九游老哥云
「威胁通告」关于深信服SSL VPN被境外APT组织使用并下发恶意代码
2020-04-07
一、威胁概述
4月6日，深信服官方宣布通告称，有境外APT组织通过不法手段控制部分深信服SSL VPN装备，并使用客户端升级误差下发恶意文件到客户端，九游老哥科技对该事务亲近关注，并举行了整体的梳理和剖析，建议相关用户实时接纳防护和应急步伐。
本次误差为SSL VPN装备Windows客户端升级�？槭鹈橹せ频娜毕�，但使用该误差的条件为必需获取控制SSL VPN装备的权限。凭证深信服官方的剖析，此误差使用难度较高。官方预估，受影响的VPN装备数目有限。凭证九游老哥科技清静服务团队的反响，虽然现在已被APT组织攻陷的装备并未几，但受影响的VPN版本在海内企业中应用十分普遍。
参考链接：
https://mp.weixin.qq.com/s/lKp_3kPNEycXqfCnVPxoDw
二、影响规模
现在官方已确认以下SSL VPN版本受影响
- M6.3R1
- M6.1
三、防护建议
3.1 产品防护
此次攻击运动相关IoC信息如下：
1、C&C：103.216.221.19
2、文件名：SangforUD.EXE，MD5：a32e1202257a2945bf0f878c58490af8,
3、文件名：SangforUD.EXE，MD5：967fcf185634def5177f74b0f703bdc0
4、文件名：SangforUD.EXE，MD5：c5d5cb99291fa4b2a68b5ea3ff9d9f9a
5、文件名：e58b8de07372b9913ca2fbd3b103bb8f.virus，MD5：e58b8de07372b9913ca2fbd3b103bb8f
6、文件名：m.exe，MD5：429be60f0e444f4d9ba1255e88093721
7、文件名：93e9383ae8ad2371d457fc4c1035157d887a84bbfe66fbbb3769c5637de59c75，MD5：18427cdcb5729a194954f0a6b5c0835a
8、文件名：SANARISOR.EXE，MD5：a93ece16bf430431f9cae0125701f527
3.1.1 TAC防护
针对此次攻击运动中的恶意样本，九游老哥科技威胁剖析系统（TAC）已经具备了检测能力，请安排了TAC装备的用户实时关注相关告警，并设置好阻断战略。
恶意样本：967fcf185634def5177f74b0f703bdc0
恶意样本：a32e1202257a2945bf0f878c58490af8
恶意样本：c5d5cb99291fa4b2a68b5ea3ff9d9f9a
3.1.2 威胁情报中心（NTI）
九游老哥科技威胁情报中心已支持对该事务的IoC检测，可以精准识别恶意IP及恶意文件，建议用户小心与恶意IP 103.216.221.19相关告警信息。阻止本通告宣布，该C&C服务器已关闭。用户可使用九游老哥威胁情报中心宣布的IoC举行检测，接纳专杀工具对木马文件彻底查杀。
涉及到该事务的C&C服务器的威胁知识图谱如下：
涉及到该事务的几个典范恶意文件详情如下：
3.2 其他防护建议
1、检查VPN服务器日志，核查是否保存治理员账号异常登录、%USERPROFILE%\AppData\Roaming\Sangfor\SSL\SangforUPD.exe文件被替换等异常情形；
2、限制外网或非信托IP会见VPN服务器的4430控制台治理端口，阻断黑客针对VPN服务器治理后台举行的攻击。
3、增强账号�；�，使用高强度的密码，避免治理员密码被暴力猜解。
4、VPN服务器和客户终端装置清静软件，实时查杀恶意程序，开启实时�；し烙�。
5. 请关注深信服公司的解决计划，实时修复相关误差。
附录：样天职析
通过审查样本内嵌的数字署名信息，公司名称标记成“Sangfor Technologies Co.,Ltd”，但深信服公司现实英文名称为“Sangfor Technologies Inc.”，攻击者对署名举行伪造，通俗人难以区分。
建设目录%USERPROFILE%\AppData\Roaming\Sangfor\SSL\
目录建设完成后将自身拷贝到%USERPROFILE%\AppData\Roaming\Sangfor\SSL\SangforUPD.exe
遍历外地目录，获取所有文件名
链接目的服务器80端口，通过HTTP协议，以POST方法回传获取到的数据
使用com库建设系统妄想使命，抵达权限维持的目的
执行系统下令获取目的系统的相关信息，相关下令如下：
|
1
2
3
4
5
6
7
8
9
|
systeminfo.exe
ipconfig.exe /all
cmd.exe /c set
net.exe user
HOSTNAME.EXE
net.exe user /domain
net.exe group /domain
tasklist.exe /V
whoami.exe /all
|
执行系统下令相关截图如下：
建设循环获取来自服务端的数据
