“
鸣谢个人研究员：LugA、Zero17010、Sn2waR提供溯源帮助，共同完成了本次事件的恶意组织披露。
水坑细节
奇安信威胁情报中心在日常监控中观察到 analyzev.oss-cn-beijing.aliyuncs.com 恶意域名的访问量从 9 月初陡增，一直持续到 9 月底，在此期间并没有观察到可疑的 payload，只有一些奇怪的 js，之后进入了一段时间的潜伏期。
直到 10 月底开始爆发，并且观察到恶意的 payload 程序。
URL |
hxxps://analyzev.oss-cn-beijing.aliyuncs.com/update.exe |
hxxps://analyzev.oss-cn-beijing.aliyuncs.com/ntp.exe |
hxxps://analyzev.oss-cn-beijing.aliyuncs.com/flash_update.exe |
hxxps://analyzev.oss-cn-beijing.aliyuncs.com/ntp_windows.exe |
网络日志显示在请求上述 URL 时的 Referer 字段都是 CSDN 的正常博客，非常奇怪。
Referer |
hxxps://blog.csdn.net/Liuyanan990830/article/details/139475453 |
hxxps://blog.csdn.net/A186886/article/details/135279820 |
hxxps://blog.csdn.net/gitblog_06638/article/details/142569162 |
hxxps://blog.csdn.net/qq_44741577/article/details/139236697 |
hxxps://blog.csdn.net/jsp13270124/article/details/100738172 |
基于相关日志最终确认 CSDN 被挂马，并且成功复现。
加载了额外的 js：
Js |
https://analyzev.oss-cn-beijing.aliyuncs.com/jquery-statistics.js |
基于奇安信全球鹰测绘数据，国内大量网站正文页面中包含该恶意域名，其中包含政府、互联网、媒体等网站：
所涉及的域名均挂有 CDN，对应IP也都为 CDN 节点，由于我们缺乏大网数据，只能推测 CDN 厂商疑似被污染。jquery-statistics.js 解混淆后逻辑如下：
获取本机的 IP 与内置的IP列表进行比对，如果匹配成功，则跳转到下一个 js，该 js 主要用来钓鱼，页面如下：
诱导有害者更新证书，下载上述 payload 并执行，这一阶段的钓鱼 js 有多种，还观察到 flash 更新页面，正常情况下受害者会误以为该页面是浏览器的更新请求，手动下载该 payload 并执行从而导致中招。
我们对内置的 IP 列表进行了分析，攻击者似乎比较关注媒体行业。
木马分析
初始 payload 一般带有签名：
MD5 | Name | 签名 |
0b42839d1d07f93f2c92c61416d589c3 | sslupdate.exe | Octopus Data Inc. |
cafe15fde16f915c014cc383b9503681 dc0d62cb42a56a3fd7458a2f5519f4cc | ntp_windows.exe | Chengdu Nuoxin Times Technology Co., Ltd. |
eba2a788cf414ab9674a84ed94b25d46 | flash_update.exe | Chengdu Nuoxin Times Technology Co., Ltd. |
相关样本在 VT 上 0 查杀：
目前奇安信天擎已经可以对上述样本进行查杀：
sslupdate.exe 是个 downloader，首先解密出要链接的 C2：server.centos.ws:8848。
之后连接 C2 并发送数据。
发送和接收的数据包有固定前缀特征 64 6D 07 08。
之后 recv 接收数据，收到的数据是个 .NET DLL。
接收完毕后会加载 CLR 执行该 DLL，调用其导出函数 Client.Program.Start。
此 DLL 是个特马，将其配置信息加密后以 Base64 形式存储，解密后如下，C2 与 Loader 一致。
该后门的插件需要攻击者手动下发。
溯源分析
jquery-statistics.js 中的 IP 列表除了国内的目标 IP 之外还包含了一些境外 IP，推测可能是攻击者的测试 IP 或者境外目标，境外 IP 大部分为 p2p 节点和 tor 节点，如果将其当作目标很难入侵到对应的人员。
基于奇安信 xlab 的僵尸网络数据 80.67.167.81 的 tor 节点最近非常活跃，使用jenkins RCE Nday 漏洞投递 lucifer 团伙的挖矿木马。
该 tor 节点似乎由法国的 NGO 组织提供，目前已经被黑灰产团伙所利用，如果是测试 IP，那么本次活动可能与 lucifer 团伙有关。
总结
目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。
IOC
C2：
update.sslcsdn.com
fix-ssl.com
47.243.177.243:443
analyze.sogoudoc.com
107.148.62.90:443
47.243.177.243:443
107.148.61.185:8084
8.217.107.66:443
csdnssl.com
sogoucache.com
sslcsdn.com
sogoudoc.com
flash-update.com
centos.ws
45.205.2.101:8848
103.112.98.83:8848
sslupdate.org
analyzev.oss-cn-beijing.aliyuncs.com
updateboot.com
ntpfix.com
MD5：
0b42839d1d07f93f2c92c61416d589c3
cafe15fde16f915c014cc383b9503681
dc0d62cb42a56a3fd7458a2f5519f4cc
eba2a788cf414ab9674a84ed94b25d46
31f84f78241819e6e6b9f80005bc97ae
ede730817f76f4e3c47a522843125eb8
cc15da6879fd31262d71a7e471925548
点击阅读原文至ALPHA 7.0
即刻助力威胁研判
?发表于：中国 北京
