九游老哥云
主要揭秘！LAZARUS组织最新运动中的新型攻击手艺
2021-01-28
一、情报配景
克日 ，Google TAG清静部分披露了一起使用推特等社交媒体针对差别公司和组织从事误差研究和开发的清静研究职员的社会工程学攻击事务 ，经九游老哥科技伏影实验室剖析 ，确认此次事务为Lazarus组织针对网络清静行业的一次针对性网络攻击 ，并推测其可能有更深条理的攻击意图和行动。九游老哥科技攻击对抗手艺研究团队M01N Team也针对此次事务睁开了周全的剖析研判 ，认定本次事务是一个典范的“明修栈道、暗渡陈仓”社会工程学攻击事务 ，也将在本文中揭秘该事务中Lazarus组织使用的一种新型间接下令执行攻击手艺。
Lazarus组织是一支来自朝鲜半岛的APT组织。该组织自2007年就最先活跃 ，恒久对韩国、中国、美国、印度等国家举行攻击运动。据外洋清静公司的视察显示 ，Lazarus组织与2014年索尼影业遭黑客攻击事务 ，2016 年孟加拉国银行数据泄露事务 ，2017年美国国防承包商、美国能源部分及英国、韩国等比特币生意所被攻击等事务有关。而2017年席卷全球的最污名昭著的清静事务“Wannacry”勒索病毒也被嫌疑是该组织所为。
二、攻击手艺剖析
Lazarus组织的攻击者伪装成清静研究职员建设了一个研究博客和多个Twitter账号 ，这些伪装账号大都打上了Web开发、浏览器误差挖掘、Windows内核清静甚至CTF选手等一些身份标签 ，并会宣布一些清静研究动态 ，同时相互谈论转发来扩大影响力。
另外他们的博客(https://blog.br0vvnn [.] io)揭晓了多个已果真披露的误差剖析文章 ，还包括一些不知情清静研究职员的来访谈论 ，以图在清静研究职员中建设更高的信托度。
在建设了一定的研究影响力后 ，攻击者会自动寻找目的清静研究职员举行交流 ，并表达希望在误差研究方面举行更深入相助和交流的想法。以后攻击者便会向清静研究职员分享了一个Visual Studio的项目工程文件 ，该项目文件明为一些误差的POC代码 ，暗则是包括了期待目的研究员编译执行来触发的恶意下令和代码。
另外我们在梳理本次事务的攻击手艺时 ，发明了该组织使用的一种新型间接下令执行手艺并对其举行了扩展研究 ，以下将对该手艺举行详细剖析。
2.1 间接下令执行
首先我们来相识一下什么是间接下令执行 ，攻击者滥用允许执行下令的系统可信程序 ，绕过限制下令行诠释器使用的清静限制 ，在无需挪用cmd.exe的情形下间接完成下令执行的要领被称为间接下令执行手艺（ATT&CK-T1202）。熟悉攻击手艺的蓝武士员也将其归属为LOLBAS手艺之一 ，攻击者可使用该手艺举行防御规避 ，特殊是因组战略等限制使用CMD的情形或规避EDR/EDP等终端清静检测防护的情形下执行系统下令。常见的要领包括程序兼容性助手（pcalua.exe）、适用于Linux的Windows子系统 (WSL)等。而本次曝光的通过Visual Studio工程项目设置文件在编译历程中完成下令执行的要领也属于间接下令执行。
2.2 使用Build Events特征于visual studio工程编译历程执行恶意下令
2.2.1 攻击技法揭秘
攻击者在此次攻击事务接纳了在误差POC代码工程的.vcxproj项目文件中插入执行恶意Powershell下令的编译事务（Build Events）的攻击要领。
编译事务（Build Events）是MSBuild编译引擎在MSBuild项目（包括visual studio项目等）设置文件中提供的特征。编译事务共有3种 ，划分对应编译历程的差别阶段。正常情形下 ，它的作用是使得用户能够自界说在编译的各个阶段执行自界说的特殊操作（例如提前对源代码举行修改等） ，实现对项目编译历程的无邪控制。
攻击者在此次事务中使用的是”PreBuildEvent”事务 ，Command元素中包括的Powershell下令将会在编译历程前被执行。经测试“PreLinkEvent”事务和“PostBuildEvent”事务同样可以触发完成下令执行。
在Visual Studio的项目属性页可以对几种天生事务举行可视化的审查与修改 ，例如本次攻击中在项目文件中泛起的攻击下令在Visual Studio中的展示：
2.2.2 手艺刷新展望 ，下令行自力执行
本次事务中攻击者通过诱导受害者使用Visual Studio自行编译被投毒的项目文件 ，通过自界说编译时间实现恶意下令执行 ，获取对目的机械的控制。该种要领在垂纶攻击手法上属于较为立异性的思绪 ，但此种要领仍需用户举行较量重大的交互手段 ，依赖性依旧较量大 ，也仅适用于类似此次事务当中的攻击场景。
在针对该攻击手艺的研究中 ，本团队发明该攻击手艺可以脱离对Visual Studio的依赖 ，而在下令行中使用MSBuild.exe自力执行 ，使得该攻击要领的适用规模从代码投毒垂纶扩展到一种普遍适用的使用白名单程序的间接下令执行手法。
Visual Studio在举行项目文件的编译的历程中现实使用了MSBuild.exe编译引擎举行项目的编译 ，而.vcxproj项目文件现实是切合MSBuild编译引擎规范的XML文件 ，因此可以通过下令行挪用MSBuild.exe实现项目的编译 ，进而通过项目文件中的”PreBuildEvent”编译事务使用MSBuild.exe程序绕过封闭实现自界说代码的执行。
首先在Visual Studio中为恣意的C++项目添加“预先天生事务”
在.vcxproj项目文件中可以看到添加的”PreBuildEvent”事务：
接下来在编译历程中便会启动该程序（注重在编译输出中会有PreBuildEvent的提醒）
此时的父子历程关系如下 ，可见Visual Studio主历程下的MSBuild.exe为新建设历程的父历程。由此可见一种检测思绪是检测Visual Studio主历程下的可疑子历程 ，可是仅仅检测该历程是不敷的 ，由于攻击者可以使用接下来先容的要领 ，绕开对Visual Studio建设可疑历程的监测。
通过下令行直接执行以上办法中天生的vcxproj文件可以直接触发编译历程 ，可见之前指定的notepad.exe程序被启动。
从历程关系来看 ，新启动的历程为MSBuild编译引擎的子历程 ，全历程未有Visual Studio历程的启动。
2.3 与署理执行手艺的区别
作为蓝军手艺研究职员 ，以往我们是知道MSBuild是一种非经常见的受信托开发者套件署理执行手艺（ATT&CK-T1127.001） ，攻击者可以滥用MSBuild来署理执行恶意代码以告竣防御规避的效果 ，.Net 4.0版本引入的MSBuild内联使命功效允许将C#代码插入到XML项目文件中 ，MSBuild将在执行编译的历程中执行内联使命中的恶意代码。好比：
MSBuild.exe编译引擎支持直接以切及名堂规范的xml文件与csproj文件为参数 ，编译文件中嵌入的内联C#代码 ，凭证代码功效的差别 ，攻击者可以使用该要领无邪地完成例如AWL Bypass、APC历程注入、Unmanaged PowerShell执行等攻击手法。
msbuild.exe pshell.xml
msbuild.exe project.csproj
以下为使用MSBuild的”UsingTask”元素建设执行内联C#代码的经典代码实现。这段代码使用.NET运行时Microsoft.Build.Tasks.Core.dll库文件建设使命 ，诸多的攻击要领皆是基于此经典结构。
事实上 ，也可以指定AssemblyFile为自界说的.NET程序文件 ，来实现自界说.NET程序文件的加载执行 ，可是云云操作便需要另外编译好的二进制文件 ，不如使用“Microsoft.Build.Tasks.Core.dll”编译内联汇编来的便捷与隐藏。而本次的攻击手艺实现并非执行恶意代码而是下令执行 ，再一次扩展了MSBuild的攻击向量。
三、攻击检测
以往基于Sysmon针对MSBuild内联使命署理执行恶意代码攻击的历程检测规则同样适用于本次编译事务触发间接下令执行的攻击检测。在之前的讨论的中我们可以得出结论 ，针对MSBuild.exe建设可疑子历程的基于父子历程关系检测依旧是行之有用的。对MSBuild.exe编译引擎建设Powershell.exe等可能被用于恶意攻击的历程需要举行重点关注与日志纪录。同时 ，针对MSBuild.exe历程建设事务及文件操作事务 ，最好能检测文件内容 ，而监测其启动参数包括proj字符串也是一种暂时解决计划 ，但保存被绕过的可能性。
MSBuild.exe编译引擎随.NET运行时在系统中预装 ，但具有本篇所先容及其他的一些清静危害 ，关于没有使用需求的非手艺职员建议禁用或限制该程序的执行。关于手艺开发职员则越发需要提高小心。
四、总结
回首整个攻击事务 ，Lazarus组织此次的攻击运动完全是一个极具针对性的垂纶攻击事务 ，新颖的社工思绪和长周期的攻击前铺垫事情让处于清静研究的顶尖手艺职员也难逃其手 ，以是这也是一个很是好的案例来说明“人是最大的误差” ，作为清静研究职员更应该以后次事务中罗致教训 ，也建议可能的受害者 ，包括清静研究职员及其所属公司做好自身的清静检查和加固。
另外此次事务中新泛起的间接下令执行攻击要领 ，也呼吁各清静厂商及各单位清静部分对此提高关注度 ，做好对应的手艺防护和应急事情。
关于九游老哥科技M01N清静研究团队
九游老哥科技M01N清静研究团队专注于Red Team、APT等高级攻击手艺、战术及威胁研究 ，涉及Web清静、终端清静、AD清静、云清静等相关领域。通过研判现网攻击手艺生长偏向 ，以攻促防 ，为危害识别及威胁对抗提供决议支持 ，周全提升清静防护能力。战队自2019年建设以来 ，荣获2020年第三届车联网信息清静手艺大赛一等奖、2020数字中国立异大赛虎符网络清静赛道一等奖、2020年第三届“强网”拟态防御国际精英挑战赛一等奖、2020WIDC天下智能驾驶挑战赛-信息清静挑战赛优胜奖、2020年工业信息清静手艺大赛二等奖、“第五空间”智能清静大赛二等奖、2020“巅峰极客”网络清静手艺挑战赛二等奖、2019“湖湘杯”网络清静手艺大赛一等奖、2019中国国际数字经济展览会数字经济云清静共测大赛一等奖、2019年工业信息清静手艺大赛一等奖。
