AG公司云
「威胁通告」关于深信服SSL VPN被境外APT组织使用并下发恶意代码
2020-04-07
一、威胁概述
4月6日 ，深信服官方宣布通告称 ，有境外APT组织通过不法手段控制部分深信服SSL VPN装备 ，并使用客户端升级误差下发恶意文件到客户端 ，AG公司科技对该事务亲近关注 ，并举行了整体的梳理和剖析 ，建议相关用户实时接纳防护和应急步伐。
本次误差为SSL VPN装备Windows客户端升级� ？槭鹈橹せ频娜毕� ，但使用该误差的条件为必需获取控制SSL VPN装备的权限。凭证深信服官方的剖析 ，此误差使用难度较高。官方预估 ，受影响的VPN装备数目有限。凭证AG公司科技清静服务团队的反响 ，虽然现在已被APT组织攻陷的装备并未几 ，但受影响的VPN版本在海内企业中应用十分普遍。
参考链接：
https://mp.weixin.qq.com/s/lKp_3kPNEycXqfCnVPxoDw
二、影响规模
现在官方已确认以下SSL VPN版本受影响
- M6.3R1
- M6.1
三、防护建议
3.1 产品防护
此次攻击运动相关IoC信息如下：
1、C&C：103.216.221.19
2、文件名：SangforUD.EXE ，MD5：a32e1202257a2945bf0f878c58490af8,
3、文件名：SangforUD.EXE ，MD5：967fcf185634def5177f74b0f703bdc0
4、文件名：SangforUD.EXE ，MD5：c5d5cb99291fa4b2a68b5ea3ff9d9f9a
5、文件名：e58b8de07372b9913ca2fbd3b103bb8f.virus ，MD5：e58b8de07372b9913ca2fbd3b103bb8f
6、文件名：m.exe ，MD5：429be60f0e444f4d9ba1255e88093721
7、文件名：93e9383ae8ad2371d457fc4c1035157d887a84bbfe66fbbb3769c5637de59c75 ，MD5：18427cdcb5729a194954f0a6b5c0835a
8、文件名：SANARISOR.EXE ，MD5：a93ece16bf430431f9cae0125701f527
3.1.1 TAC防护
针对此次攻击运动中的恶意样本 ，AG公司科技威胁剖析系统（TAC）已经具备了检测能力 ，请安排了TAC装备的用户实时关注相关告警 ，并设置好阻断战略。
恶意样本：967fcf185634def5177f74b0f703bdc0
恶意样本：a32e1202257a2945bf0f878c58490af8
恶意样本：c5d5cb99291fa4b2a68b5ea3ff9d9f9a
3.1.2 威胁情报中心（NTI）
AG公司科技威胁情报中心已支持对该事务的IoC检测 ，可以精准识别恶意IP及恶意文件 ，建议用户小心与恶意IP 103.216.221.19相关告警信息。阻止本通告宣布 ，该C&C服务器已关闭。用户可使用AG公司威胁情报中心宣布的IoC举行检测 ，接纳专杀工具对木马文件彻底查杀。
涉及到该事务的C&C服务器的威胁知识图谱如下：
涉及到该事务的几个典范恶意文件详情如下：
3.2 其他防护建议
1、检查VPN服务器日志 ，核查是否保存治理员账号异常登录、%USERPROFILE%\AppData\Roaming\Sangfor\SSL\SangforUPD.exe文件被替换等异常情形；
2、限制外网或非信托IP会见VPN服务器的4430控制台治理端口 ，阻断黑客针对VPN服务器治理后台举行的攻击。
3、增强账号�；� ，使用高强度的密码 ，避免治理员密码被暴力猜解。
4、VPN服务器和客户终端装置清静软件 ，实时查杀恶意程序 ，开启实时�；し烙�。
5. 请关注深信服公司的解决计划 ，实时修复相关误差。
附录：样天职析
通过审查样本内嵌的数字署名信息 ，公司名称标记成“Sangfor Technologies Co.,Ltd” ，但深信服公司现实英文名称为“Sangfor Technologies Inc.” ，攻击者对署名举行伪造 ，通俗人难以区分。
建设目录%USERPROFILE%\AppData\Roaming\Sangfor\SSL\
目录建设完成后将自身拷贝到%USERPROFILE%\AppData\Roaming\Sangfor\SSL\SangforUPD.exe
遍历外地目录 ，获取所有文件名
链接目的服务器80端口 ，通过HTTP协议 ，以POST方法回传获取到的数据
使用com库建设系统妄想使命 ，抵达权限维持的目的
执行系统下令获取目的系统的相关信息 ，相关下令如下：
|
1
2
3
4
5
6
7
8
9
|
systeminfo.exe
ipconfig.exe /all
cmd.exe /c set
net.exe user
HOSTNAME.EXE
net.exe user /domain
net.exe group /domain
tasklist.exe /V
whoami.exe /all
|
执行系统下令相关截图如下：
建设循环获取来自服务端的数据
