AI+安全
數據安全
數據基礎設施
態勢感知
云安全
基礎安全
終端安全
商用密碼
軟件供應鏈安全
網絡空間靶場
工業互聯網安全
物聯網安全
安全托管服務
運營管理服務
活動版圖擴展|我國能源及制造業成FormBook攻擊新目標
FormBook是一種竊取數據的惡意軟件，它能夠竊取Web瀏覽器和許多其他應用程序的數據。自2016年開始，FormBook就被在國外黑客論壇上售賣。
近期安恒威脅分析平臺監測到，使用FormBook惡意軟件的攻擊者又有新活動，我國能源及制造業也都受到影響。
分析：
FormBook的分發活動大多通過網絡釣魚郵件進行傳播，在郵件內會附加多種形式的附件。根據監測的情況，近期主要以壓縮PE文件的rar壓縮文件為主。
如近期捕獲到的樣本，拼音名稱帶有迷惑性。
解壓后得到一個圖標為abode reader的程序。該程序是一個VB5.0的程序，經分析VB只不過是一層外部包裹，
?實際載荷為FormBook，
并且該FormBook的木馬版本為3.9。（樣本在這里不做更多具體分析）。
?
FormBook在攻擊使用時會使用多種不同語言的打包程序進行包裹，如VB，.net，C/C++, Delphi等，并有不同程度的加密混淆及反調試反沙箱技術，從而導致對其檢測識別難度增加。
FormBook惡意軟件的功能包括以下幾點，通過注入各種進程來進行這些惡意操作。
-
按鍵記錄
-
剪貼板監控
-
HTTP / HTTPS / SPDY / HTTP2表單和網絡請求抓取
-
瀏覽器和電子郵件客戶端密碼抓取
-
捕獲屏幕截圖
-
Bot更新
-
下載和執行文件
-
Bot刪除
-
通過ShellExecute啟動命令
-
清除瀏覽器cookie
-
重新啟動系統
-
關閉系統
-
下載并解壓縮ZIP存檔
FormBook從2016年開始就在國外黑客論壇上進行售賣，但并不直接售賣木馬構建器，而只提供操作界面，相當于購買惡意軟件即服務，即攻擊者可以根據其所需參數購買已編譯的惡意軟件。
根據捕獲到的攻擊者郵箱域名還能關聯到一些域名和樣本，如
-
?Obero[.]cc
-
Tjgoldenwheel[.]me
-
Mccoinico[.]com
-
Befairchina[.]xyz
? ? 在更早的時間段還有更多的域名。
在這些域名下都有類似的子域名，以obero[.]cc為例，包含:
www[.]obero[.]cc
mail[.]obero[.]cc
webdisk[.]obero[.]cc
webmail[.]obero[.]cc
cpanel[.]obero[.]cc
并且可以看到攻擊者通過Leaf PHPMailer作為郵件投遞的工具。
根據一些關聯樣本，攻擊者發送的主題大多圍繞ORDER、RFQ,、QUOTATION這些商貿類主題為主，附件名稱也會和主題呼應。如：
攻擊者的攻擊目標主要包括制造類、商貿類的企業，也包括其他行業或組織。
?
通過郵箱域名的關聯發現了一些信息，如與發件域名obero[.]cc關聯的樣本如:
604279.exe(MD5:6872d1e7b16bdba27693e661d6be1644)等會回連許多域名，其中包含真實回連地址，其余起到混淆的作用。分析發現mansiobbok[.]info域名比較特殊，從whois信息看與郵箱域名同在一個地方注冊域名，應該為真實的回連地址。
友商曾在2018年初發布過《CVE-2017-8570首次公開的野外樣本及漏洞分析》一文，文中攻擊組織利用CVE-2017-8570漏洞進行文件投遞，投遞樣本使用的payload為FormBook，并且樣本使用VB編寫，也是解密出真正的惡意代碼注入進程中執行，并且在給出的回連域名中有mansiobbok[.]com這個域名，和我們關聯到的mansiobbok[.]info僅后綴不同，查詢mansiobbok[.]com的whois信息，發現也是在相同地方注冊的域名。
判斷這兩者存在極強的關聯性，推測是同一攻擊組織。該攻擊組織持續利用FormBook惡意軟件進行攻擊活動，并且善于將新型漏洞或技術納入自己的武器庫。
?
防御建議與總結：
企業應當注重培養人員安全意識，不輕易打開未知來源的郵件及附件，不隨意點擊未知鏈接，不隨意打開未驗證可靠來源的文檔。及時為信息系統打好補丁。
部署安恒APT預警平臺，安恒APT預警平臺能夠發現已知或未知的威脅，APT預警平臺的實時監控能力能夠捕獲并分析郵件附件投遞文檔或程序的威脅性，并能夠對郵件投遞，漏洞利用、安裝植入、回連控制等各個階段做強有力的監測。結合安恒威脅情報系統，可將國內外的威脅數據進行匯總，并分析整個攻擊演進和聯合預警。
獵影威脅分析團隊將持續關注網絡安全動態。
