欢迎光临1分快3! 设为首页| 加入收藏
 
A1副本.jpg
您的位置:1分快3 > 视频

详细分析韩国网络攻击(Trojan.Hastati)

2019/8/19 20:47:00     来源:南宫日报
日前,1分快3安全公司fireeye针对最近韩国遭受的网络攻击做出了一系列分析,在此次网络攻击行为中,使用的恶意软件通过直接访问\\.\PhysicalDrive来破坏硬盘的引导记录(MBR),而且可以删除硬盘上的文件。
另一方面,该恶意软件是基于时间触发的,在特定的时间2013年3月20日下午14:00开始检查系统的Windows版本,启动一个线程来直接写入恶意软件到硬盘中,破坏MBR,该恶意软件还自动检查韩国的防病毒软件AhnLabs,并且发现之后立即禁用。
详细分析:
据fireeye从样本分析得出结论,在样本中发现了HASTATI和PRINCPES两个字符串,该字符出出自罗马军队,“HASTATI”是指罗马军队步兵部队三大队列中最前面的先锋部队。这个词的意思是第一列失败后,第二、第三列继续战斗,所以可能是在暗示会发动第二、第三轮黑客攻击。而PRINCPES可能是一个拼写错误,正确的应该是Principes,Principes是指早期罗马共和国军队中的长枪兵,后剑士,他们通常位列在第二战线。如下图:
 
该恶意软件中存在一个计时器,在2013年3月20日下午14:00开始激活,该功能通过GetLocalTime API实现,激活之后执行如下操作:

1)  taskkill /F /IM pasvc.exe [AhnLab client]

2)  taskkill /F /IM Clisvc.exe

pasvc.exe是AhnLab(注1)的客户端进程,通过taskkill结束pasvc.exe进程,如下图:

恶意软件会自动识别受感染机器的操作系统版本,如果是Windows Vista或以上,那该软件会枚举操作系统上的所有文件,并且使用关键字“HASTATI”或“PRINCPES”来覆盖文件,然后删除所有被覆盖的文件,让硬盘数据无法恢复。如果发现操作系统是Vista之前的版本,则覆盖硬盘的逻辑驱动器,如下图:

下图显示恶意软件枚举所有物理驱动器并改写MBR

使用HASTATI关键字破坏MBR,如下图:

最后,通过调用Winexec API执行shutdown -r -t 0,关闭并重启操作系统,如下图:




根据fireeye公司分析,此次攻击韩国的算不上一个复杂的恶意软件,主要是行为主要是破坏硬盘,fireeye公司提供了一个YARA规则,来帮助研究人员分析该恶意软件样本,如下:

rule Trojan_Hastati{

meta:version = “1″

description = “Korean campaign

strings:

$str11 = “taskkill /F /IM clisvc.exe” ”

$str2 = “taskkill /F /IM pasvc.exe”

$str3 = ” shutdown -r -t 0″

condition

all of them

}

注1:
AhnLab,中文名称为:安博士。1995年成立的安博士有限公司是韩国首家从事开发杀毒软件的企业,其总部设在首尔,是全球首批开展信息安全技术研发的企业之一。2000年10月在北京成立了中国代表处,宣布正式进入中国安全市场,并于2003年成立了北京安博士公司。
 

相关阅读:
海外房地产 https://www.hixing.com/fang/
网站简介 | 版权声明 | 联系我们 | 广告服务 | 工作邮箱
1分快3刊载许可:国新办发函[2003]01号   广播电视节目制作经营许可证:(宁)字第056号
主管单位:南宫市委宣传部 主办单位:南宫日报社 
Copyright © 2003-2014 1分快3 All rights reserved