【安全资讯】攻击者使用域前置技术在缅甸政府网站分发恶意载荷

猎影实验室 2021-11-22 07:02:31 2078人浏览

引言

2021年9月,研究人员发现了一项使用Cobalt Strike发起攻击的恶意活动。攻击者至少自 2021 年 8 月以来一直活跃,使用缅甸政府运营的缅甸数字新闻网络作为其beacon的域前端,从而规避检测。

 

 

简况

Cobalt Strike最初于 2012 年发布,是一种流行的红队软件,渗透测试人员使用它来模拟网络中的攻击者活动。攻击者将其用作初始访问有效载荷,使攻击者能够执行各种后利用活动,包括横向移动和部署恶意软件。

 

 

恶意软件在受害者机器上执行后会反射加载Cobalt Strike beacon.dll文件,同时在运行时加载多个库并根据嵌入式配置文件生成beacon。攻击者在DNS请求中使用无害的域名来进行连接,而实际要连接的被封锁域名仅在创建HTTPS连接后发出,并在Host头中携带另一个C2域名。

 

 

域前置可以通过恶意服务器和目标之间的重定向来实现。恶意行为者可能会滥用各种内容交付网络 (CDN) 来设置将服务内容重定向到由攻击者控制的 C2 主机服务。Cloudflare 是 CDN 服务之一,为其用户提供全球分布式缓存,用于托管在其服务器上的文件。域名前置的概要图如下:

 

 

攻击者尝试了不同的主机组合,目的是完善域前置技术。从 2021 年 9 月开始,攻击者开始使用缅甸数字新闻域作为其beacon的前端。虽然默认的 C2 域被指定为 www[.]mdn[.]gov[.]mm,但beacon的流量被重定向到事实上的 C2 test[.]softlemon[.]net。在野发现的恶意软件样本时间轴如下图:

 

 

域前置是攻击者用来规避基于 DNS 过滤的技术。当 Beacon 启动时,将为托管在 Cloudflare 基础设施后的合法高信誉域提交 DNS 请求,并修改后续的 HTTPs 请求标头以指示 CDN 将流量定向到攻击者控制的主机。

 

 

总结

攻击者选择缅甸特定域可能表明对缅甸的地缘政治感兴趣。在此活动中,攻击者使用 Meterpreter stager 使用了分段有效载荷,这表明beacon将用于进一步攻击。防御者应时刻保持警惕并监控网络流量以检测 Cobalt Strike 活动,因为它是犯罪软件和 APT组织最常用的攻击工具之一。

失陷指标(IOC)6
域前置 Cobalt Strike 缅甸 政府部门
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。