“狼來了”！某黑產團伙套殼“大灰狼遠控”發起攻擊

事件描述

深信服深瞻情報實驗室監控到某黑產團伙利用高危RCE漏洞發起攻擊，並利用定製的“大灰狼遠控”作案工具實施遠端控制，最終實現控制使用者機器和竊取使用者隱私資料的目的。

深瞻情報實驗室透過分析樣本發現了駭客的HFS（HTTP File Server）伺服器地址，然後提取到駭客的攻擊樣本檔案。利用伺服器提交檔案的時間記錄可以發現此黑產團伙從2022.6.5號開始搭建服務並分發惡意程式碼，目前深信服從大資料情報中心發現已有少量客戶中招，建議相關單位儘早做好相關的加固防護措施。

情報分析

該黑產團伙利用NC BeanShell遠端程式碼執行漏洞（CNVD-2021-30167）和E-Cology OA程式碼執行漏洞（CNVD-2019-32204）作為初始攻擊，攻擊成功則投遞大灰狼遠控樣本test.exe，捕獲的攻擊特徵如下：

投遞樣本test.exe是使用go 1.18.1版本進行編譯，使用UPX 3.9.6進行加殼保護，內部核心封裝了大灰狼遠控模組進行通訊，通訊地址為121.41.109.54:9956，樣本執行後也會修改登錄檔將自身加入啟動項進行持久化操作，惡意程式碼建立的啟動登錄檔名稱為OneDriveTools。

透過對該黑產團伙攻擊C2的探測，發現該地址搭建了HFS服務，透過該伺服器進行了惡意程式碼的分發，透過時間記錄可以發現此黑產團伙從2022.6.5號開始搭建服務並分發惡意程式碼。

其中datelog.dll為定製化的大灰狼遠控模組，後續也持續更新使用了Server.exe，test.exe模組，其核心也是datelog.dll大灰狼遠控的程式碼邏輯。

EXP.dll為一個功能完善的瀏覽器竊密模組，可以匯出瀏覽器歷史記錄、cookie和儲存的密碼資訊。