武器_ 疑似美国新网络武器披露：DePriMon下载器攻击框架

简介

突破性捕获补充了迄今为止对CIA Lambert网络武器的研究。

正文

DePriMon是恶意下载器，有多个阶段，使用了很多非传统技术。 我2017年3月以来一直在工作。 根据ESET的观测，DePriMon在位于中欧的私营企业和中东的数十台计算机中被检测出来。 有些域名用作c-c服务器，其中包含阿拉伯语单词。 它代表了针对特定地区的攻击活动。

由于这一攻击活动缺乏投递环节，因此分析只能在投递完成之后进行。

当然，这个恶意软件的特点就是ESET在报告书中说的那样的话。

However，它是deprimonwasdetectedwithcoloredlambertmalwareonthesamecomputerswithinashorttimeframe.colored Lambert， usedbythelambertcyberespiona gegroupandlinkedtothevault7leakofciacapabilities.our colleges发布于symantec和kaspersky

然而，注意，在不常见的情况下，可以在同一台计算机上检测到DePriMon下载器，并且在同一台计算机上检测到ColoredLambert恶意软件。 Lamberts网络间谍组织使用ColoredLambert与Vault 7的CIA泄漏进行了联系。

ColoredLambert指的是Black Blue Green。

我对看有关中情局武器的分析更感兴趣

https://securelist.com/unraveling-the-Lambert-toolkit/77990 /

https://www.Symantec.com/connect/blogs/longhorn-tools -使用者环境群组-连结- vault-7

下面是这个例子的具体分析

技术分析

第二阶段

DePriMon的第二和第三阶段DLL模块在初始阶段被转发给受害主机。 在阶段2中，安装阶段3并使用加密的硬编码路径进行加载。 也许是在最初的阶段送达之后配置的硬编码路径。

为了实现持久性，此恶意软件注册了新的本地端口监视器。 这是Port Monitors技术的技巧。 因此，使用WindowsDefault Print Monitor命名的框架是复杂的模块化架构，它的简称后面有一个名为ESET Depr imon的依据。

▲Port Monitors

在阶段2中，创建以下注册表项和值，并将阶段3的DLL注册为端口监视器

hklmsystemcontrolectontrolprintmonitorswinddowsdefaultprintmonitor

驱动器= % pathtothirdstagedll %

您必须具有管理员权限才能创建此注册表项。

系统启动后，注册的DLL由具有系统权限的spoolsv.exe加载并绕过软件。

“spoolsv.exe是Print Spooler进程，它管理所有本地打印队列和网络打印队列，并控制所有打印作业。 如果禁用此服务，则本地计算机上的打印将不可用。 此过程是Windows系统服务。 ’他说

第2阶段还会定期检查%system32%文件夹中是否存在与第3阶段ll文件同名但没有扩展名“. dll”的文件。 如果DePriMon发现该文件，则该文件用作卸载触发器，复盖并删除二进制文件，并安全地删除该文件及其组件。

第三阶段

在第三阶段，负责从DePriMon的C2服务器下载主要Payload，该方法实现了一些有趣的技术。

c-c通信使用Microsoft实现的SSL / TLS和HTTPS安全通道，而不是WinAPI和WinInet等通用API。 配置复杂，恶意软件处理方式也复杂。 最后，作者在加密上投入了巨大的能量，使得DePriMon恶意软件的分析变得更加困难。

c &

DePriMon通过TLS进行安全的通信，但是与典型的恶意软件相比通信水平并不高。 此连接使用windows套接字进行初始化，您可以继续初始化使用协商/ NTLM SSP认证的安全支持提供方界面会话。 DePriMon随后使用Microsoft安全信道Schannel进行通信。

https://docs.Microsoft.com/en-us/windows/win32/secauthn/using-sspi-with-a-windows -通讯端用户端

此恶意软件通过Schannel实现的TLS与Coast Research&Development示例类似。 http://www.coast CRD.com/c-schannel-SMTP

这包括创建凭据、执行客户端握手、验证服务器证书等。

图1. Hex-Rays反编译器输出的SSPI实现方法的一部分

建立通信后，第3阶段每次手动加密和解密消息。

配置信息

DePriMon阶段3的配置数据包含27个成员变量，下载后使用AES-256加密变量并将其嵌入二进制文件中。

在第一次运行时，DePriMon使用密钥2解密配置数据，使用密钥3加密配置数据并将其存储在临时文件夹中。

这是将密钥2的值从第2字节转换为以36为底的数字，用自定义字符“abc…xyz012…789”进行编码，从而创建配置文件的文件名。 配置文件的扩展名为“. tmp”。

设定档路径范例: %temp% rb1us0wm99sslpa1vx.tmp。

下次运行时，下载程序可以从文件(而不是自己)读取配置数据，从而轻松更新配置。

由于安全性设计，配置不会保留在内存中，并且不会进行加密。 每当下载程序需要使用配置文件中的元素时，下载程序就会对配置文件进行解密，获取指定的成员变量，然后再次对文件进行加密。

此设计可保护恶意软件的主要功能不受内存取证的影响。

图2 .代码示出了DePriMon恶意软件如何解密配置文件，在本地变量中存储某些成员，并再次对其进行加密

配置文件具有以下特性

1 .配置文件包含两个用户名和密码以连接到代理服务器。 这意味着攻击者准备通过持有证书的代理进一步攻击。

2 .配置文件中有3个c-c服务器地址，分别不同时使用。

3 .配置文件有3个端口，分别不同时使用。

4 .配置文件指示下载程序是通过安全支持提供商界面初始化socket并连接还是通过代理连接。

除了从恶意软件样本中提取的c-c服务器之外，还确定了可能与此恶意软件相关的域名和服务器。

加密

该恶意软件将AES加密算法和3个不同的256位密钥使用为不同的功能。

密钥1 :用于解密恶意软件的各种敏感字符串。

c 097 cf17 DC 3303 BC 81555553535353535353535353535353535353535353535353535353535353535353535353535353535353535353535353535353535353535353535353535353

密钥2用于加密和解密内存中的配置数据。 此密钥还用于生成第三个密钥。

8 d 359313 f 80 a 23 e 820 c 23 b 3125 abf 57901 BC9a7b 83283 f b2b 240193 abde 52 b 9

密钥3用于加密和解密磁盘上的配置文件。

此密钥不是硬编码的，而是使用32字节数组导出和加密的。 生成此数组时，前4个字节是系统驱动器的卷序列号，其馀28个字节包含值5 -32。 该阵列用密钥2加密，可以得到密钥3。

结论

DePriMon是一个非常高级的下载器，其开发人员在构建体系结构和设计关键组件方面下了很大功夫。

DePriMon下载到内存中，并使用反射DLL加载技术直接作为DLL运行。 不会保存到磁盘。 此外，它还包含一些有趣的元素，正确实施了加密，有效地保护了c &

因此，DePriMon是一种强大、灵活、持久的工具，用于下载和运行Payload并收集有关系统及其用户的基本信息。

ESET不是分析下载的Payload，而是如前面所述，嵌入该下载的受害者的主机正在运行ColoredLambert系列恶意软件，这正是该下载的美国CIA

因此，请尽快释放原文给出的Hash、域名、IP、文件的特征进行自我调查，以免侵入美国CIA。

虽说文章已经在外联网上传播开来，但为了不影响工作，需要信息的人请自己打开网站获取。 没有必要就不要随便打开，不要留下记录。

https://www.welivesecurity.com/2019/11/21/Depr imon-default-print-monitor-malicious-downloader /

如果有更多关于美国中情局网络兵器库的威胁信息，欢迎与黑鸟交流。