TeleBots组织Exaramel后门深度分析教学文档<\/h1>

一、概述<\/h2>
Exaramel后门是TeleBots组织使用的新型恶意软件，与Industroyer主后门存在大量代码重叠，这一发现将Industroyer、TeleBots、NotPetya和BlackEnergy等恶意软件家族关联在一起。<\/p>

二、Win32\/Exaramel后门分析<\/h2>

2.1 初始感染与部署<\/h3>

Dropper特性<\/strong>：<\/p>

使用Microsoft Visual Studio编译<\/li>
PE时间戳显示编译时间信息（参见图1）<\/li> <\/ul> <\/li>

部署行为<\/strong>：<\/p>

将后门植入Windows系统目录<\/li>
创建名为"wsmproav"的Windows服务<\/li>
服务描述为"Windows Check AV"（伪装成杀毒软件服务）<\/li>
服务注册表设置参见图2<\/li> <\/ul> <\/li> <\/ol>
2.2 配置机制<\/h3>

配置存储<\/strong>：<\/p>

以XML格式写入Windows注册表<\/li>
配置示例参见图3<\/li> <\/ul> <\/li>

配置内容<\/strong>：<\/p>
Interval – Sleep函数使用的时间间隔 <\/span><\/span>Servers – C2服务器地址列表 <\/span><\/span>Check – 用于网络连接检查的网站 <\/span><\/span>Proxy – 网络代理服务器设置 <\/span><\/span>Storage – 窃取文件的存储路径 <\/span><\/span><\/code><\/pre><\/li> 目标分组<\/strong>：<\/p> 根据目标使用的安全措施进行分组<\/li> 类似Industroyer工具集的分组行为<\/li> <\/ul> <\/li> <\/ol> 2.3 C2通信<\/h3> 域名伪装<\/strong>：<\/p> 使用仿冒ESET的域名（esetsmart[.]org, um10eset[.]net）<\/li> 与合法ESET基础设施无关<\/li> <\/ul> <\/li> 命令功能<\/strong>：<\/p> 启动进程<\/li> 在特定用户下启动进程<\/li> 文件写入操作<\/li> 文件上传（保存到存储子目录）<\/li> 执行shell命令<\/li> 以特定用户执行shell命令<\/li> 使用MSScriptControl.ScriptControl执行VBS代码<\/li> <\/ul> <\/li> <\/ol> 2.4 与Industroyer的相似性<\/h3> 代码重叠<\/strong>：<\/p> 命令循环和实现代码高度相似（参见图4对比）<\/li> <\/ul> <\/li> 报告机制<\/strong>：<\/p> 都使用report文件保存命令执行结果<\/li> 都重定向stdout和stderr到report文件（参见图5对比）<\/li> Exaramel使用固定文件名report.txt<\/li> Industroyer使用随机文件名<\/li> <\/ul> <\/li> 数据窃取<\/strong>：<\/p> 文件自动压缩加密后发送到C2<\/li> 使用预定义的存储路径<\/li> <\/ul> <\/li> <\/ol> 2.5 主要差异<\/h3> Exaramel使用XML格式通信和配置<\/li> Industroyer使用传统二进制格式<\/li> <\/ul> 三、密码窃取工具<\/h2> 3.1 CredRaptor<\/h3> 演变历史<\/strong>：<\/p> 自2016年开始使用<\/li> 最新版本功能增强<\/li> <\/ul> <\/li> 窃取目标<\/strong>：<\/p> 浏览器保存的密码<\/li> Outlook邮件客户端凭证<\/li> FTP客户端凭证<\/li> <\/ul> <\/li> 支持应用列表<\/strong>：<\/p> BitKinex FTP, BulletProof FTP Client, Classic FTP, CoffeeCup, Core FTP, Cryer WebSitePublisher, CuteFTP, FAR Manager, FileZilla, FlashFXP, Frigate3, FTP Commander, FTP Explorer, FTP Navigator, Google Chrome, Internet Explorer 7-11, Mozilla Firefox, Opera, Outlook 2010\/2013\/2016, SmartFTP, SoftX FTP Client, Total Commander, TurboFTP, Windows Vault, WinSCP, WS_FTP Client <\/code><\/pre> <\/li> <\/ol> 3.2 修改版Mimikatz<\/h3> 用于提升权限和凭证窃取<\/li> <\/ul> 四、Linux\/Exaramel后门分析<\/h2> 4.1 基本特性<\/h3> 使用GO语言编写<\/li> 编译为64位ELF二进制文件<\/li> 可任意命名和部署位置<\/li> <\/ul> 4.2 持久化机制<\/h3> 执行参数<\/strong>：<\/p> 使用"none"作为参数时尝试持久化<\/li> <\/ul> <\/li> 持久化方法<\/strong>：<\/p> 非root账户：使用crontab<\/li> root账户：根据init系统选择不同方法 strings \/sbin\/init | awk 'match($0, \/(upstart|systemd|sysvinit)\/){ print substr($0, RSTART, RLENGTH);exit; }'<\/span> <\/span><\/span><\/code><\/pre><\/li> <\/ul> <\/li> 硬编码持久化位置<\/strong>：<\/p> 根据检测到的init系统选择对应位置<\/li> <\/ul> <\/li> <\/ol> 4.3 配置机制<\/h3> 配置文件<\/strong>：<\/p> config.json（与后门同目录）<\/li> 不存在时自动创建<\/li> <\/ul> <\/li> 加密方式<\/strong>：<\/p> RC4算法<\/li> 密钥："s0m3t3rr0r"<\/li> <\/ul> <\/li> 配置内容<\/strong>（参见图6）：<\/p> { <\/span><\/span> "HOSTs"<\/span>: ["C2服务器列表"<\/span>], <\/span><\/span> "Proxy"<\/span>: "代理设置"<\/span>, <\/span><\/span> "Timeout"<\/span>: "超时设置"<\/span>, <\/span><\/span> "Sleep"<\/span>: "休眠间隔"<\/span> <\/span><\/span>} <\/span><\/span><\/code><\/pre><\/li> <\/ol> 4.4 C2通信与命令<\/h3> 通信方式<\/strong>：<\/p> HTTPS协议<\/li> 连接硬编码C2或配置中的HOSTs<\/li> <\/ul> <\/li> 支持命令<\/strong>：<\/p> App.Update - 自我更新 App.Delete - 自我删除 App.SetProxy - 设置代理 App.SetServer - 更新C2 App.SetTimeout - 设置超时 IO.WriteFile - 下载文件 IO.ReadFile - 上传文件 OS.ShellExecute - 执行shell命令 <\/code><\/pre> <\/li> <\/ol> 五、关联分析与结论<\/h2> 恶意软件家族关联<\/strong>：<\/p> Exaramel ↔ Industroyer ↔ TeleBots ↔ NotPetya ↔ BlackEnergy <\/code><\/pre> <\/li> 组织活动特点<\/strong>：<\/p> 持续更新工具集<\/li> 跨平台能力（Windows\/Linux）<\/li> 针对关键基础设施<\/li> <\/ul> <\/li> 防御建议<\/strong>：<\/p> 监控异常服务创建（特别是伪装成安全服务的）<\/li> 检查注册表中的异常XML配置<\/li> 注意仿冒安全厂商的域名<\/li> 加强凭证管理（特别是FTP\/邮件\/浏览器）<\/li> Linux系统检查异常GO语言编译的ELF文件<\/li> 监控crontab和init系统异常修改<\/li> <\/ul> <\/li> <\/ol>

TeleBots组织Exaramel后门深度分析教学文档<\/h1>

一、概述<\/h2> Exaramel后门是TeleBots组织使用的新型恶意软件，与Industroyer主后门存在大量代码重叠，这一发现将Industroyer、TeleBots、NotPetya和BlackEnergy等恶意软件家族关联在一起。<\/p>

二、Win32\/Exaramel后门分析<\/h2>

三、密码窃取工具<\/h2>

四、Linux\/Exaramel后门分析<\/h2>

一、概述<\/h2>
Exaramel后门是TeleBots组织使用的新型恶意软件，与Industroyer主后门存在大量代码重叠，这一发现将Industroyer、TeleBots、NotPetya和BlackEnergy等恶意软件家族关联在一起。<\/p>