可疑威胁情报分析：深入探索与验证方法

1. 背景介绍

本文记录了一次针对"驱动人生"病毒相关威胁情报的深入分析过程。分析者最初发现内网大量主机被安全设备标记为感染该病毒，但实际检查并未发现问题，最终发现是安全设备误报了某个威胁情报IP（120.52.51.13）。

2. 分析过程详解

2.1 初始发现与验证

• 初始警报：安全设备检测到内网主机命中威胁情报IP 120.52.51.13
• 初步检查：实际主机检查未发现感染迹象
• 情报溯源：该IP出现在FreeBuf关于"驱动人生"病毒的IOC(Indicator of Compromise)列表中

2.2 IP基础信息收集

1. 直接访问测试：

   • 访问该IP返回简单界面，似乎缺少参数
   • 表面看无异常应用

2. 威胁情报平台查询：

   • 基础信息：联通IDC机房，位于河北廊坊
   • 部分平台标记为"僵尸主机"
   • 微步在线显示"未知"
   • VirusTotal(VT)显示丰富关联信息：
     • 多个URL和病毒样本关联
     • 活动集中在2019年2-3月

2.3 URL特征分析

发现的URL呈现两种明显特征：

1. 白域名：

   • 知名公司域名如iqiyi的CDN
   • Adobe的msp文件
   • 确认为合法域名

2. 黑域名：

   • 如a46.bluehero.in/download.exe
   • 确认关联BlueHero蠕虫病毒
   • 腾讯安全分析报告参考：https://s.tencent.com/research/report/514.html

2.4 行为模式推测

分析发现URL的共同特征：

• 域名后跟随网页路径
• 推测实现基础跳转功能
• 类似URL Redirect操作

可能目的推测：

1. 绕过威胁情报检测
2. CDN多节点加速下载优化
3. 流量代理或劫持
4. 鉴于多家知名厂商有此行为，CDN优化或流量代理可能性较大

2.5 技术验证测试

1. 跳转功能验证：

   • 访问测试：输入www.baidu.com直接跳转至百度
   • 抓包分析：主机仅与120.52.51.19建立HTTP连接

2. 同网段测试：

   • 120.52.51.13至120.52.51.20均表现相同行为

2.6 深入抓包分析

在网关处抓包发现实际请求的URL：

1. 120.52.51.13:80/osce11-ilspn30-p.activeupdate.trendmicro.com:80/activeupdate/pattern/itbldiff_1914201800_1914201900.zip
2. 120.52.51.13:80/osce11-ilspn30-p.activeupdate.trendmicro.com:80/activeupdate/pattern/crczdiff_1914002000_1914200400.zip

内存检查结果：

• 定位到趋势科技产品的进程
• 推测为升级包相关操作

3. 技术原理推测

基于分析，推测该IP服务器实现了一种URL重定向服务，基本原理如下：

用户请求 -> 重定向服务器(如120.52.51.13) -> 实际目标服务器

特点：

• 中间服务器仅作为跳板
• 实际恶意活动发生在最终目标服务器
• 可有效绕过基于IP的威胁情报检测

4. 总结与经验

1. 结论：

   • 此次警报为误报
   • 该IP服务器仅提供重定向服务
   • 无实际恶意行为

2. 安全分析经验：

   • 威胁情报需多源验证
   • IP情报可能因中间跳转而失效
   • 需结合行为分析和实际检查
   • 知名厂商域名可能被滥用

3. 防御建议：

   • 建立多维度威胁检测机制
   • 不依赖单一情报源
   • 对可疑IP进行深入行为分析
   • 关注URL路径而不仅是域名/IP

5. 附录：关键IOC

• 可疑IP段：120.52.51.13 - 120.52.51.20
• 恶意域名示例：a46.bluehero.in/download.exe
• 相关报告：腾讯BlueHero蠕虫分析报告(https://s.tencent.com/research/report/514.html)

6. 教学要点

1. 威胁情报验证流程：

   • 多平台交叉验证
   • 直接访问测试
   • 历史活动分析
   • 关联样本检查

2. 跳转服务识别方法：

   • 观察URL结构
   • 测试跳转行为
   • 同网段行为对比
   • 抓包分析实际请求

3. 误报排除技巧：

   • 主机实际检查
   • 进程与内存分析
   • 网络流量分析
   • 厂商行为模式了解

通过本案例，安全分析人员应建立更全面的威胁评估方法，避免单一指标导致的误判，同时了解攻击者可能使用的各种规避技术。