Talos专家发布了其他七个VPNFilter模块的技术细节

2018-09-2900:01:54 发表评论

Talos专家发布了其他七个VPNFilter模块的技术细节

VPNFilter 是一种高度模块化的多阶段恶意软件,它已经感染了全球数十万个网络设备,功能和破坏性都较为强大。思科最近在原来分析的基础上,另外发现了七个第三阶段VPNFilter模块,这些模块为恶意软件增加了重要功能,例如扩展了在受损网络设备上使用终端设备的能力。新功能还包括数据过滤和多重加密隧道功能,以屏蔽命令和控制(C2)和数据过滤流量等。

自研究人员首次发现恶意软件以来,他们发现VPNFilter 破坏力越来越强,这些额外的VPNFilter第三阶段模块的发现大大增加了我们对已知威胁的理解。这些模块共同增加的功能有:

  • 可用于映射网络和利用连接到VPNFilter受损设备的端点系统的附加功能
  • 威胁行为者混淆和/或加密恶意通信的多种方式,如C2和数据过滤的通信
  • 可以利用多种工具识别其他受害者,这些受害者可以通过VPNFilter在网络内横向移动的设备上从攻击者的立足点获取,以及识别演员感兴趣的其他网络中的新边缘设备
  • 构建分布式代理网络的能力,可以在未来不相关的攻击中加以利用,从而提供一种模糊攻击流量的真正来源的方法,从而使攻击看起来像是来自以前受到VPNFilter攻击的设备。

新模块

“htpx”、“ndbr”、“nm”、“netfilter”、“portforwarding”、“socks5proxy”和“tcpvpn”七个模块的功能各有不同。

“nm”模块为恶意软件的武器库增加了一项重要功能:它被用来扫描和映射受感染设备的本地网络上的其他设备。下载后,模块将ICMP echo请求设置为受感染主机,然后该主机将尝试通过端口扫描映射网络。例如,它已经利用MikroTik网络发现协议(MNDP)确定本地网络上的任何其他MikroTik设备——如果MikroTik设备回复ping,该模块将提取其MAC地址,系统标识、版本号、平台类型,以秒为单位的正常运行时间,RouterOS软件ID,RouterBoard模型和接口名称。

“htpx”是一个端点开发模块,支持可执行的注入。该模块主要检查HTTP通信并标识Windows可执行文件的存在——一旦检测到这些文件,模块就会标记它们。研究人员分析,攻击者可以利用这个模块下载二进制有效载荷,并允许在Windows可执行程序通过受损设备时,对其进行实时修补。

心版本的VPNFilter还携带了一个被称为netfilter的拒绝服务模块,研究人员推测,这个模块的设计可能是为了拒绝访问特定形式的加密应用程序,可能是为了试图让受害者与一个服务进行通信供他们首选使用。研究者注意到,他们分析的样本中包含了168个IP地址,这些地址与WhatsApp、腾讯和亚马逊(Amazon)等加密应用程序有关。

该恶意软件还包含了其他一些棘手的模块,比如“ndbr”,这是一个多功能的安全套接字SSH工具,可以对其他ip进行端口扫描。将网络流量转发到攻击者指定的基础设施的“portfowarding”工具;“tcpvpn”,在受损设备上建立反向tcpvpn;以及“socks5proxy”,它支持在受感染的设备上建立SOCKS5代理。

其他

VPNFilter恶意软件的幕后黑手至今仍未明晰,但早在5月时,思科就分析背后很有可能有政府势力支持或参与;攻击者在首次攻击时如何获得初始访问权限,幕后黑手是否试图重建访问。

无论答案如何,都不难看出VPNFilter的开发者能力卓越,并且不断致力于以多种方式实现目标,VPNFilter的开发和使用仍将不断优化并投入使用,这对受害者来说无疑是一个噩耗。

CE安全网
CE安全网广告位招租

发表评论

您必须登录才能发表评论!