LinuxEye - Linux系统教程

LinuxEye - Linux系统教程

当前位置: 主页 > 安全 >

详细分析韩国网络攻击(Trojan.Hastati)

时间:2013-03-23 20:23来源:freebuf 编辑:freebuf 点击:
日前,美国安全公司fireeye针对最近韩国遭受的网络攻击做出了一系列分析,在此次网络攻击行为中,使用的恶意软件通过直接访问\\.\PhysicalDrive来破坏硬盘的引导记录(MBR),而且可以
日前,美国安全公司fireeye针对最近韩国遭受的网络攻击做出了一系列分析,在此次网络攻击行为中,使用的恶意软件通过直接访问\\.\PhysicalDrive来破坏硬盘的引导记录(MBR),而且可以删除硬盘上的文件。

另一方面,该恶意软件是基于时间触发的,在特定的时间2013年3月20日下午14:00开始检查系统的Windows版本,启动一个线程来直接写入恶意软件到硬盘中,破坏MBR,该恶意软件还自动检查韩国的防病毒软件AhnLabs,并且发现之后立即禁用。

详细分析:
据fireeye从样本分析得出结论,在样本中发现了HASTATI和PRINCPES两个字符串,该字符出出自罗马军队,“HASTATI”是指罗马军队步兵部队三大队列中最前面的先锋部队。这个词的意思是第一列失败后,第二、第三列继续战斗,所以可能是在暗示会发动第二、第三轮黑客攻击。而PRINCPES可能是一个拼写错误,正确的应该是Principes,Principes是指早期罗马共和国军队中的长枪兵,后剑士,他们通常位列在第二战线。如下图:

该恶意软件中存在一个计时器,在2013年3月20日下午14:00开始激活,该功能通过GetLocalTime API实现,激活之后执行如下操作:

1)  taskkill /F /IM pasvc.exe [AhnLab client]
2)  taskkill /F /IM Clisvc.exe

pasvc.exe是AhnLab(注1)的客户端进程,通过taskkill结束pasvc.exe进程,如下图:

恶意软件会自动识别受感染机器的操作系统版本,如果是Windows Vista或以上,那该软件会枚举操作系统上的所有文件,并且使用关键字“HASTATI”或“PRINCPES”来覆盖文件,然后删除所有被覆盖的文 件,让硬盘数据无法恢复。如果发现操作系统是Vista之前的版本,则覆盖硬盘的逻辑驱动器,如下图:

 

下图显示恶意软件枚举所有物理驱动器并改写MBR

使用HASTATI关键字破坏MBR,如下图:

最后,通过调用Winexec API执行shutdown -r -t 0,关闭并重启操作系统,如下图:

 

根据fireeye公司分析,此次攻击韩国的算不上一个复杂的恶意软件,主要是行为主要是破坏硬盘,fireeye公司提供了一个YARA规则,来帮助研究人员分析该恶意软件样本,如下:

rule Trojan_Hastati{
meta:version = “1″
description = “Korean campaign
strings:
$str11 = “taskkill /F /IM clisvc.exe” ”
$str2 = “taskkill /F /IM pasvc.exe”
$str3 = ” shutdown -r -t 0″
condition
all of them
}

注1:
AhnLab,中文名称为:安博士。1995年成立的安博士有限公司是韩国首家从事开发杀毒软件的企业,其总部设在首尔,是全球首批开展信息安全技术研发的企业之一。2000年10月在北京成立了中国代表处,宣布正式进入中国安全市场,并于2003年成立了北京安博士公司。

转载请保留固定链接: http://www.linuxeye.com/security/1399.html

------分隔线----------------------------
标签:网络攻击
评论列表(网友评论仅供网友表达个人看法,并不表明本站同意其观点或证实其描述)
  • 注册立送58元
    2017-03-02 22:18:21发表

    注册送88元﯑澳门星际ﹰ领58元现金﯑发中发 1118T.COM

  • a货专卖店
    2017-02-28 18:04:06发表

    一手货源 CéLINE(赛琳) 广州工厂货源 Chopard(肖邦)Ꝺ工厂代发 Victoria Beckham(维多利亚·贝克汉姆) Wei信:LoveMeJck

  • 高仿手表
    2017-02-28 08:20:55发表

    1:1复刻ධBurberry(巴宝莉) 工厂代发 BASTO(百思图) ධshechipin.gq

栏目列表
推荐内容