情报速递20240530|利用云函数转发C2的Cobalt Strike钓鱼样本
2024-5-30 11:6:8 Author: mp.weixin.qq.com(查看原文) 阅读量:4 收藏

1.背景

腾讯安全科恩实验室(以下简称“腾讯科恩”)持续基于多源数据的威胁情报分析以及系统自动化方式,捕获可疑钓鱼样本。近期捕获的样本类型,包括“银狐”家族样本文件,攻防演练样本文件以及其他类型钓鱼文件。后续,腾讯科恩将不定期公开部分捕获到的相关样本,与提取到的部分IOC,以供企事业单位进行安全防护排查与安全分析人员进行参考研判。

在5月27日系统告警信息中,腾讯科恩捕获到一个名为《广*数字财税问题附件材料各种操作都登录不了-请帮忙查看是什么原因尽快处理20240527.zip》的钓鱼攻击文件样本。该文件疑似用于针对某金融机构的定向攻击。通过进一步的分析,可以识别到该样本母体加载了Cobalt Strike木马,并通过云函数进行C2转发。结合其他已分析的相关样本特点,以及关联情报数据进一步挖掘,最终判断该钓鱼文件是用于攻防演练的样本文件。

钓鱼文件

广*数字财税问题附件材料各种操作都登录不了-请帮忙查看是什么原因尽快处理20240527.zip 

解压文件

广*数字财税问题附件材料各种操作都登录不了-请帮忙查看是什么原因尽快处理20240527.exe

md5

7a30f2837509da7e532be266e1d2656d 

样本类型

Win64 Executable

样本大小

7711744字节

发现时间

2024-05-27 15:47:31

样本图标

2.样本分析

样本自实现木马加载过程,入口处检测到沙箱环境会直接退出:

通过大量无效指令对代码进行混淆:

动态申请内存并加载Shellcode

Shellcode最终加载Cobalt Strike木马,通过Cobalt Strike配置文件可以看到,样本请求C2时通过云函数service-hzdzk12c-1318485841.gz.api**[.]****cs[.]com进行转发:

通过多源威胁情报关联分析,结合样本及攻击流程中的相关技术特点,腾讯科恩高度怀疑此次钓鱼攻击为攻防演练行为。

相关IOC

MD5:

7a30f2837509da7e532be266e1d2656d

云函数:

https[:]//service-hzdzk12c-1318485841.gz.api**.****cs[.]com:443

IP:

产品体验





文章来源: https://mp.weixin.qq.com/s?__biz=MzI5ODk3OTM1Ng==&mid=2247507582&idx=1&sn=cf94fc10aca5ba3f35f96a8ce8a0deb2&chksm=ec9f070ddbe88e1b970f59e016a6756bb37d54e13e2e5a67a4bc934775fac47ccf74554e3953&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh