPutFileA函数将存有账号密码等机密信息的本地文件\%Temp%\DXWRK.html上传为服务器指定文件<random>_.htm。
我们利用木马中的账号密码登录到其中一个FTP服务器，可以看到其保存的文件列表如下。
下载某个服务器上的.htm文件，其内容为用户使用Firefox，Chrome浏览器登录某些网站时使用的用户名和密码等信息。
三、安全建议
IOCs@Parasite Stealer
伪造的发件邮箱：
ayp@hct-battery.com
sales5@amotach-cn.com
admin@ticctv.com
marketing@med-linket.com
wy-sh@szzhenji ***
g-factory@paiying.com.tw
fm@saspg.com
hoteamsoft@hoteamsoft.com
zhong.fei.ran@tateyam *** .cn
info@space-icecream.com
chu.yi.ye@tateyam *** .cn
su.jia.min@tateyam *** .cn
cnsy@quartzglasschin ***
admin@tingyimould.com
overseas_sales@waxpi.com
zhong.fei.ran@tateyam *** .cn
info@tongyongfans.com
liuxiong@xinteenergy.com
chu.yi.ye@tateyam *** .cn
g-factory@paiying.com.tw
wangjc96@tsinghua.org.cn
zhong.fei.ran@tateyam *** .cn
pzg@teccable.com
zsh@tgc.edu.cn
liucong@mail.cmec.com
baiyang@baiyangcy.com
xiongyi@yanshun-sh.com
su.jia.min@tateyam *** .cn
guokai@ruiduo.net.cn
wy-sh@szzhenji ***
olive@ykxfw ***
MD5
b213bf2fb08b6f9294e343054c8231f4（K378-19-SIC-RY – ATHENA REF. AE19-295.gz）
67eabc565db23cf5a965309eaa62228d（K378-19-SIC-RY – ATHENA REF. AE19-295.js）
a5fe827cf2bc87008588f633a5607755（StealerFile.exe）
15a02f0d086df6a9082667635d524e92（q.exe）
499de77bc4d8d91a62e824ce40b306bd（e.exe）
16690c337d1d78ac18f26926c0e0df7b（r.exe）
1cd8b31b1aef17f1901db887b7de6f2d（t.exe）
URL
http[:]//drajacoffee.com/images/produk/t
http[:]//drajacoffee.com/images/produk/q
http[:]//drajacoffee.com/images/produk/e
http[:]//drajacoffee.com/images/produk/r
http[:]//drajacoffee.com/images/produk/w
ftp[:]//ftp.sec*****g.com
ftp[:]//ftp.dr*****.com
ftp[:]//45.137.***.***
ftp[:]//ftp.a*****.com
““窃密寄生虫”木马群发邮件传播，危害北上广等地众多企业” 的相关文章
哥斯达黎加政府部分网络系统因遭黑客攻击 仍处于关闭状态
截至当地时间4月22日，因遭到国际黑客攻击，哥斯达黎加部分政府公共服务网络仍处于关闭状态。哥斯达黎加总统阿尔瓦拉多此前一天对此表示谴责。他表示，哥斯达黎加不会向国际黑客组织妥协，目前有关部门正在加紧网络管理技术升级，加固网络安全，同时评估泄漏数据的规模和损失，与国际组织和公司合作，加紧恢复受损系统。...
NVIDIA 拒绝支付赎金后 威胁者利用代码签署恶意软件 可在 Windows 中加载
利用窃取过来的 NVIDIA 代码，威胁者利用签名证书来签署恶意软件，使其看起来值得信赖，并允许在 Windows 中加载恶意驱动程序。本周，NVIDIA 公司证实，他们遭受了一次网络攻击，使威胁者得以窃取员工的证书和专有数据。 对本次泄露事件负责的勒索集团 Lapsus$ 表示，他们已经窃取了...
去年恶意勒索资金中有 74% 流向了俄罗斯有关黑客手中
一项新研究表明，2021 年通过勒索软件攻击方式牟取的所有资金中有 74% 流向了俄罗斯有关的黑客手中。研究人员说，价值超过 4 亿美元的加密货币支付给了“极有可能与俄罗斯有关联”的团体。研究人员还称，大量基于加密货币的洗钱活动是通过俄罗斯加密公司进行。 这项研究是由 Chainalysi...
俄乌冲突引发顾虑 五眼网络安全部门建议盟友增强关键基础设施防护
以美国为首的“五眼”网络安全部门，刚刚向其盟友（包括英国、加拿大、澳大利亚和新西兰）发出了关键网络基础设施的维护警告。美国家安全局（NSA）给出的理由是 —— 受俄罗斯支持的黑客组织，或对乌克兰境内外的组织构成更大的风险 —— 因而建议各组织对相关网络威胁保持高度警惕，并遵循联合咨询中提当过的缓解...
Project Zero 报告：2021 年共发现 58 个已被黑客利用的零日漏洞
Project Zero 是由 Google 专家和分析师组成的内部团队，负责寻找零日漏洞和其他对网络产生威胁的漏洞。本周二，该团队发布公告称，在 2021 年共发现了 58 个已被黑客利用的漏洞，刷新了历史记录。 零日漏洞是指开发人员刚刚意识到的安全缺陷，因此，他们有“零天”时间来修复...
跨越多代：三星修复影响上亿 Android 设备的硬件密钥安全漏洞
SamMobile 报道称，尽管三星总能在 Google 正式发布修复之前，就为自家规模庞大的 Android 移动设备提供安全更新。然而过去多年销售的三星智能机，还是被发现存在一个出厂即有的安全漏洞，使得黑客能够轻易提取包括密码在内的敏感信息。以色列特拉维夫大学的研究人员指出，问题在于 Galax...
评论列表
发表评论
