从技术角度深入剖析SolarWinds入侵事件

从技术角度深入剖析SolarWinds入侵事件
2021-01-14 15:15:59 Author: www.secpulse.com(查看原文) 阅读量:284 收藏

原文地址：https://blog.qualys.com/vulnerabilities-research/2021/01/04/technical-deep-dive-into-solarwinds-breach

近期，许多组织都受到了SolarWinds入侵事件的影响。就各种迹象来看，这似乎是一起针对政府和私人机构的有针对性的攻击。到目前为止，这次攻击的影响范围仍然不是十分清楚，但是已知的是，黑客通过恶意的SolarWinds Orion更新获得了对受害者系统的访问权限，并且，有数千用户下载了这些更新。

由于攻击者能够访问SolarWinds软件的开发和交付通道，从而使他们能够将恶意代码添加到名为SolarWinds.Orion.BusinessLayer.dll的SolarWinds Orion平台驱动程序中。对于这种供应链攻击来说，由于受感染的dll具有相应的数字签名，使得恶意软件长时间未被发现，从而对用户造成了巨大的影响。

技术分析

在这次入侵事件中，被感染的二进制文件是.Net程序集，其中包含Orion框架的许多合法名称空间、类和方法。这样的话，攻击者就能将自己的代码与合法代码融合在一起。同时，恶意代码作为OrionImprovementBusinessLayer类的一部分隐藏其中，而该类可以通过创建线程来执行，以避免中断dll的常规流称。实际上，创建线程的代码是RefreshInternal方法中的一部分，后者是dll中一个被感染的方法。

分析对抗技术

为了保留文件中的硬编码值，如进程、服务等列表，恶意软件使用了FNV-1a哈希算法的变体，将计算出的字符串哈希值与硬编码值进行XOR处理。

除了以哈希值形式保留硬编码值外，该恶意软件还使用了DEFLATE压缩算法来保留WMI查询、注册表项和令牌等字符串。

在恶意代码开始执行时，会进行各种检查，以确保代码是在合适的环境中运行：

进程名称为solarwinds.busslayerhost.exe。

dll至少提前12到14天（288到336小时）写入磁盘。

通过以下检查来检查系统的域名是否有效：

不应包含其哈希值保存在文件中的那些字符串。

不应与规则表达式(?i)([^a-z]|^)(test)([^a-z]|$)或(?i)(solarwinds)相匹配。

此外，它还会根据文件中以哈希值形式保存的进程、服务和驱动程序列表，对正在运行的进程、驱动程序和服务进行相应的检查。这看起来与检查系统上是否存在安全软件有关。

如果在系统上找到任何出现在检查列表中的服务，恶意软件就会通过操纵HKLM\SYSTEM\CurrentControlSet\Services下的服务注册表来禁用该服务。为此，它首先会找到一个新的所有者，方法是枚举通过查询“Select * From Win32_UserAccount”获得的用户列表。它会检查用户帐户是否是本地帐户，并且SID是否以S-1-5开头、以-500结尾，以确保它是本地管理员帐户。