【安全资讯】深信服SSL VPN设备被黑客利用攻击分析

背景

2020年4月6日，国内安全设备厂商深信服科技发布了一则《关于境外非法组织利用深信服SSL VPN设备下发恶意文件并发起APT攻击活动的说明》，说明了境外APT组织通过深信服VPN设备漏洞拿到权限后，进一步利用SSL VPN设备Windows客户端升级模块签名验证机制的缺陷植入后门的APT攻击活动，相关链接参考：https://mp.weixin.qq.com/s/lKp_3kPNEycXqfCnVPxoDw

根据该说明，安恒威胁情报中心对攻击事件进行深入关联分析，可以确定该攻击团伙的活动最早可以追溯到2018年，另外，此次攻击事件中，该攻击团伙利用定制的木马程序（GO语言编写）进行针对性的攻击。因此，我们将此次攻击活动定性为APT攻击。

攻击复盘

安恒威胁情报中心猎影团队对该攻击过程进行了复盘，其攻击过程大概如下：

    1、攻击者通过密码爆破等手段控制部分深信服SSL VPN设备，篡改配置文件并使用木马程序替换升级程序SangforUD.exe。

    2、客户端运行存在漏洞的VPN客户端（M6.3R1版本、 M6.1版本），会自动从被攻击者控制的VPN服务端进行更新，拉取升级程序SangforUD.exe，然后恶意代码在系统上执行。

样本分析

样本名，SangforUD.exe

首先，它会删除%appdata%路径下的Log和dump下面的文件

实际上，这两个路径保存vpn客户端运行的日志以及崩溃信息等

接着它会拷贝自身到%appdata%\Sangfor\SSL目录

后面它会将该目录的文件放入计划任务中运行

它会获取创建各种无窗口进程,收集系统信息、环境变量、用户名、域控信息、主机名、进程信息等信息

具体涉及的命令包括有

•  C:\\Windows\\System32\\whoami.exe /all
•  C:\\Windows\\System32\\tasklist.exe /V
•  C:\\Windows\\System32\\net.exe group /domain
•  C:\\Windows\\System32\\net.exe user /domain
•  C:\\Windows\\System32\\HOSTNAME.EXE
•  C:\\Windows\\System32\\net.exe user
•  C:\\Windows\\System32\\cmd.exe /c set
•  C:\\Windows\\System32\\ipconfig.exe /all
•  C:\\Windows\\System32\\systeminfo.exe

除了通过系统命令收集信息以外，还通过系统api获取硬盘、文件等信息

构造特定的HTTP的Post数据包，包含一个叫着“boundary=----974767299852498929531610575”

HTTP头数据结构如果下图：

Post的数据被加密发送到103.216.221.19

接着接受服务器返回数据

由于服务器端没有反馈数据，后续分析无法继续，但是通过静态观察可以发现，其回接受服务端反馈数据以后执行。

关联分析

• λ 通过特殊的boundary检索