LuckyMouse相关情报-2

最新推荐文章于 2024-05-22 10:32:24 发布

blackorbird

最新推荐文章于 2024-05-22 10:32:24 发布

阅读量561

点赞数

本文链接：https://blog.csdn.net/blackorbird/article/details/102462265

版权

谢谢您的关注，祝您生活愉快，事业顺利。

640?wx_fmt=png

卡巴斯基于昨日发布了一篇关于LuckyMouse组织通过投放使用了深圳联软科技的证书签名的驱动程序，并声称已向CNCERT反馈问题。

被发现的原因是存在未知的木马被注入lsass.exe系统进程中。而经过排查发现是由数字签名的32位和64位网络过滤驱动程序NDISProxy注入的。

以下为基本信息

组织名称：LuckyMouse (APT27、Iron Tiger、EmissaryPanda和Threat Group-3390)

报告披露时间：9月10日

攻击目的：中亚政府

关联事件：

此前针对中亚某事件相关信息

恶意软件：

该组织最新的恶意软件具有3个模块

a.首先一开始是一个安装包，运行后，使用DES解密出NDISProxy驱动程序文件和木马，并为驱动创建Windows自动运行服务，并将异或后的木马添加到系统注册表项。

b.网络过滤驱动程序（NDISProxy），用于解密并将木马注入lsass.exe,过滤端口3389（远程桌面协议，RDP）流量。

c.木马与驱动程序一起工作，并等待来自C2的通信（通过端口3389或443进行通信）

640?wx_fmt=png

① 安装包关键点

一、安装包一开始是32位程序，会根据系统安装32位或64位驱动，同目录下的load.log会记录所有安装步骤。然后会用DES解密配置文件，配置文件中有一组未使用的端口（HTTP，HTTPS，SMB，POP3S，MSSQL，PPTP和RDP），这一组与[test]字段一起出现，说明软件还处于开发状态，未来也许会再次出现。

二、安装程序会创建信号量（名称取决于配置），Global\Door-ndisproxy-mn

并检查服务（名称还取决于配置）是否已安装ndisproxy-mn。有就写入log中，声明检测到door了

三、

安装程序还解密（使用相同的DES）最后一级木马的shellcode，并将其保存在三个注册表值中，名为xxx0，xxx1，xxx2，密钥为HKLM\SOFTWARE\Classes\32ndisproxy-mn (或 64ndisproxy-mn 【64位系统】)。加密配置在注册表项HKCR\ndisproxy-mn中保存为值filterpd-ndisproxy-mn

640?wx_fmt=png