背景

近期的Firefox漏洞CVE-2019-11707最早是 Google Project Zero的Samuel Groß在4月15号提交的,不过他发现的0day只能导致代码执行,却无法进行Firefox的沙盒逃逸,因此如果在实际攻击中利用应该还需要配合一个沙盒逃逸的漏洞。

随后在近日,数字货币交易机构Coinbase的安全人员向Firefox提交了其内部遭到攻击时捕获到的一个漏洞,该漏洞经过证明为一处沙盒逃逸的漏洞,并被命名为CVE-2019-11708。

后续Coinbase的相关安全人员也公布了其中的 IOC,并且声称其并不是遭受攻击的唯一数字货币交易机构。

Hash:

af10aad603fe227ca27077b83b26543b

de3a8b1e149312dac5b8584a33c3f3c6

C2 IP:

89.34.111.113:443

185.49.69.210:80

并且著名的Mac恶意样本研究小站Objective-See发布了涉及该漏洞事件投递的macOS 后门的分析报告(https://objective-see.com/blog/blog_0x43.html)。

结合报告披露的内容,有数字加密货币的相关人员收到了如下图的邮件之后,点击了对应的html从而导致后台恶意代码执行,有意思的是其提供的后续恶意代码和之前Coinbase安全人员提供的一致,即de3a8b1e149312dac5b8584a33c3f3c6,因此将这个两次事件联系到一起,猜测这次0day的攻击源头来自于people.ds.cam.ac.uk/nm603/awards/Adams_Prize。

随后我们对相关线索进行进一步的分析。

分析

我们通过vt可以看到Coinbase提供的两个样本,其中主要关注第二个,该样本和之前objective-see中提到的一致。

第一次的提交时间为6月6日,来自于南非,第二次则是6月20日,来自于加拿大。

再看看由Coinbase提供的两个ip,89.34.111.113:443和185.49.69.210:80

其中89.34.111.113下就有之前提到的de3a8b1e149312dac5b8584a33c3f3c6(IconServicesAgent),除此之外一个还有一个windows相关的样本,上传时间为2018年4月16日。

结合奇安信TIP 平台也可以查看到该 IP 历史对应的样本,其为 Emotet,知名的银行木马。

185.49.69.210:80下则没有太多有效关联信息。

分析下de3a8b1e149312dac5b8584a33c3f3c6这个样本,该样本应该是 Mac 下的 Netwire RAT,Netwire RAT 是一个公开的木马。样本中有一处比较特殊的字符串"hyd7u5jdi8"。

hyd7u5jdi8这个字符比较特殊,其曾在2012年的Netwire样本中出现,该样本号称第一个mac osx及linux的样本。

而该Netwire 木马之前也被APT组织和网络犯罪团伙所使用:

例如被认为隶属于伊朗的APT 33所使用, 著名的网络犯罪团伙Carbanak和尼日利亚黑客组织SilverTerrier。

有意思的是之后名为Vitali Kremez的研究人员介绍该字符串也出现在 FireEye在2017年5月报的CVE-2017-0261 eps 0day攻击事件中。

而在当时的攻击中最后投递的样本正是Netwire。

而从fireeye的报告中可以看到,这起攻击中出现了三个团伙turla,apt28,及一个未知的经济动机组织,该组织使用的正是NETWIERE,且其攻击的目标为全球银行组织在中东的相关机构。

而我们注意到fireeye在2019年3月底的利用 WinRAR 漏洞CVE-2018-20250的攻击活动报告中的一起攻击活动中,提到了利用 WinRAR 漏洞投递 Netwire 木马,并且使用了89.34.111.113的 C2,其 C2 IP 地址和此次0day 漏洞的攻击 C2相同。

总结

当前的证据似乎还不能完全归属到已知的攻击组织,但结合上述关联分析,我们可以做出如下推测:

1. 该组织应该以经济牟利为重要攻击动机,历史攻击目标可能为银行,并延伸至数字货币交易所

2. 从目标地域来看,中东似乎是其主要目标,但结合文件上传地分布,也不排除是全球性的

3. 使用 Netwire 作为其主要的 RAT 工具,值得注意的是 Netwire 是公开的商业版 RAT,并适配与多个平台,攻击者可能使用的带有特定指纹的版本

4. 攻击者似乎具备较强的0day 漏洞利用能力,但也不排除其是购买的0day 漏洞,但值得注意的是攻击者一直处于活跃之中。

参考链接

https://www.bleepingcomputer.com/news/security/firefox-0-day-used-in-targeted-attacks-against-cryptocurrency-firms/

https://www.fireeye.com/blog/threat-research/2019/03/winrar-zero-day-abused-in-multiple-campaigns.html

https://www.fireeye.com/blog/threat-research/2017/05/eps-processing-zero-days.html

https://www.lac.co.jp/lacwatch/pdf/20190619_cecreport_sp.pdf

https://objective-see.com/blog/blog_0x43.html

https://ti.360.net/blog/articles/winrar-exploit-update/

https://www.symantec.com/blogs/threat-intelligence/elfin-apt33-espionage

https://www.fireeye.com/blog/threat-research/2017/09/apt33-insights-into-iranian-cyber-espionage.html

声明:本文来自奇安信威胁情报中心,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。