记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华Gookit Banking Trojan中的后门利用分析
0x00 前言Gootkit Banking Trojan在2014年被首次发现，最近Daniel Bunce（@ 0verfl0w_）介绍了一些对于Gootkit Banking Trojan的分析，文章地址如下：https://www.sentinelone.com/blog/gootkit-banking-trojan-persistence-other-capabilities/其中，Gootkit Banking Trojan使用的后门启动方法是独有的，所以本文仅在技术研究的角度复现Gootkit Banking Trojan使用的后门启动方法，分析利用思路，给出防御和检测的建议。0x01 简介本文将要介绍以
ArbitraryPHP – 后门姿势，任意PHP代码执行扩展
ArbitraryPHP - 任意PHP代码执行扩展这是一个实验性的PHP扩展，加载这个扩展后，每次请求将可以执行一段自己的PHP代码。可用于：管理目标PHP站点（webshell）HOOK与分析HTTP执行流程在不修改源代码的情况下控制PHP执行结果安装选择对应版本的PHP，下载Releases下的二进制文件安装包，解压并获得相应PHP版本的二进制文件。执行php -i |grep extension_dir，获取扩展目录：将二进制文件arbitraryphp.so移动到扩展目录中，并修改php.ini，开启这个扩展：extension=arbitraryphp.so1extension=arbitraryphp.so 使用请求任意一个PHP，在参数arbitrary_php中增加任意PHP代码，即可执行：A
发布时间:2019-08-30 12:45 |
阅读:10298 | 评论:0 |
标签:后门
Asruex后门变种通过Office和Adobe漏洞感染word和PDF文档
研究人员早在2015年就发现了Asruex后门，而且与DarkHotel监控恶意软件有关联。研究人员最近在PDF文件中发现了Asruex，经过分析发现恶意软件变种通过CVE-2012-0158和CVE-2010-2883漏洞作为感染器来将代码注入word和PDF文件中。使用老的已经修复的漏洞表明该变种的目标是Windows和Mac OS X系统上使用老版本Adobe Reader（versions 9.4之前版本）和Acrobat（v 8.2.5之前版本）的用户。因为其独特的感染能力，安全研究人员可能不会考虑检查Asruex感染的文件，并持续监控后门的能力。了解了新感染方法可以帮助应对此恶意软件变种。技术细节Asrue
捆绑后门的艺术–CobaltStrike backdoor分析
CobaltStrike（以下全部简称为CS）是渗透测试中常用的一个后渗透工具，它可以快速地生成后门并通过其控制目标主机。其中，捆绑型后门是攻击者较为喜欢的一种后门，因为其具有较好的隐蔽性及免杀效果。下面，就来剖析一下该类后门的捆绑及免杀原理。1. 后门制作制作捆绑型后门前，先得创建一个监听器用于与后门通信，点击 Cobalt Strike->Listener创建一个监听器，填上IP和端口号，点击save，就可完成创建。选择端口时，可以使用一些较少为使用的协议端口，好伪装，如下选择的2333端口，是snapp协议的端口。接下来，就可以制作捆绑型的后门，点击 攻击->package->Wind
APT组织PLATINUM使用的两种新后门
2018年6月，卡巴斯基实验室曾在南亚和东南亚的一些国家发现过一组不同寻常的恶意软件样本，以外交、政府和军事实体为攻击目标。此次行动被称为EasternRoppels，最早可追溯到2012年，其幕后推手可能与臭名昭著的PLATINUM APT组织有关。恶意软件的特点是多阶段执行，以及用了一种前所未见的隐写技术来隐藏通信过程。在感染的第一个阶段，攻击者通过WMI订阅功能来运行初始PowerShell下载器，以下载另一个小型的PowerShell后门。我们在收集了许多初始WMI PowerShell脚本后发现，它们的硬编码C2的IP地址、加密密钥、用于加密（以及用于初始加载器）的盐、每天活跃的时间往往都不甚相同。C2地址位
针对中亚地区政府部门的攻击：通过Office漏洞传播新型Hawkball后门
一、概述近期，FireEye Labs观察到针对中亚政府部门的攻击，该攻击利用众所周知的Microsoft Office漏洞CVE-2017-11882和CVE-2018-0802提供新型Hawkball后门。Hawkball是一个后门，攻击者可以利用该后门收集受害者的信息，同时可以提供Payload。Hawkball能够对主机进行信息收集、创建命名管道执行本地Windows命令、终止进程、创建/删除及上传文件、搜索文件、列举驱动器。下图展示了实际攻击中所使用的诱饵文件。诱饵文件doc.rtf（MD5值为：AC0EAC22CE12EAC9EE15CA03646ED70C）包含一个OLE对象，该对象使用公式编辑器将嵌入的
再看Zebrocy：APT28通过Delphi后门执行了哪些命令？
当受害者遭后门入侵并被攻击者控制时会发生什么？这是一个很难回答的问题，即使通过逆向工程代码也难以完全解析。而在本文中，我们将分析Sednit组织在近期行动中发送到目标的命令。Sednit组织，也被称为APT28, Fancy Bear（奇幻熊）, Sofacy 或STRONTIUM，是一个自2004年以来运行的攻击组织，其主要目的是窃取目标的机密信息。他们的行动在过去几年中经常成为头条新闻。去年九月，我们披露了一个名为LoJax的UEFI rootkit的存在，并将其归于Sednit组织。UEFI rootkit允许黑客在目标计算机上植入持久性恶意软件，这些恶意软件能在硬盘驱动器擦除后继续存在。此次发现也表明Sedni
黑客组织TA505利用LoLbin和新型后门攻击金融行业
常年混迹网络安全圈，你可能对网络犯罪分子的一些攻击手法早已不陌生，比如他们为了拓展恶意软件的功能或是使其更难以被检测到，而将之与合法软件相结合使用。而最近Cyberreason的研究人员发现，许多Windows系统进程也会被攻击者们恶意劫持以用于达成他们的目标。在本文中，我们将介绍黑客团伙TA505于2019年4月对某金融机构进行的一场精心策划的攻击事件，它是一起具有强针对性的网络钓鱼。恶意软件的持久性可根据环境选择是否创建，攻击还利用到了一个称为ServHelper的复杂后门。TA505的关键特征· 目标明确——只针对企业内部少数特定账户的进行网络钓鱼。· 恶意代码经过签名验证——这是为了避免被发现而采取的
集后门、挖矿机和勒索软件的攻击活动分析
研究人员收到一封邮件，其中有一个链接，点击后就下载了一个pik.zip文件。该zip文件的名字很给奇怪руппа Компаний ПИК подробности заказа，翻译过来就是PIK Group of Companies order details（PIK公司订单详情）。也就是说是伪造的PIK公司的文件，PIK是俄罗斯的一家房地产公司，有超过14000名员工。研究人员分析脚本发现，该脚本使用多种混淆技术进行混淆。在Stage 0阶段有2个主要的混淆流：· 第一个是引入了伪造了静态fork，比如if和cases；· 第二个是从动态构建或分成多个关联步骤的嵌套字符串中动态构建函数区块。Javascr
SLUB后门使用Slack等进行通信
研究人员近期发现一个非常有意思的恶意软件。首先，该恶意软件通过水坑攻击进行传播，水坑攻击是指攻击者进入入侵用户要访问的网站，并加入恶意代码，然后用户访问该网站时就会被重定向到受感染的代码。在该攻击活动中，每个访问用户只会重定向一次。感染过程利用了CVE-2018-8174漏洞，该漏洞是VB脚本引擎漏洞，微软已于2018年5月修复了该漏洞。究人员发现很多AV产品仍然无法成功检测该后门。最后，研究人员还发现该恶意软件会连接到Slack平台。Slack是一款与IRC其次，该恶意软件使用多阶段感染的方案。在利用了漏洞之后，会下载一个DLL并在PowerShell中运行。该文件实际上是一个下载器，会下载和执行含有后门的可执行文件
我是如何通过分析后门JXplorer样本发现其背后的恶意组织
一、概述最近，我在使用VirusTotal Intelligence进行一些动态行为查询时，偶然发现了这个奇怪的PE二进制文件（MD5：7fce12d2cc785f7066f86314836c95ec）。该文件声称是JXplorer 3.3.1.2的安装程序，根据其官网提供的信息，JXplorer是一个基于Java的跨平台LDAP浏览器和编辑器。为什么我会说它非常奇怪呢？因为一个流行的LDAP浏览器，其安装程序应该不会创建计划任务，从而从免费动态DnS提供商托管的子域名下载和执行PowerShell代码：我一开始，本来打算写一篇简短的文章，并专注于分析这个可疑的JXplorer二进制文件。然而，在我分析的过程中才发现，
新的SLUB后门通过Slack进行通信
趋势科技研究人员最近发现了一个新的恶意软件并对其非常感兴趣。首先，研究人员发现它是通过水坑攻击传播的，这种攻击方法要求攻击者在添加代码之前感染网站，访问者会被重定向到感染代码。在这种情况下，每个访问者只被重定向一次。感染是利用CVE-2018-8174完成的，CVE-2018-8174是一个VBScript引擎漏洞， Microsoft在2018年5月修补了该漏洞。
其次，它使用多阶段感染方案。在利用上述漏洞后，它会下载DLL并在PowerShell（PS）中运行它。然后下载并运行包含后门的第二个可执行文件。在第一阶段，下载程序还会检查是否存在不同类型的防病毒软件，然后有则不再运行。被发现时，防病毒软件并未检测出该后门。
除此之外，研究人员还发现恶意软件连接到了Slack平台，Slack平台是一个协作消息系统，
该来的始终要来——WinRAR ACE漏洞被用来安装后门
研究人员近日发现一起传播恶意RAR的垃圾邮件活动，其中恶意的RAR文件就利用了新发现的WinRAR ACE漏洞来安装恶意软件。上周，Checkpoint在博客中介绍了WinRAR UNACEV2.DLL库中潜藏了19年的漏洞，允许伪造的ACE文件在提取文件时可以提取到Windows开始菜单中。这样恶意可执行文件就获得了驻留，当用户再次登陆到Windows中后会自动启动。为了修复该漏洞，WinRAR开发者直接移除了UNACEV2.DLL和ACE文件类型支持。但有超过5亿用户已经安装了WinRAR，恶意软件也会利用这些已经安装而未升级的版本进行发起攻击。360威胁情报中心发推文称发现了一个分发恶意RAR文件的邮件，该文件提
朝鲜APT组织Lazarus使用KEYMARBLE后门攻击俄罗斯
一、简介在过去的几周里，我们一直在监控针对俄罗斯公司的可疑活动，我们观察到朝鲜对俄罗斯实体开展的一次攻击，这个活动暴露了我们之前从未见过的捕食者-猎物关系。虽然将攻击归因于某个威胁组织或其他组织是有问题的，但下面的分析揭示了其与朝鲜APT组织Lazarus使用的战术、技术和工具的内在联系。这一发现来自我们正在跟踪的为俄罗斯受害者专门设计和制作的多个恶意Office文档。通过仔细检查这些文档，我们能够看出它们属于感染链的早期阶段，此感染链的终端是一个多功能Lazarus后门的更新版本，被US-CERT称为KEYMARBLE 。Lazarus有时也被称为Hidden Cobra，是当今世界上最流行和最活跃的APT
Fake Jobs：你收到的offer可能含有恶意后门
概览自2018年中开始，Proofpoint追踪到一起滥用合法消息服务、发放伪造的工作offer、最终通过邮件来传播More_eggs后门的攻击活动——Fake Jobs。这些活动主要攻击位于美国的公司，涵盖零售业、娱乐业以及其他在线支付的工作行业。攻击活动尝试通过滥用领英的私信（直接消息）服务建立与潜在受害者的关系。然后通过邮件，攻击者假装是某公司的职员为受害者发送工作offer。在许多案例中，攻击者为了支持攻击活动还伪造了网站。而恶意payload就在这些网站上。在其他的案例中，攻击者使用一系列恶意附件来传播More_eggs。传播研究人员在调查过程中还发现这些攻击活动的变种，但是大多数都有一些相同的特征。首先攻击
针对APT28 Zebrocy Delphi加载器后门最新变种的分析（V6.02到V7.00）
一、摘要APT28，也称为Sofacy、Fancy Bear、STRONTIUM、Pawn Storm和Sednit，在2018年持续针对各国政府和政治实体开展攻击，并且活动非常活跃。在我们深入研究最新的Zebrocy样本之前，我强烈推荐首先阅读ESET的文章《Sednit: What's going on with Zebrocy?》以及Ralo Alto Unit 42的文章《Dear Joohn: The Sofacy Group’s Global Campaign》。Zebrocy Delphi变种本质上是收集受害者信息的加载器和后门。部分变种会经过UPX加壳，并将它们的配置数据存储在“TForm1”
公告
关注公众号hackdig，学习最新黑客技术