FinGhost黑产组织攻击样本分析教学文档

概述

FinGhost是一个专业从事黑灰产的攻击组织，主要针对金融从业者实施攻击。该组织使用多种攻击手段，包括：

• 钓鱼网站
• 社工攻击
• 间谍软件
• 热点事件捆绑病毒文件

攻击者通过诱导用户点击安装病毒文件，实现对受害者主机的远程控制（RAT）。

样本分析

1. 样本基本信息

• 捕获时间：2023年4月12日
• 样本类型：Gh0st远控变种

2. 样本执行流程

2.1 解密阶段

1. 样本包含硬编码的加密数据段
2. 执行解密算法解密这些数据
3. 在内存中分配空间存放解密后的数据
4. 跳转到解密数据执行（典型的无文件攻击技术）

2.2 持久化机制

1. 将自身拷贝到系统目录：
   • C:\Windows\
   • C:\Program Files\Common Files\scvhost.exe
2. 设置注册表自启动项
3. 创建自启动服务：
   • 服务名：程序名
   • 启动参数：-auto

2.3 C2通信

1. 解密远程C2服务器IP（示例：45.195.x.x）
2. 连接远程服务器接收指令

3. 恶意功能分析

3.1 信息收集

1. 安全软件检测：遍历进程获取常用安全软件信息
2. 凭证窃取：
   • 下载Mimikatz工具
   • 获取主机登录密码
3. QQ信息窃取：调用QQ接口API获取登录QQ账号信息

3.2 监控功能

1. 屏幕监控：截取桌面屏幕信息
2. 输入监控：
   • 键盘记录
   • 鼠标记录
3. 剪贴板监控：获取和设置剪贴板信息

3.3 远程控制

1. 开启3389端口（RDP）远程连接
2. 执行远程服务器下发的各种指令

防御建议

1. 预防措施

1. 提高安全意识，不点击不明链接和附件
2. 保持系统和安全软件更新
3. 限制非必要的高权限账户使用

2. 检测方法

1. 监控可疑文件路径：
   • C:\Windows\下的异常文件
   • C:\Program Files\Common Files\scvhost.exe
2. 检查异常服务创建
3. 监控异常网络连接（特别是45.195.x.x等IP）

3. 应急响应

1. 隔离受感染主机
2. 检查并删除持久化项目：
   • 注册表自启动项
   • 可疑服务
3. 重置所有账户密码
4. 进行全面杀毒扫描

总结

FinGhost组织使用高度定制的Gh0st远控变种，具有：

• 强大的信息窃取能力
• 完善的持久化机制
• 隐蔽的C2通信

该样本展示了现代黑产攻击的典型特征：利用社会工程学诱骗用户，结合多种技术手段实现长期控制。金融从业者应特别警惕此类针对性攻击。

附录：技术指标

1. 文件路径：

   • C:\Windows\[随机名]
   • C:\Program Files\Common Files\scvhost.exe

2. 注册表项：

   • 自启动注册表项
   • 服务相关注册表项

3. 网络指标：

   • C2 IP：45.195.x.x
   • 可能使用HTTP/HTTPS协议通信

4. 行为特征：

   • 创建服务并带-auto参数
   • 下载Mimikatz工具
   • 调用QQ API接口