Sunburst供应链攻击解析 – 作者:南京聚铭网络-安全小百科

近期，数以千计的组织受到了一次供应链攻击的影响，该攻击破坏了SolarWinds Orion软件的更新机制，以交付名为Sunburst的后门特洛伊木马程序(Sunburst后门)（又名Solorigate）。

安全公司FireEye于12月13日披露了袭击的细节。SolarWinds还为其客户发布了一份安全建议。

这场攻击活动至少从2020年3月就开始了。任何在这段时间内下载更新的Orion软件的用户都可能感染了Sunburst。据FireEye称，攻击者对他们感兴趣的受害者组织子集进行了进一步的恶意活动。

从本质上讲，供应链攻击是不会进行区分目标的，它会感染任何被破坏软件的用户。它们的执行是为了让攻击者能够访问大量的组织，其中的一个子集将被确定为进一步利用的目标；发现了少数组织的第二级有效载荷(Teardrop后门)被利用了。

Sunburst分析

一个名为Sunburst.Orion.Core.BusinessLayer.dll会被攻击者修改为包含一个添的类。该恶意软件设计为在安装后一段时间内保持非活动状态。然后它将尝试解析avsvmcloud.com的子域。DNS响应将传递一个CNAME记录，该记录将定向到命令和控制（C&C）域。

Sunburst.Orion.Core.BusinessLayer.BackgroundInventory.InventoryManager.RefreshInterval（）代码被添加到调用OrionImprovementBusinessLayer.Initialize().OrionImprovementBusinessLayer是攻击者添加的恶意类。

它具有如下功能：

● 终止后门线程

● 设置执行前的延迟时间

● 收集并上传系统信息，包括：

◆ 域

◆ 管理员账户的SID

◆ 主机名

◆ 用户名

◆ 操作系统版本

◆ 系统目录路径

◆ 系统启动后经过的天数

◆ 有关网络适配器的信息，包括：

■ 描述

■ MAC地址

■ DHC启用

■ DHCP服务器

■ DNS名称

■ DNSDomainSuffixSearchOrder

■ DNSServerSearchOrder

■ IP地址

■ IPSubnet网络

■ 默认IP网关

● 下载并运行代码

● 遍历文件系统

● 创建和删除文件

● 计算文件哈希

● 读取、写入和删除注册表项

● 重新启动系统

第二阶段负载：Teardrop

第二阶段的有效载荷，一个称为Teardrop的后门，部署在攻击者感兴趣的目标上。赛门铁克观察到了Teardrop的两个变种，两个变种的行为相似，并被用来传递另一个有效载荷——CobaltStrike恶意软件。

第一个变体（SHA256:b820e8a2057112d0ed73bd7995201dbed79a79e13c79d4bdad81a22f12387e07）是一个DLL。恶意代码包含在导出Tk_CreateImageType，序号209中。执行时，恶意代码读取名为upbeat的文件_焦虑.jpg并确保它具有来自jpg的当前目录头。它还将检查注册表项HKCU\Software\Microsoft\CTF是否存在。然后提取并执行CobaltStrike的嵌入副本。这个CobaltStrike示例连接到InfinitySoftware[.]com进行命令和控制。

第二个变体（SHA256:1817a5bf9c01035bcf8a975c9f1d94b0ce7f6a20039485d8f93859f8f6d730c）类似，只是它加载的文件名为festive_computer.jpg，嵌入式CobaltStrike有效载荷连接到ervsystem[.]com以进行命令和控制。

植入后攻击链

一台被调查的计算机的后攻击链看到了最初的Sunburst恶意软件，一个经过修改的sunburst.orion.core.businesslayer.dll，通过Orion更新过程安装在受害者电脑上，时间是11月7日。

21天后，合法的可执行文件solarwinds.businesslayerhost.exe加载恶意DLL，此动态链接库名为cbsys.dll，位于c:\windows\panther文件夹中。这个文件名和路径看起来很不寻常，因为大多数Teardrop实例都是在一个名为netsetupsvc.dll在c:\windows\syswow64文件夹中。

这个后门是一个DLL，其中包含导出Tk_CreateImageType中包含的恶意代码。执行时，该导出将读取名为upbeat的upbeat_anxiety.jpg并确保它具有来自jpg的当前目录。它还将检查注册表项HKCU\Software\Microsoft\CTF是否存在。然后提取一个嵌入的CobaltStrike副本。CobaltStrike会连接C&C服务器InfinitySoftware.com。

此时，攻击者启动WMI以执行rundll32.exe来加载另一个名为resources.dll(在路径csidl\u windows\desktoptileresources\)，resources.dll尝试通过访问获取凭据lsass.exe文件使用类似于Mimikatz的技术（一个广泛使用的操作系统凭证转储工具）。

Adfind是一个能够查询activedirectory的工具，然后作为searchindex.exe然后被执行(命令行.exe/cSearchIndex.exe-sc u:<removed>>.\h.txt），其结果保存在h.txt文件中。利用此信息，攻击者试图获得提升的权限（例如域管理员）来访问域或横向遍历环境。