记某次应急响应的社工分析

发表在公司的千里目安全实验室,感谢齐妹纸的修改版

http://mp.weixin.qq.com/s?__biz=MzI4NjE2NjgxMQ==&mid=2650232899&idx=1&sn=8e683a01501206cbe55ad7dcbee4bccb&chksm=f3e2e237c4956b21fcc68b19fcbbfcca680bf76675af5d2168ef82b801c137256181a5285113&mpshare=1&scene=23&srcid=0913YdDUieCSUFAuvn3FpdhE#rd

客户服务器被黑,分析日志确认是3389远程爆破导致的,这个过程就不说了,在客户服务器上发现了被安装了有意思的东西,程序后台隐藏运行,安装包却还在服务器上面,既然都隐藏运行了却没有删安装程序,也是有点奇葩。

1

E流量,流量矿石,旺宝挂机,柠檬挂机。大概看了下这些软件,都是以损耗宽带流量,在线时间,来达到某些虚拟交易币用来兑换金钱或者是刷网站访问流量,存在这些软件就会造成服务器宽带资源和性能大量消耗,并且会带有恶意广告的问题。

在其中一个程序中发现了一个账号,竟然是直接用QQ号来注册的,因为不管是恶意刷流量或者挂机消耗资源,最终的目的就是把这些兑换为金钱,所以大胆猜测这个账号对应的QQ号或许属于攻击者所有。

2

那么如何通过疑似攻击者的一点小线索来进一步确认身份?在这样的场景下,毫无疑问是社会工程学。

什么是社会工程学?

以欺骗的手段获取需要的信息?

做一个好演员?

知道怎样免费获得东西?

那么维基百科给出的解释是:

“操纵他人采取特定行动或者泄露机密信息的行为。它与骗局或欺骗类似,故该词常用于指代欺诈或诈骗, 以达到收集信息、欺诈和访问计算机系统的目的,大部分情况下攻击者与受害者不会有面对面的接触。”

常见掌握社会工程学的人员?

黑客/渗透师:必备技术之一,大大小小几乎每次的攻击中都会使用到,常见的如:钓鱼攻击,APT攻击等。世界头号黑客凯文米特尼克的《欺骗的艺术》基本都会看过。

间谍/情报人员:~

政府人员:~

身份窃取者:在当事人不知情的情况下,使用他人的名字、银行账号、地址、生日、身份证号等个人信息,这种模式非常多样化,包括穿上某种工作服来冒充该行业的人,也包括设置精巧的骗局。网络中常见的如:电话诈骗、短信诈骗等。

高级骗子:总是利用他人的贪婪心理,诱发人们“发财致富”的想法。通常他们都会“读心术”,基本可以包括心理暗示,心灵控制,行为心理学等,通过一些小细节就能确定是不是适合的目标,他们在造势方面也相当有技巧,让目标认为这是天赐良机。网络中常见的如:微商,背后的推广团队营销团队;生活中的如:心灵培训班,不解释了自己百度。(如何学会识别这些?推荐本书《洗脑术》)

心怀不轨的员工:泄露公司保密信息,窃取机密文件等。

高端猎头:很多时候猎头不仅需要考虑和迎合求职者的需求,也要全面审视雇主的想法。

销售人员:与猎头类似,销售人员也必须掌握很多人际交往的技能。很多经验丰富的销售人员,不需要操纵他人,而是利用自己的技巧发现客户的需求。例如销售的艺术包括信息收集、诱导、影响、心理把握等。

医生/心理咨询师/律师:他们同样采用诱导、正确的谈话方式和询问策略,以及社会工程学的许多甚至全部心理原则来操纵客户采取他们所期望的行动。

社会工程学的实施过程大概有这几部分:信息收集,方向诱导,伪造身份,心理战术,影响战术。

场景原因,我这个案例也就只涉及到,信息收集方面。

先看看我偶像猪猪侠在知乎中回答社会工程学的问题,

3

可以看出收集公开信息,在社工的中是非常重要的前提,

简单介绍下信息收集关注的点:

个人信息类:工作/上学,生活习惯,联系方式,身份信息,用于密码分析的特殊字符或者短语等

相关网站类:社交网站,媒体网站,个人博客,公司网站等

而以上信息几乎能通过搜索引擎来找到,其他方面的信息收集,例如:服务器信息,WEB指纹框架等这次就没涉及到的。也可以去了解下国外有一个很优秀用于社会工程学攻击的框架Social-Engineer Toolkit。

(详细的信息收集技术可以参考我们团队安全培训PPT中的“信息收集”)

那么,回到主题,既然已经有直接的方向了,先从Q号的信息作为切入点,google搜索走起,不要问我为什么要用google不用baidu,反正我不会告诉你。

找到了一个有关联的网盘共享地址,

4

继续搜索,找到了个以目标Q号命名的工具,嗯?有自己写工具了,看名字应该是3389远程爆破之类,前面就说了,在处理客户这个入侵事件中就分析出来是被3389远程爆破的,嗯?不会就是用这玩意整的吧,那攻击者的身份就基本对应上了。

5

下载回来,看到压缩包的内容,主程序图标竟然让我有种似曾相识的感觉?

6

果然,这不是国外的一款3389爆破工具DUBrute么,本宝宝此时内心是崩溃的,大兄弟你重命名改成自己的专版好歹也再改下title/版权这些才像样点哇,

7

根据网盘的个人信息继续扩大收集范围,根据信息整理的结果包括:在几个黑客论坛有注册账号,有两个百度账号,微博账号,分析了一些发表的内容,可以确定攻击者就是此人,就读于南雄一中,高三学生,比较二次元,

8

回过头来查查QQ信息,确实是南雄一中18岁的高中生无误,再放照片一张。从网盘上传工具的时间2013年来看,开启快速心算法:2016-2013=3,18-3=15,哎呀,我的妈啊,15岁就接触黑客技术了!回想当年,15岁的时候我还是个天天只会在桌球场叱咤风云的小逗比啊!!!

9

10

顺带着,社工库分析下,一些黑客论坛的账号注册记录,解密下MD5密码得到:zhiyaoni9410,guaiguailp520,zhiyaoni9420,123456789a,其实通过已知的一些信息和破解的密码就可以开始组合密码字典来进行暴力密码分析了,只是原本以为会是个专门做刷恶意流量挂广告黑链的黑产一条龙团队,激发了洪荒之力准备开大招,却给了我这样的结果,也就没多大兴趣继续了,

11

另外的数据库中还找到了这人以前用过的网名,沉睡的森林,也是有那么点缘分了,以前曾经和几个小伙伴的团队就叫“沉睡森林”,sleepforest.com这域名也因我智障忘了续费到期被别人抢注遭小伙伴们吐槽了很久,

12

随意找了个QQ原本想加下他让他看看Eric S. Raymond的那篇《How To Become A Hacker》感受下正确的路,结果发现添加请求是拒绝的,也不想暴露自己的微信号,就到此为止了。这方面的技术原本就是把双刃剑,有的人成为白帽黑客,有的人在犯罪边沿徘徊,我也阻止不了别人忠于内心的选择。

正如:从善如登,从恶如崩?

点赞

发表评论