1.概述

近日，安天CERT捕获到了Jester黑客团伙开发售卖的Lilith僵尸网络。该僵尸网络除了具备该团伙开发售卖的窃密木马、剪贴板劫持器、挖矿木马等恶意代码的功能外，还增加了持久化及远控功能，对用户造成机密数据泄露、虚拟财产损失、系统资源耗尽等威胁。

安天CERT曾于2022年5月发布了《活跃的Jester Stealer窃密木马及其背后的黑客团伙分析》[1]，报告中详细分析了Jester黑客团伙开发售卖的Jester Stealer窃密木马、Merlynn Cliper剪贴板劫持器等多个恶意代码。结合本次捕获到的Lilith僵尸网络样本，可以看到黑客团伙为了追求利益最大化，正在开发更多类型的恶意代码满足攻击者的需求，并且不断增加新的恶意功能、订阅模式以获取更高收益。在商业化恶意代码竞争激烈的环境下，攻击者发动网络攻击的平均成本和技术门槛被进一步降低，可以预见未来网络攻击的数量仍会不断增加，给网络安全行业带来更加严峻的挑战。

经验证，安天智甲终端防御系统（简称IEP）可实现对该僵尸网络程序的有效查杀，安天探海威胁检测系统（简称PTD）能够实现对该僵尸网络C2通信的精准检测。

2.样本对应的ATT&CK映射图谱

样本对应的技术特点分布图：

图 2‑1技术特点对应ATT&CK的映射

具体ATT&CK技术行为描述表：

3.防护建议

为有效防御此类恶意代码，提升安全防护水平，安天建议企业采取如下防护措施：

3.1 提升主机安全防护能力

（1）安装终端防护系统：安装反病毒软件，建议安装安天智甲终端防御系统；

（2）加强口令强度：避免使用弱口令，建议使用16位或更长的密码，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；

（3）部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

3.2 提高网络安全防护意识

（1）接收邮件时要确认发送来源是否可靠，避免打开可疑邮件中的网址和附件；

（2）建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行。安天追影威胁分析系统（PTA）采用深度静态分析与沙箱动态加载执行的组合机理，可有效检出分析鉴定各类已知与未知威胁。

3.3 遭受攻击及时发起应急响应

联系应急响应团队：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；安天7*24小时服务热线：400-840-9234。

经验证，安天智甲终端防御系统（简称IEP）可实现对该僵尸网络的有效查杀。

图 3‑1 安天智甲为用户终端提供有效防护

4.Lilith僵尸网络分析

4.1 样本标签

表 4‑1二进制可执行文件

4.2 详细分析

生成GUID作为被感染设备的用户ID并以此创建互斥量。

图 4‑1生成用户ID

将用户ID加密存储在注册表中。

图 4‑2将用户ID存储于注册表中

解密配置信息，获取C2地址、通信密钥和僵尸网络代号。

图 4‑3解密配置信息

将自身复制到“启动”目录下，实现持久化。

图 4‑4设置持久化启动

C2服务器返回的信息均采用AES-256-CBC加密，其AES加密密钥由密钥派生算法PBKDF2（Password-Based Key Derivation Function 2）生成，具体在算法中采用的安全散列算法为SHA-512，口令（Passphrase）为样本中硬编码的“c4d8c7f433c1e79afe4eff3a4b05c7c9”，盐值（Salt）为用户ID，迭代轮数（Iterations）为1000轮。

图 4‑5生成通信密钥

循环检查网络连接，可联网后向C2服务器http://45.9.148.203:4545/gate/

图 4‑6发送上线包

连接http://45.9.148.203:4545/gate/

图 4‑7获取到的配置信息

根据配置信息每间隔一段时间连接http://45.9.148.203:4545/gate/

图 4‑8解析远控指令的相关代码

Lilith僵尸网络具备DDoS攻击、视频“刷数据”、窃密、挖矿、内网扫描、远程控制等功能，详细的控制指令如下。

DDoS攻击

表 4‑2 DDoS攻击指令

视频“刷数据”

表 4‑3视频“刷数据”功能指令

挖矿、窃密、远控、扫描

表 4‑4挖矿、窃密、远控、扫描功能指令

程序下发、自更新、卸载等

表 4‑5 程序下发及维护指令

5.关联分析

通过对样本的关联分析发现，本次分析的Lilith僵尸网络是由此前安天跟踪分析的Jester黑客团伙开发售卖。该黑客团伙将开发的所有恶意软件进行功能整合，以较高的价格打包售卖，形成了Lilith僵尸网络。

图 5‑1 Jester黑客团伙发布的Lilith僵尸网络售卖广告页面

Jester黑客团伙后续因多次被其他黑客冒充实施诈骗而被多个黑客论坛封禁，因此Jester黑客团伙于2022年2月更名为Eternity继续进行恶意软件售卖，同时还改变了运营策略，使僵尸网络程序只包含远控、DDoS等功能，其他功能单独购买再下发执行，而非必须捆绑购买。

图 5‑2 Jester组织改名为Eternity

6.总结

Lilith僵尸网络除了具备持久化、远程控制等功能，还集成了Jester黑客团伙开发的窃密木马、剪贴板劫持器、挖矿木马等恶意代码的全部恶意功能，对用户系统安全造成极大的威胁。Jester黑客团伙为了追求更大利益，在持续开发更多恶意功能的同时，还在不断调整运营策略，未来可能会演进为更具威胁的黑客团伙。

安天CERT将会继续追踪该黑客团伙的相关技术变化和特点，并提供相应的解决方案。安天智甲终端防御系统（IEP）不仅具备病毒查杀、主动防御等功能，而且提供终端管控、网络管控等能力，能够有效防御此类威胁攻击，保障用户数据安全。

7.IoCs

附录：参考资料

[1]      活跃的Jester Stealer窃密木马及其背后的黑客团伙分析

https://www.antiy.cn/research/notice&report/research_report/20220510.html

如若转载，请注明原文地址