一  事件概述

近期，毒霸安全團(tuán)隊通過"捕風(fēng)"威脅感知系統(tǒng)監(jiān)控到一起疑似針對礦機廠商的供應(yīng)鏈攻擊事件。全球知名礦機品牌"翼比特"官網(wǎng)的礦機管理工具"EbiteMinerMini"被植入后門代碼，通過多組"白利用"隱蔽裝載CobaltStrike遠(yuǎn)控木馬，隨后下發(fā)鍵盤記錄插件keylogger進(jìn)行定向竊密。

“翼比特”作為知名比特幣礦機制造商"億邦國際"旗下的主要銷售品牌，根據(jù)艾瑞咨詢報告，按全球銷售收入和已售算力，2017年億邦已經(jīng)成為世界第三大比特幣礦機廠商，預(yù)計本次供應(yīng)鏈攻擊事件將影響波及大量“翼比特”礦機用戶。

從捕風(fēng)系統(tǒng)的歷史數(shù)據(jù)回溯來看，本次攻擊事件從測試部署到潛伏攻擊至今已經(jīng)持續(xù)最少5個月的時間。從virustotal平臺掃描結(jié)果看，后門主程序目前無任何殺軟檢出，后階段惡意模塊目前也僅有極少數(shù)高啟發(fā)引擎能夠檢出，從側(cè)面也可以看出供應(yīng)鏈攻擊的隱蔽性和檢測防御難度。

這也是我們首次捕獲針對礦機供應(yīng)鏈的大規(guī)模攻擊案例，結(jié)合攻擊目標(biāo)特點，我們將本次攻擊事件命名為"折翼行動"。我們已第一時間和“翼比特”官方取得聯(lián)系并反饋攻擊相關(guān)情況，目前官網(wǎng)已將后門版本管理程序下架，毒霸安全團(tuán)隊呼吁“翼比特”礦機用戶盡快升級最新客戶端，并參照文章提供的IOC信息進(jìn)行自查。

二  詳情分析

“翼比特”官網(wǎng)下載頁面的最后更新日期為2020年12月04日，但從礦機管理工具"EbiteMinerMini"壓縮包可以看到，主程序最后修改時間為2021年6月10日。通過歷史安全數(shù)據(jù)深入溯源，我們發(fā)現(xiàn)幕后攻擊團(tuán)伙從2021年4月份就已經(jīng)開始針對性地進(jìn)行攻擊樣本測試，真正的攻擊行動于6月10日前后啟動并迅速擴(kuò)散，8月份處于潛伏靜默期，隨后開始加強活躍并保持至今。

從具體的攻擊路徑流程來看，幕后黑客團(tuán)伙的攻擊技術(shù)手法組合利用比較嫻熟，通過在目標(biāo)程序“EbiteMinerMini.exe”入口植入后門下載線程啟動代碼，聯(lián)網(wǎng)下載"白利用"payload和CobaltStrike內(nèi)存馬進(jìn)行隱蔽部署。主要行為流程如下圖所示：

從主程序代碼篡改的方式來看，我們推測幕后團(tuán)伙已經(jīng)攻陷掌握“翼比特”礦機管理工具相關(guān)項目的代碼服務(wù)器權(quán)限。目前在后門程序中目前共發(fā)現(xiàn)2類變種，代碼篡改方式和行為流程基本一致，差異主要在于"白利用"payload的變換。兩組"白利用"數(shù)字簽名分別為"Shanghai Changzhi Network Technology Co., Ltd."(雷神模擬器)和"NetEase(Hangzhou) Network Co. Ltd."(網(wǎng)易)。

后續(xù)"白利用"模塊的行為比較簡單，以其中的"AdbWinApi.dll"為例，主要包括互斥檢測、添加注冊表自啟持久化和聯(lián)網(wǎng)接收CobaltStrike的stager代碼注入系統(tǒng)進(jìn)程等。在這部分代碼中，我們還發(fā)現(xiàn)作者使用系統(tǒng)目錄遍歷順序串聯(lián)代碼執(zhí)行邏輯，推測是針對行為啟發(fā)查殺的對抗技巧。

目前監(jiān)控截獲的stager為https協(xié)議類型，從代碼水印可以看出其由CobaltStrike的測試版生成，具體配置解析如下：

從"捕風(fēng)"系統(tǒng)針對這部分感染用戶的安全數(shù)據(jù)分析來看，幕后團(tuán)伙通過stager推送的后階模塊主要為CobaltStrike的鍵盤記錄插件"keylogger.dll"，攻擊目的顯而易見，通過鍵盤記錄竊取分析目標(biāo)礦場管理主機的賬號密碼等敏感信息，進(jìn)一步制定更具針對性的定向攻擊方案，盜取BTC等虛擬貨幣資產(chǎn)。

三  處置結(jié)論

近年來"軟件供應(yīng)鏈攻擊"安全事件已經(jīng)被越來越多地關(guān)注，以2020年底被披露的"SolarWinds供應(yīng)鏈攻擊"事件為例，從目標(biāo)核心網(wǎng)絡(luò)滲透到后門植入，從隱蔽通訊機制到定向目標(biāo)篩選攻擊，攻擊者在近一年的潛伏攻擊活動中表現(xiàn)出來的高超技術(shù)和"步步為營"策略讓安全分析人員驚嘆，在全球范圍內(nèi)造成重大安全影響更是令人側(cè)目。

"軟件供應(yīng)鏈攻擊"從根本上講是由信任引發(fā)的安全危機。對于攻擊者來說，這是最具破壞力、穿透力的攻擊技術(shù)，通過單點的破防實現(xiàn)全范圍目標(biāo)的覆蓋打擊。但技術(shù)再高超的供應(yīng)鏈攻擊也并非無跡可尋，對于防御者來說，不能拘泥于傳統(tǒng)安全邊界防御思路，需要重新界定"信任"安全理念，提升事件上下文關(guān)聯(lián)分析能力和攻擊鏈全局觀測視野，才能更有效應(yīng)對此類安全威脅。

目前毒霸客戶端已支持"折翼行動"關(guān)聯(lián)樣本的查殺防御，請使用過翼比特管理工具的用戶盡快自查，避免敏感賬號秘鑰泄露導(dǎo)致虛擬貨幣資產(chǎn)被竊取。

四  IOC

Hash

a7bee33f9fb37f08c5084aefba56b11b

e7a25391705798308d09d3158d822e12

f837c58ef87088066b45dcde4e872ac7

f87e8b206275d859a2e7c254b9c51378

C&C

1.13.0.130

Path

C:\\Windows\\Temp\\virtual.exe

C:\\Windows\\Temp\\msvcr100.dll

C:\\Windows\\Temp\\libcurl.dll

C:\\Windows\\Temp\\msvcp100.dll

C:\\Windows\\Temp\\ssleay32.dll

C:\\Windows\\Temp\\libeay32.dll

C:\\Windows\\Temp\\virtualcheck.exe

C:\\Windows\\Temp\\AdbWinApi.dll

Registry

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Tool consistency checker