观成科技 - 加密网络空间安全领航者

AI检测引擎发布，有效应对恶意加密流量

发布时间：2021-03-25

全球互联网走向全面加密时代已经是大势所趋。但在加密访问可保障通讯安全的情况下，绝大多数网络设备对网络攻击、恶意软件等恶意加密流量却无能为力。攻击者利用SSL加密通道完成恶意软件载荷和漏洞利用的投递和分发，以及受感染主机与命令和控制(C&C)服务器之间的通信。

Gartner预测：2019年，超过80%的企业网络流量将被加密，届时加密的流量中将隐藏超过一半以上的网络恶意软件。面对这一严峻形势，世界一流的安全厂商如思科、Redware，以及一些安全初创公司，纷纷开始研究针对加密流量的安全检测与防护手段，并先后发布了相应产品。但在国内，这一新型检测技术尚属稀缺。

近日，国内安全初创公司观成科技宣布，正式发布有效针对恶意加密流量的AI检测引擎。安全牛分析师第一时间与观成科技的研究人员沟通，并将其提供的技术资料整理如下：

1.使用加密流量的恶意用途分析
通过对大量恶意加密流量的分析，加密通信中的恶意流量一般包括如下三大类：

1.1 恶意代码使用加密通信
这一类主要是指恶意代码、恶意软件为逃避安全产品和人的检测，使用加密通信来伪装或隐藏明文流量特征。从对大量恶意软件监测分析的情况来看，使用加密协议进行通信的恶意软件几乎覆盖了所有类型，如：特洛伊木马、勒索软件、感染式病毒、蠕虫病毒、下载器、其它。

通过对数以万计的使用加密通信的恶意样本深度分析发现，恶意样本在流量侧具备以下几个特点：

使用端口不固定，包括：443、446、447、448、449、465、843、990、8443等；
加密协议使用广泛，以SSL为例，包括：SSLv2、SSLv3、TLSv1.0、TLSv1.1、TLSv1.2；
大量恶意样本经常变换回连IP和域名；
部分样本使用加密协议连接白站探测网络环境或利用白站中转通；
部分样本使用域前置等技术规避安全检测。

下面针对几类典型恶意行为进行简单阐述。
（1）频繁更换回联域名/IP
很多恶意家族样本为逃避检测，频繁更换回联域名和IP，并使用加密通信。如IcedID家族，在2018年7月至9月所使用的域名如下：

监测月份	C&C域名	域名注册时间
2018-07	hxxps://whoulatech[.]com	2018年05月22日
2018-07	hxxps://fillizee[.]com	2018年05月22日
2018-09	hxxps://whoulatech[.]com	2018年05月22日
2018-09	hxxps://tybalties[.]website	2018年06月25日

DNS请求通信截图如下:

与C&C连接采用SSL加密通信截图如下:

（2）利用白站进行中转通信
部分恶意样本，利用白站（如Google云、Amazon云等）进行中转通信，从下发恶意程序到更新回连地址均使用白站，从而达到规避检测、隐蔽通信的目的。

（3）使用“域前置”技术
域前置（Domainfronting），又译为域名幌子，是一种隐藏连接真实端点来规避互联网审查的技术。在应用层上运作时，域前置使用户能通过HTTPS连接到被屏蔽的服务，而表面上像在与另一个完全不同的站点通信。如某恶意样本利用“域前置”技术，在DNS请求时向“allowed.cloudfront[.]net”发起一个合法请求，而真正连接C&C地址被转发到为“forbidden.cloudfront[.]net”，如图所示：

1.2 加密通道中的恶意攻击行为
       加密通道中的恶意攻击行为，主要是指攻击者利用已建立好的加密通道发起攻击。攻击行为包括：
       （1）扫描探测；
       （2）暴力破解；
       （3）信息窃密；
       （4）CC攻击；
       （5）其它。

隐藏在加密通道后的攻击行为很难通过传统的方式进行检测，但攻击流量在IP、端口分布、TLS指纹、数据包间隔、数据包长度等方面还是有着明显特征的，下面是几类基于SSL通道的攻击流量。

基于SSL通道暴力破解攻击通信如下图所示：

基于SSL通道Web扫描攻击通信如下图所示：

基于SSL通道窃密行为如下图所示：

基于SSL通道CC攻击通信如下图所示：

1.3 恶意或非法加密应用
       该类是指使用加密通信的一些恶意、非法应用，如：
       （1）Tor；
       （2）翻墙软件；
       （3）非法VPN；
       （4）其它。

2.人工智能与恶意加密流量的对抗

密码应用帮助大量用户保护其核心信息的存储及传输，但它同时也是一把双刃剑，正是因为难破解、难监测，密码技术也受到攻击者的青睐。攻击者同样可以用密码技术来保护自己的“核心信息”，隐藏自己的“行踪”。

攻击者利用密码的方式，可以概括为以下四类：
       （1）加密正常文件，勒索钱财；
       （2）加密恶意代码，绕过查杀；
       （3）加密网络流量，逃避检测；
       （4）嗅探破解密码，获取权限。

当前，流量安全检测技术在应对恶意加密流量时面临严峻挑战。网络安全伴随攻防双方的博弈而诞生和发展。在这场博弈中，防守方处于劣势的被动状态。在识别、防护、检测、响应、恢复整个网络安全事件生命周期中，防守方通过攻击方在流量侧或终端侧留下的蛛丝马迹完成事件的发现尤为关键。因此攻击数据分析在网络安全工作中占据核心地位。如前所述，传统流量安全检测技术在处理加密流量时遇到了困难，一直没有比较好的检测方法。随着人工智能技术的发展，通过大量的测试验证，人工智能用于加密流量安全检测，将是一种非常好的辅助手段。利用专家经验知识对大量加密流量进行统计、分析，通过人工智能算法赋予机器以专家的智慧。虽然机器不能完全取代人，但是经过训练，在自动化检出率、准确率、漏报率等方面，机器可以获得媲美专家的能力。

3.加密流量安全检测技术（ENS:Encrypted Network-threaten Sensor）剖析

通过对大量使用加密通信的恶意样本、各类加密通道的攻击行为、多种恶意或非法应用进行深度分析、数据观测，对多种检测手段进行探索、测试和验证，总结出了一套针对加密流量行之有效的安全检测方法，技术流程图如下：

3.1 数据实时搜集

为保证检测引擎的准确性和时效性，数据搜集的准确度、覆盖面是关键。数据搜集包括3个来源途径：
       （1）实际网络环境；
       （2）模拟测试数据；
       （3）跟踪最新样本和最新攻击方式。

搜集数据包括：
       （1）使用加密通信的恶意样本，超过200个家族，覆盖各类恶意行为、SSL版本和加密算法；
       （2）可在加密通道发起攻击行为的各类攻击软件、以及实际环境的数据，攻击类型包括：扫描探测、暴力破解、CC攻击等；
       （3）各类恶意应用软件及实际环境数据，包括：Tor、自由门、无界浏览等。

3.2 数据分析与处理

为确保数据集完整和无杂质，观成科技的分析团队对搜集的所有数据进行了深度分析和整理，确保后期输出给AI模型训练的数据质量。分析任务包括：深度分析恶意样本的功能、加密机制、通联方式、危害等；分析攻击和恶意软件的攻击类型、数据格式、加密方式等。数据处理包括两个步骤，一是通过沙箱、虚拟机获取样本通信数据，二是将数据进行格式化处理。

3.3 数据分类

恶意加密流量是一个宽泛的概念，里面包括的恶意行为成百上千种，每一类数据特征均有细微的差别，想要获取更高的准确率，就必须先弄清每一类加密流量的背景及特性。通过对海量恶意加密流量的分析，可以把它们分为三大类：

（1）恶意代码使用加密通信的流量，其中包括超过200种家族，恶意代码类型包括：特洛伊木马、勒索软件、感染式病毒、蠕虫病毒、下载器、其它；其加密通联方式又包括六类：连接C&C服务器、检测主机联网环境、母体程序正常通信、白站隐蔽中转、蠕虫传播通信、其它。

（2）加密通道中的恶意攻击流量，攻击类型包括：探测扫描、暴力破解、信息窃取、CC攻击、其它。

（3）恶意或非法加密应用的通信流量，应用包括：Tor、翻墙软件、非法VPN等。

3.4 构建特征工程

特征工程在机器学习中占有非常重要的作用，一般认为包括特征构建、特征提取、特征选择三个部分。为保证后期检测引擎准确率足够高，特征工程是关键，所以需要在特征工程上花费大量精力。

构建、提取、选择特征工程的方法包括四步：先验知识验证、启发式搜索分析、降维可视化分析、综合工程测试。观成科技把加密流量的特征共分为四大类：时空特征、握手特征、背景特征、证书特征；在这四大类的基础上，又分为54个子类、超过1000种特征。这些特征足够细粒度地描述每一次加密会话，体现不同类加密流量中最细微的差别。

构建特征工程阶段，同时进行深度特征抽取，通过CNN、RNN算法对部分特征进行训练，如下图为通过RNN训练得出的SSL证书信息正常度量化结果，从训练结果可看出特征区分非常明显。

3.5 检测模型训练

模型训练使用的算法包括线性回归（LinReg）、随机森林（RandomForest）、决策树（DecTree）、神经网络（MLP）、支持向量机（SVM）、逻辑回归（LogReg）、卷积神经网络（CNN）。考虑到工程化的稳定性和成熟度，根据训练和测试结果，在不同的应用场景分别采用了不同的机器学习算法，横向比较中，随机森林的综合效果相对较好。

通过初步训练，各类算法得到的正确率都高于99%。如图所示：

3.6 模型迭代与优化

模型初步训练完成之后，接下来就是对模型进行不断优化，优化的方法包括对选定的模型进一步参数调优、验证和测试，实际网络流量数据测试与迭代训练。最终针对各类型的加密流量，根据实际测试结果，选用效果最佳的算法及参数，保证准确率。

4.成果与展望

经过大量数据验证和实际网络测试，目前在加密流量安全检测的检出率可达到99.95%，误报率可控制在5%以下；

支持检测的网络协议包括SSL（HTTPS、POP3S、IMAPS、FTPS）、SSH、RDP等；支持检测的SSL版本包括SSLv2、SSLv3、TLSv1.0、TLSv1.1、TLSv1.2；

支持检测的恶意加密流量包括：超过200种家族恶意代码通信（特洛伊木马、勒索软件、感染式病毒、蠕虫病毒、下载器等），加密通道中的扫描探测、暴力破解和CC攻击等，Tor（暗网）、翻墙软件、非法VPN等应用的通信。

加密流量安全检测将是未来安全检测最重要的趋势之一，可应用的场景总结有三部分：

（1）监管单位对所监管网络中恶意加密威胁的检测；
（2）政企客户对网络中恶意加密威胁的检测与防御；
（3）对现有安全产品、安全平台进行能力补充。

现在及将来，基于密码技术的攻击行为、攻击手法将层出不穷；基于加密流量的检测与防御也是网络空间安全博弈、对抗的核心焦点，是安全领域的一个长期研究课题。观成科技希望以此技术报告来呼吁用户和广大安全从业者重视加密流量的安全检测与防御，共同学习、探讨，营造良性网络生态。

上一篇：恶意加密流量检测 | 观成ENS有效检出三款热门黑客工具（冰蝎、哥斯拉、CobaltStrike）下一篇：观成科技李波：基于加密威胁的检测和防御势在必行

恶意加密流量检测 | 观成ENS有效检出三款热门黑客工具（冰蝎、哥斯拉、CobaltStrike）

发布时间：2021-04-13

一、工具简介

1、冰蝎（Behinder）

冰蝎是一款目前比较流行的Webshell管理工具，在2020年更新的3.0版本中去除了动态密钥协商机制，采用预共享密钥，载荷全程无明文。因其优秀的加密传输特性，被攻击者广泛采用。冰蝎相较其它Webshell管理工具，具备如下优点：支持跨平台运行、多采用加密传输、版本更新频繁等。目前冰蝎已更新到v3.0 beta7，新版本增加了Java内存马注入、支持多种Web容器、反向DMZ等功能。

冰蝎客户端是Java语言编写的，通过Java库产生TLS流量。比较独特的是，冰蝎对默认的TLS协商过程进行了自定义的设置。冰蝎产生的TLS流量与正常访问网站时产生的TLS流量在单流和多流行为特征上差异很小，无法通过简单的方法进行检测。

2、哥斯拉（Godzilla）

哥斯拉是一款比较新的Webshell管理工具，其1.0版本于2020年8月18日发布，最新版本为2.96。哥斯拉号称全部类型的shell均可绕过市面所有静态查杀、流量加密可绕过市面全部WAF，且自带众多插件。支持对载荷进行AES等各种加密，支持自定义Http头，支持内存shell，提供丰富的Webshell功能。

哥斯拉客户端运行在Java平台上，通过调用Java库产生TLS流量。哥斯拉Webshell上线、执行各类功能命令时产生的TLS流量，在密钥协商、服务端证书等方面均和正常流量非常相似，通过简单的规则无法有效检测。各种自定义配置也会对哥斯拉的加密流量特征产生影响。

3、CobaltStrike

CobaltStrike，是著名的渗透测试平台，简称CS。支持多种协议的受控主机上线方式，集成了提权、凭据获取、端口扫描、OFFICE攻击、钓鱼等多种功能，其最新版本为4.3，简单架构如下：

Team Server为团队服务器及Beacon 控制器，用于存储搜集各种数据、管理日志等。团队中的所有成员可以使用自己的Client端登录到Team Server实现协调作战。Beacon 是CobaltStrike 的 payload，常用的通信方式有HTTP、HTTPS和DNS隧道，除了DNS隧道，其他通信方式的回联端口均可自行设定。

CobaltStrike在两个环节可以使用SSL协议进行加密通信，一是Client与Team Server交互，另一个是HTTPS类型的Beacon 与Team Server交互。Client与Team Server采用TLS协议进行加密通信时默认端口为50050，默认证书为自签名证书，有明显的字符特征，但无论端口还是证书均可以修改。在使用HTTPS类型Beacon时，CobaltStrike也允许用户进行灵活配置，如修改心跳间隔、修改默认的SSL证书等。

二、TLS恶意加密流量检测维度

冰蝎、哥斯拉和CobaltStrike等黑客工具支持大量自定义配置，使其流量特征多变，上述工具使用TLS协议加密通信时，检测难度又进一步提高。

针对TLS加密流量，我们从如下几个维度，构建各类规则、机器学习模型进行综合检测判断。

加密协商维度：对TLS协议协商过程进行检测，其中包括客户端协商特点和服务端协商特点；

证书维度：对TLS协议中使用的客户端/服务端X.509证书进行检测；

背景流量维度：对TLS加密会话本身所关联的其他明文协议数据进行检测；

加密单流行为维度：对TLS加密单次会话的载荷行为进行检测；

加密多流行为维度：对TLS加密多次会话的载荷行为进行检测。

与传统的木马直接回联C2相比，冰蝎、哥斯拉等Webshell工具的服务端加密协商、服务端证书等流量特点与正常访问几乎一致。CobaltStrike的证书等特性也可以定制，导致难以单纯从单一维度进行判断。但是上述黑客工具在客户端加密协商、加密单流行为和加密多流行为等维度，与正常TLS加密流量相比，仍然存在细微的差别。对上述恶意加密流量进行深入分析，可通过规则+模型相结合的方式进行检测。

三、观成ENS有效检出

观成ENS系统（Encrypted Network-threaten Sensor，缩写ENS）是观成科技将机器学习与安全检测技术相结合，自主研发、具有完全自主知识产权的一款对恶意加密威胁进行有效检测与防御的创新型安全检测产品，目前已支持对冰蝎、哥斯拉、CobaltStrike产生的恶意加密流量进行有效检测。

冰蝎（Behinder）v3.0 Beta7 Webshell加密流量检测结果：

哥斯拉（Godzilla）v2.96 Webshell加密流量检测结果：

CobaltStrike v4.x TLS加密流量检测结果：

观成科技作为创新型安全厂商，以加密流量检测为核心技术,公司坚持“自主研发、持续创新”，公司将人工智能、攻防技术和密码技术相结合，在国内首家推出针对加密流量AI安全检测、防御的创新型产品，产品已申请加密流量检测相关国家发明专利20余篇，应用在军工、网信、部委、央企等重要客户，并被多个央企、龙头安全企业选为合作伙伴。

上一篇：加密威胁检测：创新流量安全解决方案下一篇：AI检测引擎发布，有效应对恶意加密流量

加密威胁检测：创新流量安全解决方案

发布时间：2021-06-16

今日，国内影响力最大的网络安全专业媒体和旗舰智库刊登了对观成科技的牛品推荐，以加密威胁检测：创新流量安全解决方案为出发点进行了多维度点评，以下为推荐原文。

北京观成科技有限公司是以“守护加密网络空间安全”为使命，以加密流量检测为核心技术的创新型网络安全厂商，是国家高新技术企业。公司成立于2018年8月，由研发、产品、安全、售前、运维、安服等技术人员组成的专业团队，团队核心成员拥有十余年的攻防对抗、产品研发、安全分析、人工智能的实战经验。

牛品推荐第七期

观成瞰云：智能威胁检测系统

目前有超过一半的企业网络流量已经被加密了，加密流量中隐藏着大量的恶意流量。从监测分析的数据来看，每10个恶意程序中就有超过4个会使用加密通信，而像这样的使用加密通信的恶意程序每天新增的数量超过1000个。

传统的流量检测方法大多都是基于规则，或者对流量中提取的文件进行审计，可面对加密流量，这些检测方法将不再适用。不仅如此，面对变种恶意程序以及未知加密威胁则更是无能为力。像冰蝎、哥斯拉等这种WEBSHELL工具，在某些特定的场景下，还可以通过解密后再对其明文流量进行检测，但这种方案却无法有效应对加密通信的反弹马，无论是基于标准的SSL/TLS协议通信的，还是其他的加密通信类型。

如何在不解密的情况下发现恶意加密流量则成为了我们必须要面对的问题。本期发布牛品推荐第七期——观成科技：观成瞰云-智能威胁检测系统。

牛品推荐第七期

标签

加密威胁检测、恶意加密流量检测、未知威胁检测及防御、高级威胁检测及防御

用户痛点

1）流量都被加密了，到底有没有人在攻击我？

如基于SSL/TLS协议的扫描探测；加密类WEBSHELL工具如冰蝎、哥斯拉等；基于SSH、RDP等加密协议的暴力破解等。

2）每天有大量的外联加密流量，到底哪些是正常的？哪些是异常的？

超过60%的网络流量已经加密了，既有基于标准加密协议的通信如SSL/TLS,也有基于私有加密协议的通信。在这些加密的网络流量中，又隐藏着大量的恶意流量，如窃密类流量、木马命令控制类流量等等。

3）到底有哪些人在没有经过授权的情况下使用翻墙软件或者VPN？

当前的网络环境中，存在着大量的恶意或者非法的翻墙软件、VPN等。这类灰色应用如果不加以识别和管控，除了有潜在的信息泄露的风险外，还极有可能成为某些高级威胁信息传输的通道。

解决方案

加密威胁检测是一个体系化的问题，很难用单一的模型或者单一的方法来解决，不同的威胁类型，要有不同的解决方案。加密流量的内容虽然无法直接检测，但是可以从很多其他角度对加密流量进行分析，这些角度包括：

1）微观层面：两个通信主体间的单次加密会话特性；

2）中观层面：两个通信主体间的多次加密会话特性；

3）宏观层面：某固定时间段、固定网络中所有通信主体间的会话特性。

通过对微观、中观、宏观等特征进行提取、选择后，结合AI多模型、行为分析以及规则检测等，最终形成一整套针对恶意加密流量的检测体系。

观成瞰云-智能威胁检测系统充分利用人工智能优势特点，有效解决了在恶意加密流量检测的难题，弥补了市场和技术空白，可实现对恶意代码使用加密通信、加密通道中的恶意攻击行为、恶意或非法加密应用进行有效检测和防御。

产品总体技术架构如下：

观成瞰云-智能威胁检测系统主要技术架构由3大模块组成：加密通道攻击检测分析、使用加密通信的恶意软件&恶意应用检测分析、密数据挖掘分析。

加密通道攻击检测分析，主要是针对SSL、SSH、RDP等加密通道的攻击行为检测，检测方法包括：行为检测、规则检测、流签名检测、指纹检测、登录行为检测等。

使用加密通信的恶意软件&恶意应用检测分析，主要是针对使用加密通信的恶意软件、恶意应用进行检测和识别，检测方法包括：行为检测、AI多模型检测、规则检测等。

密数据挖掘分析，主要是针对网络中所有密数据进行深度挖掘、关联分析，包括对密数据的信息提取、特征提取、单流画像、多流画像，以及对SSL加密数据的基础识别、应用识别、分类识别和算法识别等。

用户反馈

某监管单位网络安全专家：

加密流量检测目前在国内大部分只是在科研阶段，发表一些文章而已。观成科技是属于最早能够落地的产品供应商之一。

某央企部门负责人：

在与观成科技开展合作时我们做了实际样本测试，有3家公司参与，观成的测试准确率误报率优于其他公司，所以我们选用了他们的产品。

某集团安全负责人：

观成科技的产品技术思路新颖，解决了其它产品无法解决的问题。目前在使用过程中，也发挥了较大的应用价值。

推荐理由

对于加密流量的威胁检测，传统的检测技术很难有效，技术门槛较高，国内在加密流量检测领域的形成产品化落地的厂商较少，观成科技目前申请的加密流量检测相关的国家发明专利已超过20篇，具备一定的技术能力；观成科技的加密流量检测方案在军工、网信、部委、央企等多个重要行业均有落地应用，仅2020年在现网中发现的加密类APT攻击事件已超过10起，实战效果突出。

上一篇：威胁加密通信方式的多样化带来的挑战下一篇：恶意加密流量检测 | 观成ENS有效检出三款热门黑客工具（冰蝎、哥斯拉、CobaltStrike）

威胁加密通信方式的多样化带来的挑战

发布时间：2021-07-29

一．加密流量威胁检测现状

加密威胁流量检测与防御成了流量安全领域无法绕过的一道坎。在部分特殊场景下，可以对入联流量进行SSL/TLS卸载，然后进行明文审计，但这种方案无法有效应对出联的加密通信Shell、木马和恶意代理等威胁。另外有些恶意软件使用非SSL/TLS的其他加密通信方式，也带来了新的检测防御问题。因此，制定有效检测方案的前提和基础是先梳理一下恶意加密通信的几种主要方式。

二．加密通信方式多样化带来的挑战

通过搜集各知名APT组织、热门黑客工具以及典型恶意软件家族的样本，并对其通信模块、加解密方法等进行了大量逆向分析工作后，我们发现恶意软件使用加密通信的方式是多样的，概括起来主要有以下四种形式：

1. 基于标准加密通信协议进行加密通信，如SSL/TLS协议等；

2. 基于网络层协议构建隐蔽加密隧道，如ICMP隧道等；

3. 基于传输层协议构建隐蔽加密隧道，如TCP、UDP自定义加密隧道等；

4. 基于应用层协议构建隐蔽加密隧道，如DNS隧道、HTTP隧道等；

下面进行逐个介绍

1. 基于标准加密通信协议

SSL/TLS流量已经占到互联网总流量的60%以上，某些特定场景下占比可能更高。越来越多的恶意软件、黑客工具和高级持续性威胁转向SSL/TLS通信。比较高级的恶意加密流量会在多个方面尽量模仿正常SSL/TLS流量，以达到规避检测的目的。下面是北欧某APT组织的一款后门程序产生的SSL/TLS流量：

1. 协议版本

与普通木马不同，顶级APT组织在使用SSL/TLS通信时极少使用TLSv1.2以下的版本，也通常不会选择TLSv1.3这种目前尚未成为主流的协议版本。

图1 协议版本号为TLS1.2

2. 密码套件

TLS协议的Client Hello消息中，客户端向服务端报告支持的密码套件。这个密码套件的类型、顺序在一定程度上可以体现客户端应用程序的特征。仅以密码套件数量为例，正常的应用程序，比如各种热门浏览器，密码套件的数量通常在20-40之间。本次分析的后门文件，提供26个密码套件。

图2 客户端支持的26个密码套件

3. 扩展信息

一般情况下，正常应用程序倾向于完整的使用TLS协议的丰富扩展能力，实现TLS协议的高级特性，但是恶意软件只会使用必须的基础扩展。本次分析的后门文件，共使用了7个扩展。

图3 客户端携带的7个扩展信息

4. 证书特征

本样本使用经过CA签名认证的证书，而且证书元素如Common Name等也与普通恶意软件不同，存在较强迷惑性。

图4 证书信息

尽管高级威胁在协议层面尽量模拟正常SSL/TLS协议流量，但是高级威胁所进行的数据交互，反映到流量层面即其单流行为、多流行为是无法隐藏的。以多流行为为例，该样本是一个后门程序，为了保持连接，会体现出明显的心跳特征，如下图所示：

图5 样本多流行为：心跳2次/分

2. 基于网络层协议的隐蔽隧道

网络层隐蔽隧道是指利用网络层协议的字段或载荷传递加密数据的隧道。以ICMP协议隧道为例，目前有许多知名的ICMP隧道工具如icmptunnel、ptunnel等。默认配置下，这些隧道工具产生的流量特征比较明显。但是这类工具通常开放源码，可以方便的进行自定义修改，加入定制的标准/非标准加密算法对隧道数据进行加密，给检测带来一定难度。

图6 ptunnel隧道工具传输加密载荷

如果我们从ICMP协议本身的用途进行考察，就会发现ICMP协议本身是一个控制管理协议，从设计之初就不是用于传输大量数据的。例如常用操作系统的默认ping请求和响应包，其载荷格式固定，此时在两个IP之间的信息交互近似等于0。因此从多流统计的角度进行考察，衡量两个IP之间ICMP流量交互信息大小，也可以实现有效的检测。为了进一步排除误报，通过搜集现网流量中大量的正常ICMP请求，和各类ICMP隧道工具产生的恶意流量，训练相应的机器学习或深度学习模型进行辅助判断。

3. 基于传输层协议的隐蔽隧道

传输层隐蔽隧道是指在传输层之上，使用了自定义的加密通信协议，包括TCP自定义加密通信协议和UDP自定义加密通信协议。举个例子来说明，Kelihos僵尸网络家族，曾经一度是互联网中最大规模的垃圾邮件发送网络，同时具有下发其他木马、病毒运行的高度危险行为。该僵尸网络家族的C&C通信使用基于80端口的自定义加密协议，表面看起来是普通加密数据，经过深入分析发现其网络协议中存在自定义格式，传输RSA公钥、数字签名、特殊协议头和版本信息等，命令与控制数据通过协商的密钥和自定义加密算法加密传输。下图是Kelihos家族恶意程序所产生的加密流量：

图7 Kelihos家族自定义加密协议通信

4. 基于应用层协议的隐蔽隧道

应用层隐蔽隧道是指执行标准应用层协议通信规范，但在标准协议的字段中夹带加密数据，常见类型包括DNS隧道、HTTP隧道等。热门黑客工具如CobaltStrike等，均自带DNS隧道功能。如北欧另一APT组织的某家族在通信中采用HTTP隧道，通过Cookie字段来传递数据。通过RC4算法加密cookie中的数据后再经过base64编码进行传输，如下图所示：

图8 使用HTTP中的cookie字段发送数据

综上所述，高级威胁使用加密通信的方式是多种多样的，没有任何一种检测方法可以解决所有问题，针对不同的威胁类型，只有制定针对性的检测方案才能够有效应对。

三．加密流量威胁检测的探索与实践

针对不同类型的加密威胁，我们以人工智能、密码分析、协议分析为基础，再结合指纹特征及行为分析，形成了一整套针对加密威胁的检测体系，初步形成了与高级加密威胁进行对抗的能力，检测技术框架参见下图：

图9 整体检测框架

案例一：SSL/TLS恶意加密通信检测

图10 SSL/TLS恶意加密通信检测结果

案例二：隐蔽加密隧道通信检测

图11 隐蔽加密隧道通信检测结果

与高级加密威胁对抗，任重而道远。除了要面对因通信方式多样化所带来的挑战外，新的加密协议出现、已有加密协议升级、迭代频繁的恶意软件、黑客工具等都对现有的检测体系提出了更高的要求和挑战。尽管如此，观成科技将与友商一道，为加密流量威胁检测与防御做出自己的贡献。

观成科技作为以加密流量检测为核心技术的创新型安全厂商，坚持“自主研发、持续创新”，公司将人工智能、攻防技术和密码技术相结合，在国内首家推出针对加密流量AI安全检测、防御的创新型产品，产品已申请加密流量检测相关国家发明专利20余篇，应用在军工、网信、部委、央企等重要客户，并被多个央企、龙头安全企业选为合作伙伴。

上一篇：加密威胁的变化趋势及应对策略思考下一篇：加密威胁检测：创新流量安全解决方案

加密威胁的变化趋势及应对策略思考

发布时间：2021-08-05

一、加密威胁的发展趋势

恶意加密流量、基于加密通信的攻击行为，近几年越来越多的行业客户开始关注，国内外的安全厂商、研究机构也纷纷入场开始研究、探索检测方案和产品化应用。实际上这类加密威胁不是一种新型的威胁，也谈不上未知威胁。

加密威胁的发展历史，通过我们的研究总结起来可以归纳为三个阶段：

一是早期顶级APT组织的应用。我们目前跟踪到最早使用加密通信技术的恶意家族，大概是20年前左右的某APT组织，并且加密的技巧较为复杂，这种加密技术放在当前，也能绕过绝大多数流量安全产品。

二是部分威胁逐步应用。从我们研究分析的情况来看，至少在10年前就有一批APT组织、攻击组织开始逐步转向加密通信，不过这个阶段的加密通信大多没有经过精密设计，还比较粗糙。

三是大规模威胁的应用。从近三年来看，由于流量安全检测、大数据分析等技术的发展，基于明文通信的恶意流量越来越难逃监管，大量的威胁都开始逐步转向加密通信，除了顶级APT组织，实力弱一些的APT组织也基本转向加密通信；二是一些僵尸网络、勒索软件和常见木马病毒，也开始逐步使用加密通信；三是大量攻防工具、黑客工具也纷纷支持加密通信，在攻防演练场景下，使用加密通信进行隐蔽传输也成了常态。

二、加密威胁的常见类别

使用加密通信来进行隐蔽传输，已成为大多数黑客的“必备技能”，跟攻击者的加密技术、开发能力、使用习惯相关，加密的类别和方式也是千变万化。我们分析了超过300种恶意家族、30个APT家族、近百款黑客工具，总结下来常见的加密威胁有两大类、四小类。

一是使用已有的标准加密协议，其中最常见的是TLS/SSL。对于攻击者来讲，使用SSL加密通信有几个好处：1、最常见的加密应用协议，开发或调用都非常便利；2、SSL协议在绝大多数用户网络中都是占比较高的通信协议，隐藏在其中很难被发现；3、SSL协议的应用复杂、变化较多，想寻求一种好的检测方法比较难。故SSL加密受到广大黑客、APT组织的青睐，目前来看使用SSL加密的占到整个使用加密通信的恶意流量的50%左右。当然，还有使用一些其它标准加密协议通信的恶意家族，但数量还比较少。

二是使用标准通信协议，改变其协议字段或载荷部分成为“隐蔽隧道”。隐蔽隧道又分加密和不加密两种，目前转向加密的隧道越来越多。常见的隐蔽隧道又分为三小类：1、网络层隧道，以ICMP隧道为主；ICMP协议在日常的通信应用中数据格式比较简单、变化较少，攻击者开发也有一定的技术门槛，所以目前应用不是特别广泛，有少量的APT组织和黑客工具在使用；2、传输层隧道，以TCP/UDP隧道为主，还有少量的SCTP隧道；TCP/UDP隧道目前应用已经比较广泛，已经占到整个使用加密通信的恶意流量的25%左右，并且我们判断未来一定会成为APT攻击和高水平黑客的常用通信方式之一；之所以TCP/UDP隧道受到攻击者的青睐，是因为这类隧道应用变化比较复杂，可以较好地隐藏在大量新型网络应用的流量之中；3、应用层隧道，以DNS/HTTP隧道为主。DNS隧道目前有一部分APT组织和黑客工具一直在使用，但因其检测难度相对不高，所以应用比例相对较低；HTTP隧道是某些黑客组织甚至是顶级APT组织常用的一种隐蔽传输方式，因HTTP协议的应用广泛、且变化复杂，所以在大量HTTP流量中如何精准确认是隧道，是比较难的一件事情。

三、加密威胁的应对策略思考

综上，攻击者想要利用和建立隐蔽加密隧道，可选择的方式比较多，且开发或直接利用的难度都不大。关于加密威胁检测到底有没有必要性呢？答案是肯定的，目前很多监管客户、行业客户都意识到了这一点，并且基本成了日常安全运营管理中最棘手的一个难题。国内外近几年开展加密威胁检测研究的机构和厂商也比较多，成了网络安全研究的一个热门课题，在国内开展这方面研究的机构和厂商就不低于50家。当然，绝大部分研究成果还停留在实验室阶段，我们总结下来，大家容易进入的误区有如下几个：一是脱离威胁的研究和认知。任何安全解决方案脱离对威胁的认知、分析和跟踪，都是站不住脚的；如果不知道哪些威胁在加密、怎么加密的、加密的变化演进历程，研究的解决方案一定是纸上谈兵、无法实战化应用的。二是过度依赖AI算法。很多研究人员过度依赖AI，以为传统机器学习或者深度学习就能较好地解决加密威胁检测的难题，最后都是落不了地，从我们的研究来看，AI确实有一定辅助作用，但仅仅是辅助作用，可以作为一个异常判断的基线。三是摒弃传统的检测方法。很多人认为传统的规则检测、行为分析、威胁情报就不适用于加密流量了，其实不然，传统的检测方法固然很难体系化解决加密流量的难题，但很多方法是可以用，并且可以组合应用。

对于加密威胁检测的应对策略，我们总结下来有以下几点可以分享的经验：
一是多种解决方案应对不同的加密威胁。如上所述，威胁加密的方式很多、千变万化，没有一种算法、引擎可以包治百病，必须针对不同的加密类型、甚至不同的家族研究不同的解决方案。二是多种检测技术相融合。想要体系化或者解决更多加密威胁的问题，单纯依靠某一类技术都比较难，比如我们的解决方案里，既用到了机器学习、深度学习、规则检测、行为分析，还开发了独特的“可计算检测引擎”以应对加密流量检测所需要的复杂规则组合。三是紧跟威胁研究和演进。单纯的依靠实验室算法和参考论文，永远无法落地，如果深度分析了大量的威胁，了解其加密的机制和模式，很多问题就迎刃而解。四是实战化落地。安全解决方案要讲实战化应用，无法进行实战的产品和解决方案对客户来讲就毫无意义，也只有实战化应用了，才知道现网中加密流量的复杂性、才知道哪些加密威胁我们真正有效检出了。

四、加密威胁的演进预测

综上所述，基于加密通信的威胁检测固然是一个比较难的课题，但只要对威胁有足够深的理解和认识，综合多种技术方法，绝大多数都能找到解决方案。不过还存在多种加密威胁，并且很有可能是未来威胁加密化的演进趋势，需要不断的攻研才能找到较好的应对方案。一是构思精密的加密方式设计。目前跟踪的少量顶级威胁在加密环节设计极其精密，具备较强的密码基础和工程化能力，是当前高级威胁对抗的难题之一。二是大量的加密中转利用。目前有部分威胁利用公有云、社交软件、加密邮件等进行中转通信，这种加密应用给检测研究带来了极大挑战，也是威胁加密化的趋势之一。三是利用各类协议建立的加密隧道。我们观察到近几年利用TCP/UDP/HTTP等协议加密隧道的威胁越来越多（理论上任何协议的上层都可以构建加密隧道），已成为高级威胁选择的一个必然趋势之一。四是TLS1.3的普及和应用。我们观察到近几年利用TCP/UDP/目前TLS1.3还未全面普及，所以威胁选用这种版本的不多，但一旦TLS1.3全面普及，一定会成为大量威胁选择隐蔽通信的方式之一，届时又会带来新的挑战。

关于北京观成科技

北京观成科技有限公司是以“守护加密网络空间安全”为使命，以加密流量检测为核心技术的创新型网络安全厂商，是国家高新技术企业。公司成立以来荣获20余项加密流量检测相关国家发明专利，坚持“自主研发、持续创新”，将人工智能、攻防技术和密码技术相结合，在国内首家推出针对加密流量AI安全检测、防御的创新型产品。拥有为全国企事业单位和行业客户提供信息安全服务的能力，广泛覆盖了军工、网信、部委、央企等重要客户，并被多个央企、龙头安全企业选为合作伙伴。

上一篇：一张“鱼骨图”了解CCIA总决赛上的冠军产品下一篇：威胁加密通信方式的多样化带来的挑战

一张“鱼骨图”了解CCIA总决赛上的冠军产品

发布时间：2021-10-13

由中国网络安全产业联盟（CCIA）主办的“2021年网络安全优秀创新成果大赛”总决赛在国家网络安全宣传周期间举办，观成科技凭借创新产品“观成瞰云-加密威胁智能检测系统（ENS）”荣获一等奖。产品的技术创新性、领先性和实用性吸引了在座的专家评委及现场观众，其独创的“鱼骨图”加密流量检测设计更是点睛之笔。我们通过“鱼骨图”一起来探索观成瞰云-加密威胁智能检测系统（ENS）的独特之处。

观成瞰云-加密威胁智能检测系统（ENS）综合运用人工智能和行为检测、规则检测、指纹检测等安全检测技术，解决了恶意加密流量检测难题。但在早期产品应用过程中，因系统综合决策体系复杂、涉及因素繁多，也给检测结果的可解释性造成了一定挑战。如何将复杂的决策过程形象的进行体现，让用户能一眼看明白加密流量检测的因素、结果？观成科技经过不断的探索，最终形成了加密流量检测“鱼骨图”来解决上面的问题。

• “鱼骨图”介绍

“鱼骨图”用于呈现加密流量的报警情况，分为鱼尾、鱼刺及鱼头三部分。其中鱼尾部分用于呈现加密握手协商模型的检测结果；鱼刺部分用于呈现通信实体间(IP对)单次会话和多次会话的行为特征；鱼头由三部分组成，分别呈现背景流量、证书以及关联DNS等3个模型的检测结果。“鱼骨图”不同部分分别对应产品的各种检测模型、检测方法。每种检测模型的检测结果为0-1之间的预测值，数字越大表示异常等级越高。在“鱼骨图”中用不同的颜色表示异常的等级，分别是绿色(正常得分小于0.5)、黄色(可疑得分在0.5-0.7之间)、橙色(异常得分在0.7-0.9之间)、红色(严重得分大于0.9)。

除“鱼骨图”的图形本身之外，在鱼骨图上方的醒目位置，观成瞰云（ENS）将系统综合决策评分和威胁标签进行呈现，让用户对检测结果和威胁类型一目了然。在“鱼骨图”的左右两侧和下方，分别对加密握手协商、加密协议证书、单流和多流行为参数、DNS/HTTP等背景流量的关键参数进行展示，丰富的信息量有助于客户直接深入了解加密流量性质、类型。

• “鱼骨图”检测举例

观成瞰云（ENS）对不同的加密流量进行检测，在鱼骨图中会呈现不同的效果。我们简单列举以下几种类型：

1、正常加密流量检测结果

使用热门浏览器访问正常HTTPS网站流量的检测结果如上图所示。从图中分析，客户端、服务端、DNS、证书的检测评分都比较低，鱼头和鱼尾均显示绿色。单流和多流行为检测呈现一定的随机性，因此得分也比较低。最终系统决策结果评分0.31，威胁标签为空。

2、APT流量检测结果：响尾蛇

上图是“响尾蛇”APT组织加密检测结果。从图中可以看到，与正常加密流量相比，无论是客户端、服务端、证书还是DNS，观成瞰云（ENS）的各种模型得分均有显著提高，体现模型输出的鱼尾、鱼头部分也变成了橙色、红色。从鱼刺方面看，能看到典型的上下行载荷、包数相同的情况，这与正常上网浏览的行为存在显著不同，因此流量特征报警也给出了0.92的分数。经系统综合决策，最终评分为0.77，通过规则、行为的匹配分析，系统发现该流量为响尾蛇APT组织流量，并打上了相应的威胁标签。

3、APT流量检测结果：海莲花

除TLS加密流量外，观成瞰云(ENS)也支持对利用DNS等协议进行隐蔽隧道传输的恶意流量。上图是APT组织“海莲花”使用的木马家族“Denis”隧道流量检测结果。该木马利用DNS的A记录、NS记录进行心跳和信息回传，从“鱼骨图”中可清晰看出隐蔽隧道中的心跳行为。系统综合决策得分为0.97，威胁标签为Denis。

4、黑客工具检测结果：Cobalt Strike

Cobalt Strike是近年红队常用的渗透平台。上图是系统针对Cobalt Strike产生的TLS命令控制流量的检测结果。从图中分析，系统对该流量的握手协商、证书和单流、多流行为均进行了告警，综合评分为0.93，威胁标签为Cobalt Strike。

5、传统木马检测结果：Upatre

Upatre家族为第一阶段的木马家族，主要是下载木马进行第二阶段的攻击。一般下载者流量在“鱼骨图”整体上载荷不会太大，且下行流量大于上行。在图中可以看到，系统对Upatre的加密握手协商、证书的流行为进行了告警，综合得分为0.98，威胁标签为Upatre。

6、隐蔽隧道检测结果：DNS隧道

DNS隐蔽隧道黑客入侵、命令回传常用的方式之一。上图是利用Cobalt Strike搭建DNS隧道通信流量的检测结果。从上图分析，该流量利用DNS的A记录传输信息，在短时间内进行了大量DNS请求/响应交互，这一点在鱼刺部分的体现非常直观。最终系统综合AI、规则和行为检测结果，判定为Cobalt Strike产生的DNS隧道流量。

• “鱼骨图”的“大道至简”

观成瞰云（ENS）综合使用了人工智能多模型检测，辅之以规则检测、行为检测、指纹检测等传统检测方法，实现对恶意加密流量检测。虽然加密流量检测体系复杂、因素繁多，但是并没有影响观成瞰云（ENS）产品向用户阐述决策过程。我们相信智慧是认识事物本实这一道理，引导我们透过现象观察到事物本身的目的和内在的联系，坚持“用最简单的呈现解释最复杂的检测”的“大道至简”设计原则，用一张“鱼骨图”融合多个引擎检测、规则检测、行为检测结果，结合丰富的信息呈现，完美解决了加密流量检测结果可解释性的问题。

• 观成瞰云（ENS）简介

观成瞰云-加密威胁智能检测系统（ENS）是观成科技将人工智能与安全检测技术相结合的创新型安全产品，可针对恶意软件、黑客工具、非法应用等加密威胁进行有效检测。该产品为观成科技自主研发、具有完整的知识产权，解决了恶意加密流量检测难题，填补了市场和技术空白。

除了独创的“鱼骨图”加密流量检测吸引了大家的眼球，观成瞰云（ENS）的其他创新点也不容忽视：

1．细粒度加密流量特征工程构建技术；

2. 恶意加密多流行为特征挖掘分析技术；

3．面向攻防演练常见下的黑客工具加密流量识别技术；

4．面向加密类高级威胁检测分析技术。

与此同时，观成瞰云（ENS）还具有使用加密通信的恶意软件检测、使用加密通信的黑客工具检测、使用加密通信的非法应用检测、未知和新型加密威胁检测等功能。

上一篇：Go语言木马加密通信分析与检测下一篇：加密威胁的变化趋势及应对策略思考

Go语言木马加密通信分析与检测

发布时间：2021-10-20

一、Go语言木马增长显著

据网络安全公司 Intezer 报告显示，恶意软件的开发者已经从 C 和 C++ 逐渐转向 Go 语言，自 2017 年以来，基于 Go 语言的恶意软件数量呈现爆发式增长，增幅超过了 2000%。预计Go的使用率在未来几年将持续上升，并与C、C++和Python一起，成为恶意软件编码的首选编程语言之一。

Go语言木马的迅猛增长，与Go语言天然的开发优势有较强联系。与其他开发语言相比，Go的主要优势表现在：

1. Go支持跨平台编译，开发者只需要编写一次代码，就可以编译出多个平台的二进制文件，包括Windows、Linux和Mac系统。

2. Go具有很强的反逆向能力，安全人员对Go语言生成的二进制文件逆向分析难度很大，杀毒软件对Go语言生成的恶意软件检测效率比较低。由于Go使用了静态编译，导致生成的二进制文件体积比较大，在反汇编工具中打开Go语言二进制文件，往往会看到上千个函数。再加上，Go独特的调用约定、栈空间管理和多返回值机制，进一步加大了Go的逆向分析难度。

3. Go语言在编写网络堆栈方面具有明显优势，Go语言有一个非常好用的网络栈，因此使用 Go 语言编写需要经常发送、接收网络数据包的恶意软件会更加容易。实际上，谷歌设计创建Go语言的一个原因就是用来取代谷歌内部的C++网络服务。

经过情报搜集可以发现，从最近两年开始，除一般恶意软件外，某些知名APT恶意软件Zebrocy、SUNSHUTTLE、HabitsRAT等，也使用Go语言开发编译，并且利用TLS协议实现与C&C服务器之间的加密通信。为了研究在Go语言木马的加密通信特征并达成有效检测，我们对Go语言中TLS协议的实现细节进行了研究，重点考察TLS协议握手协商的独有特点。文末针对Go语言实现的恶意加密流量检测给出了实例。

二、Go语言TLS协议实现分析

TLS（Transport Layer Security）是一个保证信息安全的应用层协议，它的前身是 SSL。它是一套对由 TCP 传输的报文进行加密的协议。TLS通常用于保证Web通信（HTTP）以及其他流行协议的安全，比如POP、IMAP，当它们使用TLS保护后，分别被称为HTTPS、POPS和IMAPS。

我们对Go语言中TLS通信的实现过程进行了研究分析。在Go语言中，实现TLS通信主要分为以下几步：创建请求、获取连接、建立TCP连接、实现TLS握手、传输加密数据。

2.1 外层封装分析

在Go语言中，HTTPS协议的实现方法是以HTTP协议包中实现的，且具有相同的请求流程：

1.创建http.Client对象client；

2.创建http.Request对象req；

3.发送请求client.do(req)；

4.关闭resp.Body.Close()。

在Go的官方文档中，共提供了五种实现方法：Get、Head、Post、PostForm和Do。其中前四种方法都调用Do方法，即使直接调用Get、Head、Post或PostForm,内部同样会创建Request对象，且最终总是通过Client.Do函数发送请求。下图为实现Get方法的函数调用顺序，可以发现通过Client.Do()方法调用私有的Client.do()方法来执行请求，并且在最后执行请求中调用 Transport的 RoundTrip方法。

2.2 连接机制分析

在Go中，具有独特的连接管理机制——连接池。发送请求时，我们从连接池中获取连接，请求完毕后再将连接还给连接池；连接池帮我们实现了连接的建立、复用以及回收工作。而在HTTPS中，连接池就是通过调用 Transport的 RoundTrip方法实现的。

在RoundTrip方法中，调用了私有的roundTrip方法，其中通过getConn方法来获取连接或者建立新的连接。在getConn中，主要有两步操作，第一步先尝试从空闲的连接池获取空闲连接（通过GotConn方法），如果缓存中有空闲的连接则获取空闲的连接；如果空闲的连接池中没有可用的连接，则调用dialConn方法来新建连接。

在dialConn方法中，新建连接的大致过程如下：

1.首先初始化persistConn结构体；

2.创建连接，创建连接时区分HTTPS和http；

3.连接创建成功后，会开启两个协程writeLoop和readLoop，分别用于处理输入输出流。

在第二步创建连接中，对于HTTPS请求，会进行两步操作，分别建立TCP连接，和TLS连接。其中，dial负责建立TCP连接，实现TCP的四次握手；addTLS负责TLS连接，实现TLS握手。

2.3 TCP握手建立分析

在Go中，网络编程依旧是依赖socket编程实现的，在net包中有一个TCPConn类型，可以用来建立TCP客户端和TCP服务端间的通信通道。TCPConn 类型里有两个主要的方法：Write和Read，用来实现通信时的数据读写。

在上一节我们提到了dial方法，dial方法会调用DialTCP方法来建立一个TCP连接，并返回一个TCPConn类型的对象。在DialTCP方法中，Go通过syscall系统调用，实现了对socket方法的调用。

同样的，Go使用syscall系统调用实现了bind、connect、send和recv等方法。对于socket编程的初始化方法WSAStartup，Go语言也进行调用，不过调用的位置在执行main函数之前的main_init函数中，该函数的主要功能是对需要使用的函数库进行初始化。

2.4 TLS协商发起分析

建立TCP通信通道后，在addTLS方法下通过调用Client方法封装得到一个tls包下的Conn结构。

在这个封装过程中会对调用clientHandshake方法来实现TLS握手，其中makeClientHello方法是对TLS握手中的ClientHello进行设置。在makeClientHello方法中，首先会判断是否有tls.config，也就是检查是否存在用户自定义的ClientHello设置，如果不存在则按照默认情况生成，并存储在clientHelloMsg结构体中。下面针对ClientHello的详细信息进行分析。

2.4.1 密码套件列表

如果用户没有设置自定义密码套件，Go语言就会使用库文件中默认的密码套件。也就是说对于Go中生成的默认TLS通信，密码套件是固定的，且由库函数决定。下图为Go1.17版本中，默认的密码套件。

在1.13版本Go开始提供对TLSv1.3的支持，并且增加了3个TLSv1.3独有的密码套件。

2.4.2 默认压缩方式

默认压缩方式为无压缩。

2.4.3 随机数和SessionID

均为随机生成。

2.4.4 扩展项

从实现源码分析，Go默认提供Status_Request、Signed_Certificate_Timestamp、Supported_Groups、EC_Point_Formats等扩展。根据调用方式的不同，可能会产生Server_Name_Indicator、Supported_Versions、Application_Layer_Protocol_Negotiation等扩展。扩展内容可能与调用时的设置和输入有关。

2.5 实际流量验证

通过以上的研究，可以确定，Go语言下TLS通信依旧使用了socket网络编程体系，且是通过syscall系统调用实现的。在不主动对TLS握手特征进行设置时，TLS握手特征是由Go语言的库文件决定的。经过实验后，发现不同平台下、不同版本（1.11-1.17）的Go语言中默认的clientHello信息基本是不变的。

进一步确定加密套件的变化情况，发现在1.13版本之前有16个加密套件，1.13版本之后在这16个加密套件不变的基础上多了3个加密套件。这是由于在1.13版本时新增了对TLSv1.3的支持，导致后续版本中新增了3个TLSv1.3的密码套件。

Go语言在默认情况下，压缩方式会选择无压缩，提供Status_Request、Signed_Certificate_Timestamp、Supported_Groups、EC_Point_Formats等扩展项。下图为默认情况下，1.17版本Go语言产生的TLS流量中，ClientHello的扩展项情况。

三、Go语言和C/C++的TLS加密对比

和传统编程语言C/C++相比，Go语言下TLS协议完全由自身的封装库实现，而C/C++语言则需要导入第三方库来实现。所以，默认情况下，GO语言TLS协议的握手特征只与Go语言的版本相关，而C/C++语言则是由使用的第三方库的类型、版本及调用参数决定的。

四、Go语言木马恶意加密通信检测分析实例

以Win32.Vobfus.azpd恶意软件为例，该恶意软件由Go语言开发编译。下图为Win32.Vobfus.azpd的TLS恶意加密流量检测情况，可以发现该流量中，使用了16套加密套件，与Go语言默认使用的加密套件一致；但扩展项为9项，比默认情况下的6项多了3项，说明恶意软件对扩展项进行了主动设置。最终，观成瞰云-加密威胁智能检测系统（ENS）对TLS会话的握手信息评分为0.75，结合证书检测、行为检测等因素，综合评分为0.66，威胁标签为Win32.Vobfus.azpd。

上一篇：信息安全研究 | 基于机器学习多模型的SSL加密威胁检测技术研究和应用下一篇：一张“鱼骨图”了解CCIA总决赛上的冠军产品

信息安全研究 | 基于机器学习多模型的SSL加密威胁检测技术研究和应用

发布时间：2021-10-28

上一篇：利用DoH技术加密传输的DNS隧道流量检测分析下一篇：Go语言木马加密通信分析与检测

利用DoH技术加密传输的DNS隧道流量检测分析

发布时间：2021-12-06

概述

DNS over HTTPS（DoH）由RFC8484定义，其目标之一是增加用户的隐私，通过 HTTPS 解析 DNS 查询。目前国外厂商如Adguard、Cloudflare、Google、Quad9等对公提供DoH服务，国内也有厂商陆续提供DoH服务。此外，也可以通过自建DoH服务器的方式进行DoH传输。以腾讯云DoH服务器（https://doh.pub/dns-query）为例，运用浏览器访问百度，同时进行抓包分析，结果如下：

• 解密前，只能看到与DoH服务器间的TLS Application Data消息，数据被加密。

• 解密分析：利用浏览器同步生成(Pre)-Master-Secret 日志对流量进行解密，第785个数据包的内容如下：

可以清晰看到DNS协议流量被封装进HTTP协议，并进一步经过TLS协议加密，形成了HTTPS流量。

DoH 的优点是显而易见的，该技术提高了DNS服务安全性并保护了用户隐私。但DoH也是一把双刃剑，传统的恶意DNS隐蔽隧道，同样可以通过利用DoH服务进行HTTPS协议加密封装，进一步增强自己的隐蔽性。我们经过试验，知名DNS隧道工具、热门黑客平台如Iodine、DNS2TCP、 DNScat2、Cobalt Strike等，都可以通过DoH服务将DNS隧道流量转换为HTTPS协议。这类利用DoH技术加密传输的恶意DNS隧道流量，给检测造成了新的挑战。

恶意DoH流量检测

与一般TLS加密流量检测相比，利用DoH技术加密传输的恶意DNS隧道流量（以下简称恶意DoH流量）检测的难度更高。恶意DoH流量完全可以利用正常DoH服务器进行中转，那么单纯从DoH服务的TLS协商过程中暴露的明文信息（如TLS握手信息、证书信息、背景DNS流量特征等）判定会造成较大误报，必须从更深层次寻求另外的维度进行判断。本次针对DoH恶意流量检测的研究，将重点放在与完成握手协商后的加密数据会话过程。研究过程包括数据搜集、特征工程、模型训练、实际测试几个环节。

1. 数据搜集

数据搜集分为公开数据搜集和自建环境搜集。因DoH协议比较新，所以公开数据集不是特别丰富。Canadian Institute for Cybersecurity (CIC)在2020年公开了一个DoH数据集DoHBrw-2020。我们对该流量集进行了处理，可以得到正常（以下简称白）DoH流量+正常HTTPS流量共514459次会话，恶意（以下简称黑）DoH流量共144167次会话。

DoHBrw-2020数据集主要针对国外厂商提供的DoH服务，另外数据集偏小。为了弥补数据集不足，我们搭建模拟环境针对国内主要DoH服务进行了白/黑DoH流量搜集，通过自建DoH服务器，同样进行了白/黑DoH流量的搜集。白流量主要通过脚本调用热门浏览器，利用DoH服务对常用网站进行访问进行捕获搜集。黑流量主要通过搭建Iodine、DNS2TCP、 DNScat2、Cobalt Strike等实验环境，利用国内DoH服务器、自建DoH服务器等进行流量搜集（所有数据搜集均在严格可控范围内进行，未对实验环境之外设施造成影响）。

2. 特征工程

特征工程是建立恶意DoH流量检测模型的重要步骤，直接决定了模型检出效果的好坏。如前所述，针对恶意DoH流量，无法单纯从服务端证书、背景DNS、SNI信息等方面进行检测，因此本次特征工程的重点放在加密数据会话过程，即TLS协议的Application Data消息交互阶段。基于长期从事加密流量检测的经验和对DNS隧道行为的深刻理解，我们设计了超过100项，大于1000维特征值，涵盖加密消息个数、长度、到达时间等重要加密会话行为信息。我们在黑白DoH流量集上对这些特征进行了分析。因特征众多，在这里简要列举几项。

• C_Total_Count/S_Total_Count：Client/Server端Application Data消息总个数（线性归一，归一化区间0-512）:

通过数据统计可见，大约60%的白流量，Client端Application Data消息的总个数在0-0.01之间（约1-5个Application Data消息），而在这个区间的黑DoH流量仅占不到30%。大约45%的黑DoH流量个数在0.01-0.02之间（约6-10个Application Data消息）。在0.1-1区间（约大于50个Application Data消息）中包含了将近20%的恶意DoH流量，而本区间中的白流量仅占2.2%。Server端Application Data消息总个数分布与Client端相比有相似之处，但也有所不同，在此不再赘述。

• C_Len_Max/S_Len_Max：Client/Server端Application Data消息长度最大值（线性归一，归一化区间0- 16384）:

通过数据统计，90%的黑DoH流量，Client端Application Data最大长度倾向小于约160字节，回传过程中，Server端Application Data消息的最大长度基本都达到了16384字节。尽管如此，也不能使用Server端回传大包这个单一因素进行判别，因为46%的白流量也会使用较长的Application Data消息进行传输。

• S_Intervel_Trans[100]_4：Server端Application Data消息到达时间间隔转移矩阵第五维:

我们在0-300秒时间内根据数据分布，划分为10个区间。将每两个Application Data消息到达时间间隔根据区间落点的转换，形成Application Data消息到达时间转移矩阵。转移矩阵为10*10，共100维。从流量集数据分析，在矩阵的第五维上，黑白流量获得了比较好的分辨度。

筛选较好特征后，我们随机选取了黑白流量各5000次会话，进行了PCA降维可视化分析。PCA算法降至3维：

PCA算法降至2维：

由于降维过程中带来的信息损失，3维和2维散点图出现了少量合理的重叠。由特征工程以及可视化分析可知，我们选取的特征，可较好的分辨黑白流量集，为下一步训练模型提供了良好基础。

3. 模型训练和测试

选取Decision Tree、Logistic Regression、Random Forest、Linear Regression、Adaboost和SVM等算法进行模型训练和测试对比，相应结果如下：

从测试结果进行分析，综合考虑精确率、准确率和模型泛化能力，结合工程化实现等因素，选取随机森林算法作为产品使用的算法。

产品检出

观成瞰云-加密威胁智能检测系统目前已集成恶意DoH流量检测能力。产品检出截图如下所示：

从鱼骨图可以看出，虽然恶意DoH会话的SNI为知名白域名，但是上文所述的单流行为检测模型给出了较高的判断，另外恶意DoH会话的握手协商特征也与热门浏览器的TLS握手协商存在差异，系统最终综合决策评分为0.82，威胁标签为DNSTunnelOverHTTPS。

上一篇：Ghostwriter攻击活动中的加密通信下一篇：信息安全研究 | 基于机器学习多模型的SSL加密威胁检测技术研究和应用

Ghostwriter攻击活动中的加密通信

发布时间：2022-04-19

一、背景

今年2月份，俄乌冲突爆发后，在物理战场之外，以俄乌为主的多方势力在网络空间也展开了激烈较量。3月初，在社交平台上，研究人员公开了一个针对乌克兰的攻击样本（MD5：2556A9E1D5E9874171F51620E5C5E09A）。随后，乌克兰CERT也发布通告，将该攻击样本归属于APT组织UNC1151，该组织疑似隶属于某东欧国家。

UNC1151组织是“Ghostwriter”活动背后的攻击者，该活动的重点攻击目标是乌克兰、立陶宛、拉脱维亚、波兰和德国的政府和私营部门实体，以及白俄罗斯持不同政见者、媒体实体和记者。“Ghostwriter”活动中，UNC1151使用高度针对性的鱼叉式网络钓鱼发起攻击，并使用看似合法的域名作为C2服务器。此次攻击中，攻击者通过邮件下发了一个Dropper，Dropper经过一系列释放过程后执行开源后门MicroBackdoor，该后门使用RSA+RC4混合加密方式和C2服务器进行通信。

二、样本下发

攻击者通过钓鱼邮件下发CHM格式的攻击文件，CHM文件是微软推出的基于HTML文件特性的帮助文件系统，双击攻击文件，会默认用Windows自带的hh.exe程序打开并执行内置的HTML代码。其中HTML代码分为JavaScript、vbs两部分，其中JavaScript负责展示诱饵图片，如下图所示：

图1 样本诱饵图片

Vbs代码则会释放一些系列文件来执行攻击，具体流程如下：

1．CHM攻击文件释放“ignit.vbs”样本和“desktop.ini”样本；

2．“ignit.vbs”样本释放三个文件：“core.dll”、“Windows Prefetch.lnk”、“desktop.ini”；

3．“Windows Prefetch.lnk”被释放到启动目录下，用于实现持久化；

4．“desktop.ini”调用“C:\Windows\Microsoft.NET\Framework\v4.0.30319\regasm.exe”加载“core.dll”；

5．“core.dll”文件执行后会再次释放一个DLL文件，该DLL文件是开源的后门程序MicroBackdoor。

6．通过后门程序MicroBackdoor和固定的域名“xbeta.online”、端口“8443”的C2服务器建立连接，期间会释放一个临时RSA证书文件“C:\Users\xxx\AppData\Local\Temp\Tmpxxxx.tmp”，用于后续加密通信使用。

图2 下发流程

三、加密通信流程分析

此次攻击的通信过程通过开源后门MicroBackdoor实现，样本内部存放了固定的域名“xbeta.online”和端口“8443”，客户端解析域名得到IP后根据IP、端口和C2服务器建立连接。通信过程使用的是TCP协议，使用RSA身份验证加密协商产生RC4随机会话密钥用于实际的数据加密通信。

整个通信过程分为两个阶段，第一阶段是验证过程，由客户端发起验证请求，和服务端进行身份验证并完成密钥的协商。第二阶段是命令交互阶段，客户端通过select函数持续等待服务端命令下发，收到命令后解密并执行。

图3 客户端通信

3.1 验证阶段

1．客户端根据IP和端口创建套接字并连接，准备向服务端进行验证通信。

图4 发起TCP连接

2．由客户端先向服务器发出验证请求包，其中包含三个内容：客户端版本信息、RSA证书的SHA1摘要以及随机生成的RC4密钥。

图5 验证请求包结构

客户端版本信息由客户端决定，为固定值；SHA1摘要是从RSA证书获取的中，该证书由服务器生成并内嵌在客户端中；RC4密钥会在每次会话随机生成，长度为128位。

图6 构造验证请求

根据证书获取RSA公钥，然后将上述内容用零补齐到和RSA公钥相同长度（256字节），使用RSA公钥加密后作为验证请求包发送给服务端。

图7 加密并发送验证请求

3．服务端接收到验证请求包后，用RSA私钥进行解密，解密后会验证客户端版本和RSA证书的SHA1摘要是否正确。验证通过后，保存RC4密钥并计算RC4密钥的MD5值发送给客户端作为响应包。

图8 服务端验证客户端

4．客户端收到响应包后，计算RC4密钥的MD5值并和响应包的内容进行验证，验证通过后则验证通信阶段完毕，等待服务端下发命令。

图9 客户端验证服务端

3.2 命令交互阶段

通信双方验证无误后，后续通信中全部使用协商好的RC4密钥进行加密。客户端通过select函数持续等待服务端命令。收到服务端发出的命令后，客户端使用RC4密钥进行解密，解析并识别命令，然后执行。执行后将结果上传给服务端时，也会使用RC4密钥加密后发送。

图10 接收命令并解密

下图为MicroBackdoor支持的命令，包括获取本机信息，执行程序，反弹shell，上传下载文件等常规远控功能。

图11 命令列表

3.3 流量数据分析

本次分析的样本未获取到实际的C2服务端私钥，不能进行数据的解密。

图12 实际加密攻击流量

我们通过模拟木马通信过程，从中得到的流量各阶段数据如下。

在验证阶段虽然数据都进行了加密，但是流量长度固定，客户端发起的验证请求包为256字节（RSA公钥长度），服务端返回的响应包长度为16字节（MD5长度）。

图13 实验验证交互数据

在命令交互阶段，由于命令长度不固定，且数据全部使用了RC4加密，所以无法获取有效特征。只有获取到服务端的RSA私钥后，才能对数据进行解密。

图14 实验命令执行数据

下图为服务端的RSA私钥文件和证书，RSA私钥文件和证书由攻击者自己生成。

图15 实验服务端上的公私密钥

依据证书中的公钥和私钥文件可以对加密数据进行解密。先使用上图RSA私钥对验证请求包的载荷进行解密，解密后输入如下。

图16 验证请求包解密

使用解密后获取的RC4密钥对后续的命令交互过程进行解密，解密后可以发现命令为“id”。

图17 实验命令解密

图18 解密命令为“id”

四、分析小结

此次攻击采用TCP自定义加密通信，使用RSA身份验证加密协商产生RC4随机会话密钥用于实际的数据加密通信，全程加密通信。攻击产生的流量中，验证阶段有明显的流量长度特征，验证请求包和响应包为固定长度。从加密机制来看，获取到服务端私钥才能将流量进行解密。

同时，我们也可以看到越来越多的APT组织频繁利用TCP、UDP、HTTP等传输层和应用层协议进行自定义加密方式传输。除常规标准加密协议外，这一新趋势给流量检测也带来了新的更高挑战。

上一篇：【涨知识】SiMayRAT：利用云文档HTTPS加密传输的远控家族下一篇：利用DoH技术加密传输的DNS隧道流量检测分析

【涨知识】SiMayRAT：利用云文档HTTPS加密传输的远控家族

发布时间：2022-05-07

近期，我们观察到SiMayRAT家族在2022年4月有所活动SiMAyRAT是一个远控家族，攻击者通过邮件鱼叉钓鱼方式将病毒植入到受害者后，病毒通过从云端下载第二阶段的控制代码执行，从而达到控制主机的目的。该家族的一个有趣的特点在于样本（MD5：d9b0afa3d0935c50591acb98487d111d）在此次活动中利用了某云文档进行恶意代码的中转。在网络流量层面，中转过程中我们只能看到云文档的HTTPS加密流量，无法看到中转的恶意代码。这种白站点的利用可以说给加密流量检测带来很大的问题，该家族详细的说明见下文。

样本基本情况

（1）样本以webex主题投放运行。

图1 样本信息

（2）样本从某云文档中获取第二阶段载荷，从而进行下一步动作。文件读写执行主要在以下几步：

写入：C:\ProgramData\logging_info.txt

写入：C:\Users\Public\FBWJDQ.zip

写入：C:\Users\Public\Documents\efender\ZPTKQB\feqfq.f1fe1f

将上处文件名feqfq.f1fe1f修改为DXIAHH.exe名字并执行。

（3）样本中可以看到托管在共享的云文档（恶意代码）URL做为参数传入。

图2 云文档参数

（4）从流量中可以看到样本访问了某云文档链接，通过某云文档来下载恶意代码。样本使用TLS通信，产生可信的中转流量。

图3 中转流量

可信站点中转

（1）通过浏览器访问URL可以看到分享的云文档。

参数为：hxxps://note.******.com/ynoteshare/index.html?id=f83f6c6da089d58ea8538c71344b8e64&type=notebook&_time=1648556707433，time时间转换为2022-03-29 20:25:07，用户名“vip0418123000”，文件夹名字为“签名正版”。

图4 共享的恶意软件

（2）我们通过关联发现其他同类样本，样本同样以某云文档作为中转，如下：

参数：hxxps://note.******com/ynoteshare/index.html?id=cfae45c9e7cc8a7734b72abe98235dd1&type=notebook&_time=1642761034339),其中time时间转换为2022-01-21 18:30:34 。可以看到关联的样本在2022年1月21日就存在。

图5 较早的样本

（3）样本中通过URL中的ID获取文件计算文件HASH从而下载文件：

• 样本从URL中hxxps://note.******.com/ynoteshare/index.html?id=cfae45c9e7cc8a7734b72abe98235dd1&type=notebook&_time=1642761034339获取id: "cfae45c9e7cc8a7734b72abe98235dd1"

• 第二次请求hxxps://note.******.com/yws/api/personal/share?method=get&shareKey=cfae45c9e7cc8a7734b72abe98235dd1，其中sharekey是上一个URI的id，响应回来的ID为dirID值。

• 第三次请求将上一步的dirID值做为请求参数，hxxps://note.******.com/yws/public/notebook/cfae45c9e7cc8a7734b72abe98235dd1/subdir/dirID，通过文件名从而获取具体FileHashID。

• 第四次通过FileHashID下载文件hxxps://note.******.com/yws/api/personal/file/%FileHashID%?method=download&shareKey=cfae45c9e7cc8a7734b72abe98235dd1

第二阶段文件情况

我们在4月26日下载了共享的较早的那批文件，可以看到用户名为“quanshiyu2022”的分享，分享的文件夹为GUDUO，文件列表如下：

内部结构包含三个文件夹，分别是package、static、winzipper。

图6 文件夹

其中package文件夹中包含三个文件，一个exe、一个dll、一个xml。我们判断样本通过exe加载dll文件来做劫持，从而获得系统执行避免检测。

图7 package文件夹

其中一个exe文件，可以看到加载DDRAW.dll动作。

图8 DLL加载

文件夹static文件中存在名为Windows-updatadfinder-CProgramData的文件，大小1247KB或0字节，目前不清楚该文件具体如何使用。

图9 未知文件

文件夹winzipper主要包含数据：一个为360.zip安装包中360ZipPdfView.exe文件，一个为Winrar32位rar.exe文件。文件名以fdaf1.fda1gfq或fe1fa.feqfad命名。我们怀疑此处的文件仅仅作为压缩使用。

图10 压缩功能文件

总结

利用白站点作为中转的例子已经很多，比如国内的使用某网盘中转，包括此次中使用的某云，国外较多使用的Dropbox也经常用来中转，APT组织使用Twitter下发指令等，这样的恶意软件将会越来越多，也给流量检测带来更大的挑战。

上一篇：攻防演练场景下的加密流量概况下一篇：Ghostwriter攻击活动中的加密通信

攻防演练场景下的加密流量概况

发布时间：2022-05-10

概述

近年来，攻防演练持续开展，对抗烈度逐渐增强，攻防演练场景下的产生的加密流量也逐年增多。本文针对攻防演练场景下的加密流量进行大致梳理。

攻防演练场景下的加密流量分类

攻防演练场景中，攻击者一般会经历初始信息搜集、初始打点、横向移动、命中靶标等几个阶段。在几个阶段中，均会产生不同的加密流量。根据加密流量的流向，我们将攻防演练场景下的加密威胁划分为出联，入联和横向三类。出联威胁是指资产受控后主动向外部互联网C2与攻击者进行加密通信的流量；入联威胁是指攻击者主动发起针对资产的探测、攻击所产生的加密流量，或者是攻击者向已预置后门的服务（如各类Webshell）主动发起连接的流量；横向威胁是指攻击者在横向移动阶段产生的资产与资产间的加密流量。

信息搜集：对主机和系统信息的收集，主要是为了建立攻击面而进行的活动。常见的通过互联网搜索引擎对域名和资产进行调查外。还会通过主动探测来收集开放的系统服务和API接口信息，其中会产生入联流量，例如针对HTTPS服务进行探测的流量。

初始打点：建立攻击据点，该部分的工作主要执行攻击。通过对员工的社工钓鱼，以及对暴露资产的暴力破解、漏洞利用等方式攻陷某一台主机。其中将产生多种加密流量，例如SMTPS钓鱼邮件投递属于入联威胁，钓鱼邮件中木马或链接被点击运行后的流量属于出联威胁。另一部分，针对资产的SSH、RDP暴力破解产生的加密流量、针对HTTPS站点漏洞利用等产生的流量属于入联威胁加密流量。

横向移动：在建立初始据点后，大多数的情况初始据点权限不够或不是最终靶标，此时攻击者需要进行横向移动持续获取权限。这个过程会产生各种类型的加密流量：首先是横向移动技术本身涉及的信息搜集、渗透突破过程涉及SSH、RDP扫描暴破、漏洞利用等加密流量；其次，在横向移动的过程中，攻击者不可避免的要维持一条或多条出联通道，这类通道可能通过加密反弹木马、部署Webshell提供，也可以通过加密反弹Shell、加密代理转发等实现。

命中靶标：这一部分主要是拿下目标机器权限并成功获取数据，主要涉及数据回传，属于出联的流量，包括木马回联和代理的转发到外网等会产生加密流量。

攻防演练场景下的加密流量来源梳理

攻击流量的产生离不开攻击工具，攻击工具的来源决定了攻击的质量。从攻击的烈度来看，低烈度的攻击一般会采用已有的工具，比如常见的Hydra、Medusa、漏洞扫描器等，这些工具直接拿来使用，几乎不用配置；中等烈度的则会通过配置策略和魔改的方式对工具进行调整，绕过流量检测，如我们常见的Cobalt Strike通过Profile文件可以配置证书和请求头等信息，各种Webshell参数支持深度定制等，这些修改都是为了达到流量绕过检测的目的；高烈度的攻击一般由红队自研，比如自研漏洞、自研反弹木马、Webshell等。这类非公开工具的检测难度更高，攻击者为了避免暴露，在非必要情况下也不会轻易使用此类工具。从近几年攻防演练看，使用原始工具、木马的情况越来越少，攻击者大部分转向对原始工具进行魔改，甚至自研工具、木马进行攻击。

以下是简要列举在攻防演练场景中常见的工具，以及这些工具产生的流量类型和类别。

攻防演练场景下的加密流量举例

上文对攻防演练场景下的加密流量概况、工具概况进行了介绍，下面针对这些流量，选择几个有代表性的进行举例。

（1）RDP暴力破解，对远程桌面进行登录口令的破解，一般使用3389端口。

图1 RDP暴力破解截图

（2）SSH暴力破解，对SSH远程进行登陆口令的破解，一般使用22端口。

图2 SSH暴力破解截图

（3）WEB漏洞扫描，目前大多数的站点已经启用了HTTPS的安全协议，所以我们在进行web渗透的时候中间流量只能看到加密的流量，无法看到执行了什么POC和探测请求。一般标准的HTTPS协议开放443端口。

图3 web漏洞扫描截图

（4）端口转发，由于防火墙的策略设备，导致很多端口被封，那么这个时候就需要合理利用开放的端口将数据转发出去，本地端口的复用。如下图的188通过53端口转发187的3389端口流量给79。

图4 端口转发截图

（5）加密转发，neo-regeorg加密代理HTTPS流量。

图5 neo-regeorg代理流量

（6）反弹shell，通过openssl可以加密反弹shell执行命令。

图6 反弹shell流量

（7）C2回联，这个在攻防中主要是一些可自动生成木马的平台工具，比如Cobalstrike，而且它们通常支持多种上线方式，下图为Cobalt Strike通过HTTPS协议上线的流量截图。

图7 C2上线

（8）隐蔽隧道，通过DNS协议、HTTP协议、ICMP协议等，下图为DNS隧道示例。 Strike通过HTTPS协议上线的流量截图。

图8 DNS隐蔽隧道

（9）CDN隐藏，通过配置CDN，使得C2地址隐藏，产生的流量直接走CDN地址。

图9 CDN隐藏流量

结语

本文主要对攻防演练场景下的加密流量概况进行了介绍。我们可以看到，加密流量在整个攻防演练的所有环节都会出现。在演练烈度逐年提高的形势下，针对攻防演练中加密流量的检测已经成为不可回避的课题。我们将在之后的文章中介绍针对攻防演练场景中的加密流量的检测方法。请期待我们后续的研究文章。

上一篇：新型Android APP注入工具产生恶意加密流量下一篇：【涨知识】SiMayRAT：利用云文档HTTPS加密传输的远控家族

新型Android APP注入工具产生恶意加密流量

发布时间：2022-05-13

概述

最近在发现某新型Android APP注入工具，原理是通过MSF生成加密反弹Payload然后注入到目标apk里，在目标apk安装完毕运行后可连接到远程C2获取权限，造成较大安全隐患。

长期以来，我们对类似的后门app进行了持续跟踪。例如MSF默认生成的Android apk，也可以实现类似的功能，不过这款工具跟MSF相比，主要有以下几点优势:

1. 原始MSF生成的app程序只在桌面上有一个图标，点击后没有任何app界面。这款工具可以注入各类商业app，实现完全无感知的运行;

2. 原始MSF生成的app程序，安装时手机管家会有安全警示，这款工具注入后的app在安装时，手机管家不会有任何安全提示;

虽然这款工具并不完美，在针对加固类apk、高版本Android支持方面有些缺点，但移动应用领域，利用各种技术进行恶意活动，产生各种恶意加密流量的趋势不可避免，针对这类恶意加密流量的检测需求正在快速增长。

APK注入流程

1.下载工具包

2.生成apk

3.选择MSF的Payload

4.签名设置、注入生成最终apk和rc文件

测试流程

1.使用MSFconsole加载handler.rc进行服务端监听

2.在测试系统下安装apk，在安装的过程中确实没有被手机管家检出

3.运行app，获取shell

4.meterpreter远程控制

加密流量分析

虽然该工具通过对合法app进行注入，在程序层面绕过终端查杀，但是在流量侧的行为特征依旧难以避免。例如：

1、单流（单次会话）行为：TLS加密协商行为，如客户端套件顺序、客户端扩展顺序和部分扩展内容、服务端套件等与MSF类似。另外单流载荷与MSF存在较强关联:

2、多流（多次会话）行为：多流行为特征中又具有密集的保持连接心跳会话，符合MSF反弹Shell的特征：

观成瞰云(ENS)加密流量检测系统针对本次测试产生的加密流量进行检出，综合评分为0.75，威胁标签为MSF。

上一篇：攻防演练场景中的加密流量检测技术下一篇：攻防演练场景下的加密流量概况

攻防演练场景中的加密流量检测技术

发布时间：2022-05-17

<引言>

在对抗日益激烈、加密手段逐渐成为主流的今天，攻防演练场景中的加密流量也已逐渐成为主流，对加密流量检测的技术变得愈发重要。目前针对攻防演练场景的加密流量检测主要分为解密后检测和不解密检测两大类，传统的解密检测拥有可以直接将加密流量转化为明文后采用完善的传统手段继续检测的优势，但也有诸如性能耗损、隐私泄露以及可以解密的流量有限等缺点，基于上述问题，不解密检测的方法逐渐受到业界重视，本文将从不解密的前提下讨论加密流量检测技术。

在上期文章中，我们将攻防演练场景下的加密流量分为入联、横向、出联等三个大的类别，以下分别对三类流量的检测做相应介绍。

◆ 入联加密威胁

1、渗透阶段

在渗透过程中，加密流量多来自对暴露在公网上资产的扫描探测与暴力破解。这部分涉及到的主流加密协议主要有HTTPS(TLS)、RDP、SSH等，一套可行的方法是通过计算TLS、RDP、SSH等协议中每一组IP对在一个时间区间内时间与空间分布的平均值、标准差等属性，结合特定数学模型进行验证，初步判断这些流量在行为特征上是否可能存在漏洞扫描、暴力破解等攻击行为。行为符合的流量作为可疑流量，再结合事先搜集、研究、整理得到的工具静态特征、协议指纹进行二次判断，确定此次是否为攻击与攻击使用工具的具体的家族信息。以下分别进行举例：

● TLS扫描检测

利用“鱼骨图”进行分析，攻击总数为95次，频率为8次/分钟，多次会话中上下行载荷基本相似，最终检测攻击类型为扫描，威胁标签为skipfish2.10b_kali2018_32。

● RDP暴力破解检测

攻击总数：1312，攻击频率：43次/分钟，威胁标签：hydra，攻击类型：暴力破解。

2、后渗透阶段

在渗透阶段getshell之后，会有一系列持久化预置的动作，例如上传Webshell、正向代理等后门，从不解密加密流量检测的视角看，这一类问题的本质都是对Web服务等业务主机不合常规的访问，所以涉及的加密协议也以HTTPS(TLS)为主，我们的检测技术会围绕行为模型来设计：针对各种Webshell、正向代理进行深入研究，通过研究其业务特点总结流量特征，对目标为Web服务的多条TLS流中存在的多次会话进行切割比对，从流量的时空特征的角度入手来对会话做区分，分出哪些是以传输、响应指令为主的流量，哪些是正常的访问浏览，最后把认为不正常的这类流量再在现有的知识库中做对比以识别出真正的Webshell、正向代理类流量及其相关信息。

● 冰蝎加密流量检测

利用“鱼骨图”进行分析，握手模型评分：1，握手多处属性异常，单流行为模型评分：1，证书模型评分：0.66。系统综合决策评分：0.9，威胁类型：冰蝎3。

◆ 横向加密威胁

1、渗透阶段

横向渗透阶段，主要为已经进入内网后针对内网资产加密服务的扫描探测等，与入联阶段大部分相同，检测思路类似，但是由于内网渗透使用的工具与外网渗透有所不同，并且内网中的网络环境更为复杂，很可能有许多行为与扫描暴破类似的正常业务流量，所以要在二次判断上更加严格，否则就会产生海量误报。

● SSH暴力破解检测

SSH暴力破解鱼骨图威胁标签：paramiko_2.6.0(成功)，攻击类型：暴力破解，攻击总数：691，攻击频率：49次/分钟。

◆ 出联威胁

1、加密远控木马

一次完整的攻击很大概率会以最终的远控木马上线进行收尾，而在加密流量的领域，传统方法使用的字符串特征与各种匹配规则都不再奏效，而且与渗透阶段使用的工具类型比较集中完全相反，远控木马的种类极多，可以说是千变万化各不相同。很难做到获得大多数家族的特征，且本身这个所谓的特征大部分时候人眼看不出来，所以我们选择了人工智能机器学习为主结合特征、行为和指纹的综合决策方法来解决这个问题。以TLS协议为例子，我们将一条TLS流按握手、证书、域名、流行为等维度拆成了不同部分，每个部分单独训练模型，在学习了海量黑流量后最终得出一套多模型方案，其可以通过对TLS等标准协议的加密流量在握手、证书、流行为等维度进行分析，判断流量的黑白，再在此基础上与限定域指纹技术、多流行为模型等辅助方法有机结合判断家族，最终达到有效对各种使用了标准加密协议手段的木马通信做出报警的目的。

● Cobalt Strike TLS加密流量检测

TLS木马回联鱼骨图，威胁类型：Cobalt Strike(Beacon)，综合决策评分：1，握手模型评分：1，握手多处属性异常，单流行为模型评分：1，证书模型评分：0.91，会话完整度：7（缺少SNI）。

2、加密隐蔽隧道

此处加密隐蔽隧道特指依托于不以加密通信为设计目的的常见标准协议之上，并自行设计加密方式通信的技术，严格来讲这种流量会出现在各个阶段，我们暂且放在出联威胁来讲。隐蔽隧道可能依托的协议分布于网络层、传输层、应用层等各个层面，设计协议也很广，常见的有TCP、UDP、HTTP、ICMP、DNS等协议。不论是对于ICMP、DNS这类在协议本身一些特性上进行设计意图之外的构造与利用而达到隐蔽通信目的的协议，还是TCP、UDP、HTTP这类只要把数据放在载荷中传输即可的协议，都可以先通过信息熵、01频次等算法确定数据是否加密来缩小范围，筛选出待检测流。再针对自行设计加密的隧道流量载荷中必定存在自定义结构的弱点，来设计一类一法对其做出检测。

● Cobalt Strike DNS隐蔽隧道流量检测

DNS隐蔽隧道检测鱼骨图，威胁类型：Cobalt Strike，综合决策评分：1，请求次数：43416，请求频率：142次/分钟，A类型请求占比43392条，TXT类型请求占比24。

◆ 综述

综上所述，我们综合利用多模型机器学习、指纹检测、特征检测、行为检测、统计检测等方法，对各种不同类型的加密流量进行有针对性的检测，在实战中对各类加密威胁、黑客工具等流量达成了较好的检出效果。检测技术简要架构如下图所示：

在上述检测方法中，都涉及到对攻防演练场景下大量黑客工具、木马等恶意软件本身的分析与特征规律的研究整理，这本身就是加密流量检测中除检测思路之外最重要也是最艰巨的步骤。攻防演练场景下加密流量增加的趋势不会改变，目前针对各类标准或非标准加密流量，我们进行了系统化对抗检测。未来会继续保持跟踪研究。

上一篇：利用Follina漏洞网络攻击的加密流量分析下一篇：新型Android APP注入工具产生恶意加密流量

利用Follina漏洞网络攻击的加密流量分析

发布时间：2022-06-10

一、概述

2022年5月27日，我们发现有安全研究人员公开了一个新的Office漏洞，称为Follina，由白俄罗斯的一个IP地址上传。该漏洞的原理是利用Microsoft Office将远程HTML页面作为OLE对象插入的功能，文档打开后将访问远程HTML页面并执行其中的代码，攻击者利用js代码将页面重定向，使其通过"ms-msdt:"协议访问URL链接，调用本地msdt.exe并传入攻击者构造好的参数，最终执行任意PowerShell代码。值得注意的是，该漏洞在宏被禁用的情况下仍可被利用,具有较大的安全隐患。

6月初，研究人员公开了一个针对乌克兰的攻击样本（7908d7095ed1cde36b7fd8f45966fc56f0b72ca131121fdb3f8397c0710100e1），发现有组织使用Cobalt Strike Beacon恶意软件并利用该漏洞CVE-2022-30190对乌克兰国家组织进行了网络攻击。下面将对该漏洞的利用和此样本产生的流量进行分析。

二、Follina漏洞利用

1.使用网上已公开的poc

https://github.com/chvancooten/follina[ . ]py

2.在当前目录下生成clickme.docx和www下exploit.html，并启动监听

python follina.py -t docx -m binary -b windowssystem32calc.exe -H 127.0.0.1 -P 8080

3.在word启动时可以看到“正在打开http://localhost:8080/exploit[ . ]html”，说明word和服务端建立连接成功，弹出calc.exe，漏洞利用成功

三、TLS加密流量分析

1.捕获的流量中检测到nod-update[ . ]it可疑域名，每隔一段时间，Beacon会对nod-update[ . ]it发出A记录dns查询

2. 下图为样本通信时的流量，使用TLS加密

3.服务器已经不存活，主机无法上线，TCP建立握手连接失败

4.从流量导出的证书，颁发者是CN = R3 O = Let's Encrypt C = US ，指纹是85fbc86f7a5411e6472b167c8016723a51cc090a，R3的颁发机构为ISRG Root X1，是一个免费的证书颁发机构，由于免费证书申请不会经过严格的使用者身份验证，较容易获取，因此，经常被黑客或恶意程序使用。

5.观成瞰云(ENS)-加密威胁智能检测系统针对本次测试产生的加密流量进行检出，从握手检测、域名检测、证书检测进行多模型分析，综合评分为0.76。

四、总结

随着Follina漏洞的出现，改变了以前要“钓鱼”就要想办法绕过office宏禁止机制的攻击方法，取得了新的突破，网络攻击的手段变得越来越多样化，通信方式也变得隐蔽化和加密化，这一趋势给流量检测带来了更高挑战。

上一篇：一种使用TCP自定义加密通信的APT样本分析下一篇：攻防演练场景中的加密流量检测技术

一种使用TCP自定义加密通信的APT样本分析

发布时间：2022-07-01

一、概述

为了确保通信安全和隐私以及应对各种窃听和中间人攻击，越来越多的网络流量被加密，然而，攻击者也可以通过这种方式来隐藏自己的信息和行踪。近期我们捕获了一个样本，此样本就是使用了加密通信，为了深入研究此样本的加密通信机制，接下来我们来逐层剖析它。

二、准备工作

解密硬编码字符串

将样本记录的硬编码字符串的每一个字节加0x23，可以获得密钥、域名、注册表键

三、通信行为-接收

3.1 建立通信

样本采用TCP自定义加密通信，IP为域名（*.ddns.net）解析成功后得到的IP，端口为5832。

3.2 接收、校验数据

样本使用TCP协议传输数据，TCP载荷部分使用自定义加密协议，并且协议格式中含有身份校验位，只有校验通过才解析后面的内容，不通过则继续接收数据。

每次对接收的数据的校验方式如上表。第一次连接或者重新连接的数据包的前5个字节的值作为会话ID。

接收的数据包由三部分组成：

a.填充数据（长度可变）

b.11个字节的校验数据、指令

c.后续操作需要的参数、数据

为了防止单次会话中接收的数据因为前5个字节相同而出现规律性，会在校验前先获取有效的传输数据即移除填充数据，找到数据中与同一次会话的标志值相同的数据的位置，这也算是第一次校验。

接下来，校验有效数据的大小，有效数据的大小记录在第6、7字节，校验通过会根据第10、11字节的值来决定是否解密后续的数据。

3.3 解密数据

解密操作就是由硬编码得到的密钥和数据进行按位异或，返回的数据包也是这种方式加密的。

四、执行指令

接收数据的第8、9字节的值是样本的指令码，根据不同的指令执行不同的操作。

指令大致分为三类

a.获取基本信息

b.操作CMD.EXE

c.关闭进程、线程

4.1 获取信息

获取电脑系统信息、磁盘盘符、文件信息、进程信息以及TCP&UDP表的信息，并将获取的信息按照不同的格式拼接，然后将拼接好的数据与密钥做加密操作，并且将加密后的数据拷贝到发送缓冲区中。（具体的发送格式以及指令功能见文章末尾的发送数据包结构一览表）

4.2 操作CMD.EXE

创建两个匿名管道，获取环境变量ComSpec的值即CMD.EXE的路径，以这个路径创建进程CMD.EXE，并且在创建进程的时候将进程的输入、输出各绑定一个匿名管道，这样就可以通过管道来对CMD.EXE进行远程操作，其中输入CMD的指令就是有效数据中解密后的数据，输出即回显通过管道获取，再拼接相应的格式后加密存放到发送缓冲区中。

4.3 关闭进程、线程

关闭CMD.EXE进程

五、通信行为—发送

发送的数据格式如下表，按照自定义格式组成数据包内容后，加密发送：

六、总结

样本使用TCP自定义加密通信，通信成功会首先进行身份校验、然后解析数据中的指令码，根据指令码的不同执行不同的功能，其中有一个高危的功能，通过匿名管道的方式实现远程可交互式CMD，CMD执行的命令和执行结果（回显）在通信流量载荷中加密传输。

利用TCP/UDP等协议承载自定义加密载荷进行攻击的APT组织、各类黑客工具层出不穷。因自定义加密格式不定，变化灵活，因此这种加密流量检测的难度进一步提高。我们一直针对各类使用自定义加密的最新威胁保持密切跟踪，并随时更新方案进行应对。

上一篇：SideWinder诱饵文档加密流量分析下一篇：利用Follina漏洞网络攻击的加密流量分析

SideWinder诱饵文档加密流量分析

发布时间：2022-07-21

近期获得一个SideWinder组织关联样本（MD5：267870d2a7deec193cf6c2b6926f0451）。我们对此样本及其产生的加密流量进行了简要分析。

样本概述

在此次攻击中，SideWinder组织伪造某国官方Office文档作为攻击的诱饵。诱饵文件利用CVE-2017-0199漏洞，通过HTTPS协议访问远程对象并直接执行代码，产生TLS加密流量。

图 1 诱饵文档

图 2 诱饵中包含的链接

流量分析

在沙箱中运行样本，抓取流量并进行分析。沙箱首先请求navy-mil-bd.jmicc.xyz域名，然后向响应IP 5.230.71.95发起两次TLS连接，TLS协议版本分别为1.0和1.2。

加密会话重点要素：

1.协议版本：TLS1.0/1.2；

2.客户端支持加密套件：TLS1.0会话：12个/TLS1.2会话：21个；

3.服务端选择套件：TLS1.0：TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)/TLS1.2：TLS_RSA_WITH_AES_128_CBC_SHA256 (0x003c)；

4.SNI：两次会话相同，均为navy-mil-bd.jmicc.xyz；

5.证书：两次会话相同，证书链长度为2，其中包含一个自签名CA证书，和由此证书颁发的二级证书

经分析，两次会话异常点如下：

1.无论是客户端还是服务端，在密钥协商阶段均与目前正常Web应用等TLS流量存在较大差异，且与以往SideWinder恶意流量有相似之处；

2.SNI以明文传输，其中扩展名为xyz，信誉较低；

3.两个证书的异常特征比较明显，颁发者和使用者信息使用数字填充，在自签名CA中存在极少出现的扩展项（Netscape Comment）等。

产品检测

观成瞰云（ENS）-加密威胁智能检测系统在未更新模型情况下针对本次测试产生的加密流量进行检出，从握手检测、域名检测、证书检测进行多模型分析，综合评分为88，威胁标签为APT(SideWinder)。

上一篇：攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量下一篇：一种使用TCP自定义加密通信的APT样本分析

攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量

发布时间：2022-07-21

知名Webshell管理工具“冰蝎”（ Behinder）发布了4.0版更新，增加了诸多特性，如取消硬编码通信协议，传输协议完全自定义等。观成科技安全研究团队立刻针对新版冰蝎加密流量展开了研究。

冰蝎4.0加密流量特征与3.0版相差比较大。首先是加密方式，客户端自带xor、xor_base64、aes、json和image等五种加密方式，每种加密方式都支持自定义加解密代码；其次是传输方式，冰蝎4.0引入了okhttp3客户端，因此HTTP协议交互、TLS协议交互与3.0的客户端也有显著不同。

基于上述分析，我们针对冰蝎4.0在TLS未解密（TLS协议流量）、TLS解密（HTTP协议流量）两种场景下的流量进行抓取分析，并迅速升级检测方案。目前，观成瞰云经升级后，已实现针对冰蝎4.0各种加密流量的检出。具体检出情况如下：

● TLS未解密冰蝎4.0加密流量检测：

● TLS解密冰蝎4.0加密流量检测：

观成瞰云（ENS）

上一篇：攻防演练 | 隐蔽隧道怎么防？下一篇：SideWinder诱饵文档加密流量分析

攻防演练 | 隐蔽隧道怎么防？

发布时间：2022-08-02

一、隐蔽隧道受到攻击者的青睐

在过去的一周，我们在攻防演练的实战现场发现多起隐蔽隧道攻击事件。攻击队完成初始打点后，通常会建立外联隐蔽隧道维持权限，并进一步通过横向移动最终获得靶标。隐蔽隧道具备如下特点：

1、常见、冷门协议均可利用；

2、数据加密方式多变，可深度定制、魔改；

3、各种工具、脚本繁多，容易获得；

上述特点导致隐蔽隧道千变万化，令防御方防不胜防，因此受到攻击队的青睐。

二、隐蔽隧道有哪些？

隐蔽隧道一般指使用标准通信协议，改变其协议字段或载荷部分成为“隐蔽的传输通道”。

隐蔽隧道又分加密和不加密两种，目前转向加密的隧道越来越多。常见的隐蔽隧道分为三小类：

1、网络层隧道，以ICMP隧道为主；ICMP协议在日常的通信应用中数据格式比较简单、变化较少，攻击者开发也有一定的技术门槛，所以目前应用不是特别广泛，有少量的APT组织和黑客工具在使用。

2、传输层隧道，以TCP/UDP隧道为主；还有少量的SCTP隧道；TCP/UDP隧道目前应用已经比较广泛，未来一定会成为APT攻击和高水平黑客的常用通信方式之一；之所以TCP/UDP隧道受到攻击者的青睐，是因为这类隧道应用变化比较复杂，可以较好地隐藏在大量新型网络应用的流量之中。

3、应用层隧道，以DNS/HTTP隧道为主。DNS隧道目前有一部分APT组织和黑客工具一直在使用，但因其检测难度相对不高，所以应用比例相对较低；HTTP隧道是某些黑客组织甚至是顶级APT组织常用的一种隐蔽传输方式，因HTTP协议的应用广泛、且变化复杂，所以在大量HTTP流量中如何精准确认是隧道，是比较难的一件事情。

三、哪些工具会建立隐蔽隧道？

大量的公开黑客工具均支持建立隐蔽隧道，攻击者也可以自行开发支持隐蔽隧道的攻击工具。常见支持隐蔽隧道的黑客工具包括：

ICMP隐蔽隧道：icmpTunnel、pingtunnel、PTunnel、icmpsh等；

TCP/UDP隐蔽隧道：kcp-tunnel、frp、MicroBackdoor、nc等；

HTTP隐蔽隧道：隧道reGeorg、reduh、tunna、phpsocks等；

DNS隐蔽隧道：dns2cat、iodine、CobaltStrike、Denis等。

四、隐蔽隧道怎么检测和防范？

隐蔽隧道种类和实现方式千变万化，其检测和防御是个体系化工程。概述起来有如下三点：

1、减少协议暴露面。原则上任何协议都可以被利用成为隐蔽隧道，为减少风险，首先应将正常业务无关的通信协议进行策略优化，减少暴露面，降低被利用的风险。

2、针对重要协议的检测。常见的隐蔽隧道利用的协议包括：ICMP、TCP、UDP、DNS、HTTP等，每一类协议下的隐蔽隧道检测方式均不相同，下面将各类隧道的检测要点进行概述：

（1）ICMP隐蔽隧道：ICMP隐蔽隧道检测主要采用多流统计分析技术，包含信息泄露率、会话频率、会话斜率、载荷帧结构分析四个部分，通过多流统计分析判断是否为ICMP隧道流量。

（2）TCP/UDP隧道：TCP/UDP隧道是利用TCP/UDP协议头部格式，在载荷部分增加加密载荷数据；检测要点首先是针对载荷数据基于信息熵、卡方值、频次等进行统计判断载荷是否加密，然后对载荷部分进行帧格式检测和特征检测以判断是否为TCP/UDP隐蔽隧道。

（3）DNS隐蔽隧道：针对特征比较明显的DNS隐蔽隧道威胁流量可以从异常Record、上下行数据等方面进行检测；针对高级的DNS隐蔽隧道威胁，除了检测单流的特征以外，还要提取多流特征，对可用于检测的元数据及多流特征进行统计，并形成通联图，在此基础上再通过规则或机器学习的方式进行检测。

（4）HTTP隐蔽隧道：HTTP隐蔽隧道包括利用HTTP头隐蔽隧道和HTTP载荷隐蔽隧道。HTTP头隐蔽隧道通常利用HTTP协议某些字段进行传输，如URL、Cookie、UA等；HTTP载荷隐蔽隧道是指利用HTTP载荷或载荷的一部分进行隧道数据传输。如直接传输加密后的数据，或将数据嵌入到某个页面中等。HTTP隐蔽隧道检测难度比较大，需要结合单流、多流层面，利用规则、行为、人工智能等多个方法综合进行判断。

3、业务排查。在实际业务场景，隐蔽隧道不一定是威胁事件，有部分即时通信软件和正常业务也会通过隐蔽隧道传输；在检测识别为隐蔽隧道后，还需要对业务进行排查，是否为正常业务。

五、观成瞰云全面支持隐蔽隧道检测

观成瞰云加密威胁智能检测系统，已全面支持各类隐蔽隧道检测：

1、DNS隐蔽隧道检测：

2、ICMP隐蔽隧道检测：

3、HTTP隐蔽隧道检测：

4、TCP隐蔽隧道检测：

观成瞰云（ENS）

上一篇：FakeTLS恶意加密流量分析下一篇：攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量

FakeTLS恶意加密流量分析

发布时间：2022-09-01

背景介绍

观成科技安全研究团队近期发现一款使用FakeTLS技术进行加密通信的工具，可以创建一个C2服务器和恶意木马客户端，利用 FakeTLS 技术伪装TLS协议通信，在加密载荷中传输命令控制信息。

FakeTLS恶意加密流量分析

1. 伪造Client Hello消息分析

Client Hello 消息中的 TLS 扩展之一Server Name，该字段的服务器名称为“www.bing.com”，如下面数据包内容中标注的，它通过使用信誉度高的常见域名，来伪装成知名网络服务提供商的TLS流量：

通过分析源码，在伪造Client Hello消息时，它将从13个知名域名中随机挑选一个：

2. 伪造Server Hello消息分析

Server Hello 消息中的其余字节，有些是硬编码的，有些是随机生成的，这两种情况的源代码代码片段如下所示，通过这种方式组合出Server Hello、Change Cipher Spec等消息：

Server Hello 包数据

Change Cipher Spec 消息中使用的硬编码字节

TLS握手消息中使用的硬编码字节和随机字节

3. 伪造Application Data消息分析

服务端发送加密的命令使用byte{0x17, 0x03, 0x03}硬编码,作为命令控制包的头部，客户端发送加密返回数据使用0x17, 0x03, 0x03,0x00硬编码,作为返回数据包的头部。事实上是伪装成TLS的Application Data消息。

服务端发送加密的命令

客户端返回数据

有效数据传输部分并未使用TLS握手中协商的密钥和算法进行加密，而是将命令和响应消息经过RC4加密后伪装成TLS加密载荷传输。在下图的例子中，我们发送了ls列出当前目录中文件的命令。加密不会改变消息的长度，因此我们以看到发送的命令与“ls”的长度（两个字节）匹配。在第二张图中也是如此，它显示了从受害者中返回的加密响应消息（60 字节）。使用的加密密钥为key[16] = {0x79, 0xE1, 0x0A, 0x5D, 0x87, 0x7D, 0x9F, 0xF7, 0x5D, 0x12, 0x2E, 0x11, 0x65, 0xAC, 0xE3, 0x25 };

使用 RC4 加密发送的命令“ls”

接收到的使用 RC4 加密的目录列表数据包

使用密钥解密返回数据包为目录列表

总结

FakeTLS技术在较知名的几个APT组织中曾经有过使用。大致分为两类，一类是建立TCP连接，伪装整个密钥协商过程和加密数据交互过程；另一类是建立TLS连接，正常进行密钥协商过程，但是后续加密数据交互过程并不是密钥协商后的TLS连接，而是直接利用TCP连接进行伪装。本文所述的工具为第一类FakeTLS。此工具通过TCP连接伪装TLS的流量通信，按照TLS协议规范固定结构的硬编码和非固定结构的随机编码相结合，辅之以在Server Name扩展中填入知名网站，让流量看起来与正常的TLS通信极其相似。这种流量伪造方式灵活多变，使得加密流量的检测难度进一步提升，经过深入分析后才能形成检出能力。

目前瞰云-加密威胁智能检测系统（ENS）对该工具已具备检测能力。观成科技安全研究团队一直针对各类加密协议的最新威胁保持密切跟踪，并随时更新方案进行应对。

上一篇：【观成科技】Shadow-TLS隐蔽加密通道工具技术分析下一篇：攻防演练 | 隐蔽隧道怎么防？

【观成科技】Shadow-TLS隐蔽加密通道工具技术分析

发布时间：2022-09-22

背景介绍

观成科技安全研究团队近期发现一款加密通信工具——Shadow-TLS。Shadow-TLS工作于客户端与服务端两种模式，利用TLS1.3协议、回放知名白网站流量等技术，在客户端和服务端间建立隐蔽加密通道，规避检测设备。

工作流程

利用Shadow-TLS进行一次完整建联包含3个阶段，流程如下图所示：

● 阶段1：个人PC利用Shadow-TLS工具对外通信，会向Shadow-TLS客户端监听的端口发起TLS握手请求Client Hello包，所用协议为TLS 1.3，Server Name Indicator（SNI）扩展为真实访问的域名test.bozai.us。

● 阶段2：当Shadow-TLS客户端收到PC的client hello请求后，会立即向Shadow-TLS服务端发起另一个Client Hello握手请求，所用协议为TLS 1.2，SNI为命令行中设定的知名白网站apple.com；Shadow-TLS服务端收到该握手请求时，会将该请求转发到我们设置的域名apple.com所对应的真实网站；后续Shadow-TLS客户端通过其服务端进行转发的方式与apple.com站点完成TLS握手过程，当Shadow-TLS服务端收到握手完成的Encrypted Handshake Message消息后会主动与apple.com断开连接，并将收到的消息转发到Shadow-TLS客户端。

● 阶段3：Shadow-TLS客户端继续阶段1的TLS握手过程，将阶段1收到的test.bozai.us的Client Hello包伪装成Encrypted Handshake Message消息发给Shadow-TLS服务端（图1,2），服务端收到后同样将Server Hello包（选择TLS1.3版本）伪装成Encrypted Handshake Message消息发回给客户端（图3,4）。这样，个人PC与Shadow-TLS服务端之间通过Shadow-TLS客户端的转发和伪装，完成后续的TLS握手过程，由于使用了TLS1.3版本，握手过程经过加密看不到里面我们自行配置的自签名证书，防火墙只能看到加密载荷Application Data在传输，当成是与apple.com握手成功后的正常通信，从而放过。

至此，个人PC与防火墙外的Shadow-TLS服务端之间建立加密通信的过程，隐藏在与apple.com白站的TLS通信“阴影”中，隐蔽的完成了，所以叫做“Shadow”TLS。相关流量截图如下：

图1：PC发送Client Hello(test.bozai.us)

上图中PC端与shadow TLS客户端监听端口3443建立连接，并发送Client Hello消息，且SNI为test.bozai.us。

图2：Shadow-TLS客户端将Client Hello(test.bozai.us)伪装成Encrypted Handshake Message

上图中shadow TLS服务端与apple.com主动断开连接后，shadow TLS客户端向shadow TLS服务端发送的Encrypted Handshake Message消息，与图一中发送的Client Hello消息内容、长度一致，可以看出Shadow-TLS客户端将Client Hello(test.bozai.us)伪装成了Encrypted Handshake Message消息。

图3：Shadow-TLS服务端将Server Hello伪装成Encrypted Handshake Message

图4：Shadow-TLS客户端将Server Hello进行转发

同样的，Server Hello回包也伪装成Encrypted Handshake Message消息。

加密流量分析

经过分析，Shadow-TLS工具加密流量具有如下特点：

● 支持任意切换白网站绕过检测

Client Hello 消息中的 TLS扩展之一SNI，该字段的服务器名称为apple.com，如下面数据包内容中标注的，它通过使用信誉度高的常见域名，来伪装成知名网络服务提供商的TLS流量。

该字段的域名可在运行工具时，直接进行指定，如：指定为apple.com，则该工具会与apple.com建立TLS连接。

● 利用TLS 1.3版本协议特性隐藏真实交互过程

从下图中发现，每当我们的PC发起一次请求时，Shadow-TLS客户端都会向Shadow-TLS服务端进行一次TLS握手请求，该握手过程使用我们配置的自签名证书，且强制使用TLS1.3版本。当Shadow-TLS服务端收到请求时，会先与“apple.com”进行TLS握手，当与“apple.com”握手结束后，才会与Shadow-TLS客户端完成之前的握手，由于TLS1.3版本握手过程是加密的，只会看到“Application Data”从而使这次握手看起来像是与“apple.com”通信的后续载荷传输部分。当第二次发送请求时，会与“apple.com”再次握手，从而达到每一次通信，都把自己通过自签名证书完成的TLS握手过程隐藏到与“apple.com”的白站握手流量中，将自己的TLS通信作为与知名站点TLS通信的“shadow”。

总结

利用Shadow-TLS工具，攻击者可以将恶意的TLS通信建立过程，隐藏在与白站的正常TLS通信过程后，从而穿透网络边界，大幅度降低其恶意行为被发现的可能性。

流量加密是一把双刃剑，加密在带来安全保护的同时，也带来了安全威胁。类似Shadow-TLS工具的其他手段也会层出不穷。目前，观成科技安全研究团队已对该类工具及各类加密协议的最新威胁保持密切跟踪，并及时更新方案进行应对。

上一篇：Brute Ratel C4（BRC4）攻击框架TLS加密流量分析下一篇：FakeTLS恶意加密流量分析

Brute Ratel C4（BRC4）攻击框架TLS加密流量分析

发布时间：2022-10-17

工具简介

Brute Ratel C4（以下简称BRC4）是是由Mandiant和CrowdStrike的前红队队员Chetan Nayak发布的工具包，用以替代因使用广泛而被安全公司重点防范的Cobalt Strike框架。BRC4没有提供漏洞生成特性或者漏洞扫描特性，但是使用了众多用于规避和检测EDR的技术，其外部 C2核心通信逻辑是将有效负载输出隐藏在合法网络流量中。

工具使用

● 启动界面

● 开启服务端：服务证书可自动生成，也可以指定证书。

● 配置界面：可通过C4 profiler添加监听器，配置相关的监听器的连接协议包括HTTP、TLS、DNS，以及监听IP、URL信息、上线操作系统平台、HTTP请求头内容等。配置完成后可生成DLL，EXE，BIN等不同类型后门文件。

TLS流量特征

● 证书特征

该工具中自带证书，证书为自签名证书，证书中CountryName、CommonName、Email Address等字段为默认填写，默认证书如下：

不过，作者生成TLS证书的脚本支持更改CountryName、CommonName、EmailAddress等字段，该工具也支持上传使用自己的证书，因此可以绕过一些基于证书的检测技术。

● 流特征

受控端向服务器发送心跳连接，每次心跳完成一次TLS连接，建立握手后交互两个加密载荷（Application Data），受控端发送的包长度416字节，控制端回包长度183字节，控制端能够通过sleep命令设置心跳的时间间隔。

心跳连接传输载荷解密后，可以看到HTTP报文。受控端发送的是HTTP请求包，Data部分有Base64编码的数据；控制端则回应200响应包。

BRC4的HTTP心跳使用POST方法，URL、UA等字段均为监听器配置中设置的固定值，请求体外层为Base64编码，每次发送的内容不变。

总结

BRC4在2020年发布，因其比较小众，规避EDR检测能力较强，因而受到APT和网络犯罪团伙青睐。APT29组织和BlackCat勒索组织都有使用BRC4的记录。近期BRC4工具发生了泄漏事件，我们预测后续BRC4的使用范围会逐步扩大。

随着网络安全研究者对Cobalt Strike等热门框架研究水平、防御水平的提升，选择类似BRC4的小众框架，利用加密流量进行远程控制会受到攻击者的欢迎。这类小众远程控制框架也会越来越多，观成科技安全研究团队会持续针对这类小众远控进行跟踪分析。

上一篇：疑似OilRig组织Powershell后门分析下一篇：【观成科技】Shadow-TLS隐蔽加密通道工具技术分析

疑似OilRig组织Powershell后门分析

发布时间：2022-11-21

1.概述

近期，观成科技安全团队针对疑似OilRig组织恶意文档进行了分析，并还原了该文档释放的恶意Powershell后门与服务器之间的通信过程。该文档通过两个Powershell脚本来分别进行命令获取与执行，命令和执行结果都使用AES-256-CBC算法进行加密，通信使用HTTP隐蔽隧道，将加密后的数据隐藏在HTTP协议载荷部分传输。

2.功能描述

文档Apply Form.docm中包含恶意宏代码，宏代码执行后会释放3个脚本文件，Updater.vbs、Script.ps1和Temp.ps1，并创建名为“WindowsUpdate”的计划任务来执行Updater.vbs，为整个攻击流程建立持久化机制。

脚本Script.ps1启动后会从服务器获取控制指令，并以控制指令作为参数，执行temp.ps1。temp.ps1启动后执行控制指令，将结果上传至服务器。

3.通信机制

3.1 上线

Script.ps1通过查找注册表项Registry::HKCU\SOFTWARE\Microsoft\Windows\Shell\Associations\UrlAssociations\http\，获取到默认浏览器，并根据默认浏览器选择不同的UserAgent。

连接http://45.xx.xx.xx /get，获取受害机唯一ID，然后将ID写入C:\Users\username\AppData\Local\Microsoft\Windows\Update\ID.txt。

图 3-1 获取ID

3.2 指令执行

Script.ps1访问相同的URL，使用HTTP POST将AES-256-CBC加密后的ID发送给服务器，并以此来获取后续命令。加密密钥和IV如下所示。

图 3-2 获取指令

脚本中共实现了3种指令类型，“0”、“1”和“2”。

3.2.1 指令“0”

将获取到的命令解密后得到如下字符。

脚本使用“^%$RTY”分割服务器发来的命令序列，命令序列以“：”结尾。上表中包含1个命令序列。每个命令序列使用“!@#EWQ”继续进行分割。分割后的第1个字符串代表指令类型，第2个字符串是命令序列的数字标识，第3个字符串是将要执行的powershell命令。

Temp.ps1通过http://45.xx.xx.xx /put将命令执行结果发送给服务器。

图 3-3 发送执行结果

发送给服务器的数据由2部分构成，以“!@#EWQ”进行分割。

3.2.2 指令“1”

指令类型“1”的内容由3部分组成，以“!@#EWQ”分割。

完整示例如下。

图 3-4 指令“1”

图 3-5 发送执行结果

3.2.3 指令“2”

指令类型“2”的内容由4部分组成，以“!@#EWQ”分割。

完整内容如下。

图 3-6 指令“2”

命令写入文件失败，生成数据“RES!#%796!@#EWQError Occurred!@#EWQ”，加密后发送给服务器。

命令写入文件成功，生成数据“RES!#%796!@#EWQFile Copied Succesfully!@#EWQ”，加密后发送给服务器。

图 3-7 发送成功信息

4. 产品检测

观成科技“瞰云-加密威胁智能检测系统”已经可以对该powershell后门进行检出。

图 4-1 “瞰云”告警信息

5. 总结

本次分析的Powershell后门服务器给受害机发送指令时，给指令中的每个命令序列都赋予了不同的数字标识，这些数字标识会和执行结果一起上传给服务器。因为有数字标识的存在，使得恶意脚本执行完命令上报固定数据时，会生成不同的加密结果，利用常见协议构建隐蔽加密隧道进行加密传输的恶意家族层出不穷，观成科技安全团队对这类威胁将持续跟踪。

上一篇：ABPTTS加密HTTP隧道工具流量分析下一篇：Brute Ratel C4（BRC4）攻击框架TLS加密流量分析

ABPTTS加密HTTP隧道工具流量分析

发布时间：2022-12-01

1. 概述

在企业面对的攻击事件中，攻击者经常构造HTTP加密隧道进行通信。实现HTTP加密隧道的工具比较多，其中ABPTTS比较常见。ABPTTS支持在HTTP加密隧道中承载RDP、SSH、Meterpreter等协议、工具的交互与连接，逃避防火墙和IDS等明文流量检测设备的审计。ABPTTS产生的HTTP隧道流量具备两个显著特点，第一是每次使用会随机生成HTTP请求头来模拟正常的HTTP请求；第二是HTTP请求体内容加密，在不掌握密钥的前提下无法进行解密，因此利用明文字段校验匹配等检测手段很难识别。

2. ABPTTS隧道搭建

● 下载工具

git clone https://github.com/nccgroup/ABPTTS.git

下载后配置环境和生成payload

● 安装依赖

pip2 install httplib2

pip2 install pycrypto

● 生成payload

python2 abpttsfactory.py -o server

● 启动HTTP隧道

将脚本上传服务器并VPS执行脚本

● 通过隧道封装RDP流量，连接远程桌面

3. ABPTTS流量分析

● 单流特征检测

ABPTTS在请求头和载荷加密方面进行了一定处理，但是从单流层面仍然存在一系列特征。这些特征表现在请求方式、特殊请求头字段格式、请求体格式、返回包格式等方面。当然这些特征是在不修改源码的前提下存在的，当高水平攻击者对源码进行修改后，这些特征可能会消失。

● 多流心跳检测

经过详细分析，ABPTTS客户端在与服务端建立隧道后，为保持连接，会周期性发送心跳包。这是一个显著的多流特征。ABPTTS支持通过配置文件修改默认心跳频率，但是一个IP对间存在周期性的HTTP会话的心跳行为，也是值得重点关注排查的。

● 模型检测

我们在模拟环境下搭建ABPTTS隧道的攻防环境，抓取大量HTTP隧道流量，作为黑流量集，抓取正常HTTP业务流量为白流量集。数据集形成后，分别构建单流和多流特征集，提取单流和多流特征，通过人工智能的方法训练检测模型，包括单流检测模型和多流检测模型，利用AI技术针对ABPTTS隧加密流量进行检测。

根据研究结果，我们利用单流规则检测，多流心跳检测和人工智能模型综合决策，实现了ABPTTS加密HTTP隧道流量的准确检出。

上一篇：Zscaler：85%的攻击使用加密通道下一篇：疑似OilRig组织Powershell后门分析

Zscaler：85%的攻击使用加密通道

发布时间：2022-12-23

根据Zscaler的最新报告，加密攻击仍然是世界各国网络安全专家面临的一个重大威胁。美国、印度和日本在过去12个月中遭受的加密攻击增幅最大。

“随着企业网络安全防御的成熟，对手也变得越来越复杂，特别是在规避策略方面。”Zscaler首席信息安全官兼安全研究和运营副总裁DeepDesai指出。

“越来越多的威胁隐藏在加密流量中，由托管服务提供支持，这大大降低了攻击的技术门槛。对企业来说，云原生零信任架构至关重要，可以对所有互联网绑定流量进行一致检查并有效缓解这些攻击。”Desai说道。

恶意软件为王

网络犯罪分子善于在加密流量（SSL/TLS）中隐藏各种攻击策略，其中恶意软件仍然是最普遍的攻击矢量。2022年加密攻击的近90%在攻击中使用了恶意脚本的有效负载，其中包括勒索软件。后者仍然是CISO最关心的问题，因为勒索软件攻击同比增加了80%。

随着安全防御技术变得越来越复杂，攻击技术也在不断发展，攻击者不断开发出更难被发现并能够绕过基于信誉的检测技术的新恶意软件变种。Zscaler ThreatLabz团队观察到滥用加密通道的最流行的恶意软件家族包括ChromeLoader、Gamaredon、AdLoad、SolarMarker和Manuscrypt。

加密攻击国家TOP5

2022年被加密攻击最多针对的五个国家分别是：美国、印度、南非、英国和澳大利亚。其中南非是今年TOP5的新面孔，将法国挤出了TOP5，日本（613%）、美国（155%）和印度（87%）的加密攻击都同比大幅上升。

制造业和教育行业风险最大

加密攻击并非无差别地攻击所有行业，部署传统安全解决方案的企业往往比其他行业更容易成为受害者。今年，制造业遭受的加密攻击增加了239%，取代科技行业成为2022年被加密攻击最多的行业。

制造业对网络犯罪分子保持吸引力的原因是近年来该行业发生了重大转变，包括采用新的安全措施来管理新冠疫情，以及新增部署了应对供应链问题的基础设施和应用程序。

采用新的应用程序、产品和服务增加了制造企业的攻击面，使许多企业面临未来必须解决的新漏洞。

加密攻击增幅第二大的行业是教育，同比增长132%。此前，从2020年到2021年，教育行业的加密攻击增加了50%。教育和制造业等行业从零信任架构中受益最多，该架构能够检查所有互联网绑定流量，以识别可疑活动并降低加密攻击日益增长的风险。

行业安全态势中积极的一面是，2022年，针对政府和零售业的攻击分别下降了40%和63%。由于攻击者热衷利用新冠疫情的影响，零售业在2021年经历了加密攻击的大幅激增，但在2022年攻击已经趋缓。

此外，世界各地的执法机构都在追捕针对这些关键行业的网络犯罪分子，这导致那些希望轻松挣钱的黑客组织攻击关键行业和基础设施的意愿下降。

网络犯罪分子正在继续完善其技术策略，以避免被发现并绕过信息安全团队。如今，大多数攻击都利用SSL或TLS加密，这意味着大规模安全检查成为一种资源密集型任务，往往需要借助云原生代理架构来完成。

虽然传统防火墙支持数据包过滤和状态检查，但受资源限制并不适合检查加密流量。这为企业带来了实施云原生架构的迫切需求，该架构支持根据零信任原则对加密流量进行全面检查。

缓解建议

企业可考虑采纳以下建议降低加密攻击风险：

● 使用基于代理的云原生架构大规模解密、检测和防止所有加密流量中的威胁。

● 利用AI驱动的沙盒隔离未知攻击并阻止“零号病人”恶意软件。

● 始终检查所有流量，无论用户是在家中、总部还是在旅途中，以确保每个人都能始终受到保护，免受加密威胁的侵害。

● 终止每个连接，以允许内联代理架构在到达目的地之前实时检查所有流量，包括加密流量，以防止勒索软件、恶意软件等。

● 使用基于上下文的精细策略保护数据，根据上下文验证访问请求和权限。

● 将用户直接连接到所需应用和资源（而不是网络），减少攻击面。

上一篇：响尾蛇组织窃密木马通信分析下一篇：ABPTTS加密HTTP隧道工具流量分析

响尾蛇组织窃密木马通信分析

发布时间：2023-01-04

1 概述

2022年11月22日，响尾蛇组织对我国高校发起攻击活动，利用疫情相关信息包装钓鱼邮件，诱导受害者打开邮件附件，十分具有迷惑性。本次攻击活动仍然采用以往的攻击流程，利用LNK文件下载HTA文件，最终完成窃密行为或实现远程控制。观成科技安全研究团队对响尾蛇组织在类似攻击活动中常用的窃密木马家族进行逆向分析，搭建服务器模拟木马控制端，复现了其通信过程。

2 通信过程

该窃密木马执行后，通过HTTPS加密协议上传窃取的系统信息、文件列表，并从C2服务器获取控制指令然后执行。

2.1 上传窃密数据

该窃密木马会将收集到的信息存储到C:\Users\username\AppData\Roaming\SyncDat\目录下，系统信息和已安装程序列表存储到*.sif文件中，文件列表信息存储到*.flc文件，指定后缀文件信息存储到*.fls文件中，错误日志存储到*.err文件中。

该窃密木马创建了定时器来触发上传操作，通过向https://cdn-sop.net/202/F2cPn7PzyV2DdCL4nNCotIfPzcXCLM1YvyGlmyp6/-1/13897/37d4baca发送POST请求将SyncDat目录下的文件上传到C2服务器。

窃密木马生成的HTTP请求头中填充了上传的文件路径和文件类型，如下图所示，X-File-Path字段中填充了Base64编码的文件路径，X-File-Type字段中填充了文件类型“sysInfo”（系统信息）。上传的文件信息使用GZIP进行压缩。

图2-1 上传系统信息和已安装文件列表（HTTPS解密后）

图2-2 上传系统信息和已安装文件列表（HTTPS）

2.2 下发控制指令

该窃密木马创建了定时器触发请求控制指令操作，通过向https://cdn-sop.net/202/F2cPn7PzyV2DdCL4nNCotIfPzcXCLM1YvyGlmyp6/-1/13897/37d4baca发送HTTP GET请求来获取控制指令。

图2-3 服务器下发控制指令（HTTPS）

该窃密木马使用了不同于其他木马的指令下发方式。C2服务器将控制指令隐藏在DLL的ToString方法中，通过下发DLL文件来传递控制指令。

图2-4 包含控制指令的DLL

服务器下发的DLL经过了XOR加密，加密数据结构如下。前0x20字节是服务器生成的XOR密钥，后面的数据是循环异或后的DLL数据。

图2-5 加密数据

模拟服务器下发加密后的DLL，如下图所示，窃密木马可以正常解析并执行控制指令。

图2-6 服务器下发控制指令（HTTPS解密后）

该窃密木马获取Base64编码字符串后解码，并使用第一个字节数据作为控制指令码，具体功能如下：

3 产品检测

观成瞰云（ENS）-加密威胁智能检测系统能够对响尾蛇APT组织的加密流量进行检测。

图3-1 TLS协议加密流量检测鱼骨图

4 总结

本次分析的响尾蛇组织窃密木马，通过HTTPS加密通信的方式实现隐蔽上传窃密数据和下发控制指令，其中，该木马控制指令下发的方式很有特点，控制端下发加密后的DLL文件，将控制命令隐藏在DLL文件中，当受控主机调用该DLL文件执行时即可获得指令。当前大多数APT组织都会使用加密通信的方式隐藏命令与控制信息，观成科技安全研究团队通过逆向分析技术对APT组织样本进行分析，研究其加密通信技术手法，并持续对APT组织的进行监测和跟踪。

上一篇：基于Gost工具的ICMP隐蔽隧道通信分析下一篇：Zscaler：85%的攻击使用加密通道

基于Gost工具的ICMP隐蔽隧道通信分析

发布时间：2023-02-01

1 概述

近期，观成科技安全研究团队在现网中检测到了利用Gost工具实现加密隧道的攻击行为。Gost是一款支持多种协议的隧道工具，使用go语言编写。该工具实现了多种协议的隧道通信方法，例如TCP/UDP协议，Websocket，HTTP/2，QUIC，TLS等。

2022年11月，Gost更新了V3新版本，在新版本中新增了ICMP隧道功能。ICMP隧道是利用ICMP协议的Echo类型报文(ping命令所采用)进行数据传输，Gost在ICMP之上利用QUIC协议来实现安全可靠的数据传输，因此该ICMP隧道可以看作是QUIC-over-ICMP数据通道。QUIC协议是一种加密协议，所以该隧道也是一种加密隧道。

2 隧道原理分析

隧道的搭建需要客户端和服务端两端，客户端负责接收socks5代理协议，解析后将数据封装成ICMP协议发送到服务端，服务端接收后解析成原始流量并转发。

图1 隧道示意图

ICMP隧道传输的数据，由两部分构成：MessageHeader和QUIC数据。MessageHeader的长度固定10个字节，前四个字节存放magicNumber，默认为固定字符串“GOST”，最后两字节存放后续载荷的长度。

图2 MessageHeader构成

QUIC协议是一种基于UDP的低时延的互联网传输层加密协议，和TLS类似，使用加密握手来完成密钥交换。ICMP隧道中的QUIC数据是基于quic-go包实现的。

图3 QUIC实现

在ICMP隧道的流量数据中，紧随MessageHeader之后，就是QUIC数据。隧道中传输的QUIC数据舍弃了QUIC协议的公共包头，直接传输QUIC协议的帧包。根据帧包的格式解析，第一个字节为帧类型，用来解释帧包的属性。下图流量中，帧类型为0xC3（11000011B），最高位“1”表示这是一个STREAM帧，用来进行数据传输。

图4 STREAM帧包

下图数据包中的帧类型为0x4D（01001101B），最高两位“01”表示这是一个ACK帧，用来保证数据传输的可靠性。

图5 ACK帧包

QUIC协议是一种加密协议，通过流量无法直接观察数据内容。但是从流量数据包的长度上看，ACK帧的长度远小于STREAM帧，而常规的ICMP协议的Echo类型报文数据长度往往都是相同的。

图6 数据包长度特征

3 产品检测

观成瞰云（ENS）-加密威胁智能检测系统能够对GOST工具产生的ICMP隐蔽隧道流量进行检测。

4 总结

利用Gost工具搭建ICMP隧道，攻击者可以将攻击流量隐藏在隧道之中，从而规避流量监测设备，大幅度降低被发现的可能性。目前，越来越多的攻击者利用ICMP、DNS等协议来实现隐蔽隧道加密通信，我们将会保持对此类工具的密切跟踪和研究。

上一篇：Donot组织多阶段通信过程分析下一篇：响尾蛇组织窃密木马通信分析

Donot组织多阶段通信过程分析

发布时间：2023-02-07

1 概述

Donot（肚脑虫）是一个从2016年开始一直活跃至今的APT组织。该组织主要针对巴基斯坦、中国、克什米尔地区、斯里兰卡、泰国等南亚国家和地区发起攻击，攻击目标包括政府机构、国防军事部门、外交部以及大使馆。Donot组织主要使用钓鱼邮件作为初始接入的手段，利用宏代码加载下一阶段载荷，通过下载者下载各类功能插件，包括：键盘记录、屏幕捕捉、文件窃取、浏览器信息窃取以及反向shell等插件。

近日，观成科技捕获到Donot组织的一个恶意文档类样本（Hash：ab5cc990a6f4a196daa73bf655286900e7c669b2a37c32f92cbb54631bc3a565），该样本的执行过程与Donot以往的此类样本基本一致，通过HTTP协议从服务器处获取模块下载器，下载器的插件下载以及数据上传阶段通信均通过TLS加密协议实现。

2 多阶段通信过程

恶意文档执行后，通过3个阶段的通信完成整个窃密过程。第一阶段，从服务器A处通过HTTP协议获取模块下载器；第二阶段，模块下载器从服务器B处通过TLS协议获取多个插件；第三阶段，各个插件将窃取的数据通过TLS协议上传到服务器C上。

图 2-1 执行过程

2.1 第一阶段：获取下载者木马

文档中包含恶意宏代码，执行后会将shellcode注入到Excel.exe进程中。shellcode通过HTTP协议从http://one.localsurfer.buzz/jl60UwJBkaWEkCSS/MU3gLGSnHhfDHRnwhlILSB27KZaK2doaq8s9V5M2RIgpeaD8.（png|mp4）获取下载者木马。

图 2-2 获取下载者木马

2.2 第二阶段：获取多个插件

下载者木马difg02rf.dll创建名为“OneSingUpdate”的计划任务，从服务器下载3个插件，插件名称硬编码在样本中，分别为Kyingert（键盘记录器插件）、tr2201dcv（文件窃取插件）和SSrtfgad（屏幕截图插件）。下载者木马使用TLS协议与服务器进行通信，通过https://grapehister.buzz/DoPstRgh512nexcvv.php将用户名和插件名发送给服务器。

图 2-3 获取Kyingert.dll（TLS）

图 2-4 获取Kyingert.dll(TLS解密后)

2.3 第三阶段：数据窃取

文件窃取插件读取Desktop、Document、Downloads文件夹中后缀名为xls、xlxs、ppt、pptx、pdf、inp、opus、amr、rtf、ogg、txt、jpg和doc的文件，将相关数据使用AES-128-CBC加密后存储到C:\ProgramData\Pack0ges\Tvr\目录下，通过TLS协议经过https://orangeholister.buzz/kolexretriya78ertdcxmega895200.php上传到服务器。

图 2-5 使用TLS协议传输数据

图 2-6 解密后的HTTP头部

键盘记录插件和屏幕捕捉插件使用相同URL将窃取的数据上传到服务器。

3 产品检测

观成瞰云（ENS）-加密威胁智能检测系统能够对Donot组织的恶意TLS流量进行检出。

图 3-1 Donot组织流量告警

4 总结

Donot组织在攻击的各个阶段使用不同的服务器提供服务，在使用了TLS协议进行加密通信后，还通过AES-128-CBC对上传的数据再次进行了加密，这些操作增加了通信的隐蔽性，降低了被检出的概率。

上一篇：另辟蹊径：揭秘一款通过公开笔记中转通信的新型远控工具下一篇：基于Gost工具的ICMP隐蔽隧道通信分析

另辟蹊径：揭秘一款通过公开笔记中转通信的新型远控工具

发布时间：2023-02-21

概述

近期发现一款通过独特方式进行远程控制的工具，它通过公开笔记作为控制命令中转平台来隐匿远程控制行为，该工具不仅具有一定的免杀能力，在流量侧由于全程通过HTTPS协议进行通信，因此还具备一定的防检测、防溯源的能力。另外，在HTTPS加密载荷中的控制命令本身还使用AES算法进行了加密，可以进一步防止解密后的检测。

实现原理

该工具由控制端和受控端两部分组成，公开笔记网站则作为控制命令的中转平台。

1、受控端获取命令行参数

受控端由攻击者手动启动运行时，需要两个参数：admin和notekey。其中，

● admin：公开笔记路径，该路径下的公开笔记用于保存受控端信息，这些信息包括hostname、notekey以及noteid。
● hostname：受控端主机名;
● notekey：是由攻击者任意填写的盐字符串，跟控制命令进行拼接后再进行AES加密，加盐可以一定程度上使密文长度随机化，有效避免加密字符串碰撞;
● noteid：公开笔记路径，用于保存AES加密后的控制命令和命令执行返回的结果;

2、受控端将受控主机信息写入到公开笔记

受控端获取完参数启动后，通过AddHost函数将hostname、notekey以及noteid写入到admin参数所传入的公开笔记路径中。

3、控制端获取notekey以及noteid

攻击者启动控制端程序时，会先输入参数admin，该参数必须跟受控端指定的admin参数内容一致，admin路径的笔记中保存的数据主要有notekey、noteid等信息，控制端通过admin参数获取受控端信息。

4、控制端发送控制命令并接收处理结果

控制端对notekey盐字符串和要执行的Shell命令按照固定格式进行拼接，然后进行AES加密，再将加密后的命令发送到路径为noteid的公开笔记中。

控制端向公开笔记中写入命令后会睡眠30s，这段时间受控端会接收到命令并返回命令执行结果，30秒后控制端从公开笔记noteid路径中读取受控端返回的数据。

下图是控制端发送whoami命令时的加密数据，图中字符串是加密后的控制命令。

由于该工具是开源的，其AES密钥硬编码在源码中，可以在源码中直接获取到密钥，利用AES解密工具直接对该加密控制命令进行解密还原，解密后可以看到控制命令是由盐字符串加命令本身拼接而成，冒号前的部分是盐字符串，也就是notekey，后半部分是控制命令”whoami”。

下图显示了控制端通过nodeid记录的路径接收命令执行的结果，通过AES解密工具可以看到返回了”whoami”命令查询到的受控主机用户名信息。

5、受控端接收命令并返回处理结果

受控端启动后会进入工作循环，每10秒读取一次noteid路径下的笔记，以检查是否有新的控制命令需要执行。

流量分析

该远控工具使用HTTPS进行加密通信，由于其命令与控制通过公开笔记网站进行中转，因此，其HTTPS单流特征与该平台的正常访问流量基本一致。不过，其受控端会周期性的持续访问公开笔记，以获取控制命令，因此其HTTPS多流行为会体现出类似心跳的特征；另外，该工具客户端与主流浏览器产生的TLS限定域指纹也不相同，这些都会使该工具的通信行为被加密流量检测设备发现。

总结

该远控工具有一个明显优点，它利用正常公开笔记网站进行远程控制，有一定能力规避流量设备的检测，干扰安全研究人员的判断。不过其也存在缺陷，一方面，其通信过程存在心跳特征，会一定程度上暴露其恶意行为；另一方面，该工具功能较少，基本只有命令执行的功能，难以处理复杂的攻防场景。不过该工具是开源的，攻击者可以进行二次开发，补全短板后将会大大提升该工具的威胁程度，观成科技安全研究团队会对此类加密通信远控工具进行持续的研究和分析。

上一篇：Lazarus组织木马化开源软件的加密通信分析下一篇：Donot组织多阶段通信过程分析

Lazarus组织木马化开源软件的加密通信分析

发布时间：2023-03-07

1 概述

Lazarus组织近期利用社交平台实施新型钓鱼攻击，通过社交平台诱导受害者使用被改造成木马的开源软件，从而获取到受害主机的控制权限。观成科技安全研究团队发现该组织在某次攻击活动中使用了被改造成木马的开源软件UltraVNC。UltraVNC是一款开源的远程管理工具，Lazarus组织在该工具中嵌入了恶意下载器。下载器会从C&C服务器（互联网失陷主机）获取恶意DLL并在内存中加载，与服务器的C&C通信全程使用HTTPS加密协议，加密载荷里的通信交互数据本身又使用了自定义的加密方式进行二次加密。

2 通信过程

该样本类型为ISO，其中包含两个文件：Amazon_Assessment.exe、ReadMe.txt。木马化UltraVNC执行后，通过HTTPS加密协议上传系统信息，从C&C服务器下载并执行扩展DLL文件。

图 2-1 木马化UltraVNC通信过程图

2.1 上线

木马化的UltraVNC获取注册表键值”\HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemManufacturer”，即受害主机的生产厂商信息和工作组名称，用“|”符号连接后进行Base64编码并附加在样本中硬编码的URL后面，形如：https://kaonnews.com/wp-admin/network/sitemap.php?2E9AE1F528B27A798D8BE424E4E7A4E6=。然后，URL使用单字节0x89进行异或加密，加密后的信息通过HTTPS加密协议发送给C&C服务器。见图2-1中的①。

图 2-2 上线包（HTTPS）

图 2-3 上线包（HTTPS解密后）

2.2 解密释放恶意DLL

攻击者通过社交平台诱导受害者使用木马化的UltraVNC连接ReadMe.txt中记录的IP 54.182.16.65后，见图2-1中的②。UltraVNC中攻击者添加的代码会计算该IP字符串的哈希值，将其作为密钥，循环异或解密样本中包含的恶意Dll文件，并在当前进程中加载运行。

2.3 上传系统信息

恶意DLL获取电脑名、系统磁盘信息、用户名、当前进程ID等信息，生成随机数作为通信校验的key（也用于URI生成）。

图 2-4 DLL中硬编码的通信URL

图 2-5 上传信息数据（加密前）

DLL对数据进行ZIP压缩+自定义加密+Base64编码处理后使用HTTPS加密上传到C&C服务器，见图2-1中的③。

图 2-6 上传系统信息（HTTPS）

图 2-7 POST上传系统信息（HTTPS解密后）

图 2-8 自定义加密算法

2.4 URI生成

DLL除上线包外使用的URI均随机生成，URI参数数量为1到3个。DLL首先生成第一个随机数用来选择不同的参数，参数列表如下图所示，再生成第二个随机数来决定参数的值，参数值可以是随机字符串，也可以是参数字符串与通信检验的Key加法运算后的数据。

图 2-9 通信随机选取的部分参数列表图

2.5 下发后续攻击载荷

该DLL在使用POST请求上传系统信息后，每分钟向目标URL发送无载荷GET请求，用来获取下阶段攻击载荷。C&C服务器下发的数据也经过了ZIP压缩+自定义加密+Base64编码。该DLL接收到下发的数据后解密，解密后的数据包含URL（用来替换样本通信的URL）以及扩展DLL文件，样本会加载运行下载的扩展DLL，作为下阶段攻击载荷，见图2-1中的④。

图 2-10 模拟服务器下发后续载荷格式图

3 总结

Lazarus组织在该款木马化开源工具中硬编码了多个常见的URL参数字段，发送心跳包时，使用随机数来选择参数、生成参数的值，导致了心跳包长度不固定，弱化了加密通信中的数据长度特征。Lazarus组织使用的C&C服务器为失陷主机，TLS通信证书为失陷主机的正常HTTPS业务证书，从而将攻击流量隐藏到了大量的正常HTTPS访问流量之中，阻碍了研究人员对其服务器特征的收集。但是该款木马化开源工具访问失陷主机的TLS客户端指纹和浏览器正常访问失陷主机的TLS客户端指纹是有较大差异的。另外该工具在请求后续载荷的时候有每分钟1次的心跳行为，虽然心跳包长度并不固定，但是长度是在一定范围内变化的，具有一定流行为特征。

上一篇：DeimosC2工具加密通信分析下一篇：另辟蹊径：揭秘一款通过公开笔记中转通信的新型远控工具

DeimosC2工具加密通信分析

发布时间：2023-03-21

1 概述

DeimosC2是一个开源的C&C框架，使用go语言编写。该C2工具实现了多种协议通信方法，例如HTTPS、QUIC、TCP、DOH、PIVOTTCP等。DeimosC2创建的每个监听器都有自己的RSA公钥和私钥对，用于加密随机生成的AES会话密钥，再用AES算法加密木马与C2之间的通信，外层使用HTTPS等加密协议封装，因此，即使HTTPS证书卸载后看到的C&C信息依然是加密的。

2 工具原理

DeimosC2工具生成的木马启动时会判断是否在可运行时间内，若不在，则休眠至指定时间，木马与C2通信数据使用了混合加密方式，AES加密数据，RSA加密AES密钥。木马在被控主机上运行后，会生成一个默认为36字节全零值的AgentKey，第一次连接后木马会生成的UUID替换这个AgentKey作为受控端ID号，从而可以区分不同的受控主机。AES会话密钥在每次木马与C2通信时随机产生，用于加密二者之间的通信信息。服务器在生成监听器（木马）时，会同时生成一对RSA公私钥，并将公钥写入监听器中，私钥由服务端储存，被控端使用RSA 公钥加密 AES会话密钥，服务器收到信息时使用RSA私钥解密消息得到AES密钥再解密得到数据。见下图。

2.1 被控端通信分析

第一次启动时，木马启动受害系统的shell来收集OS类型、当前用户、IP地址、执行路径等信息，见下图。

网络通信部分有个sendMsg函数，其作用是发送加密数据。首先，生成一个长度36字节默认全零值的AgentKey（连接成功后木马会用UUID替换默认AgentKey）。接下来生成一个长度为32字节的随机AES密钥，并将AESKey拼接到AgentKey后面，用随机数据填充到256字节长度，再使用内置的RSA公钥加密，得到256字节的密文1：Enc(AgentKey+AESKey+Padding)。接着使用生成的AES密钥加密要发送的数据，得到密文2：Enc(data)，第一次上线时data为被控端的系统信息，心跳包中data为空json格式头，如果获取了命令，则data部分是命令执行的结果。最后，将Enc(data)拼接到Enc(AgentKey+AESKey+Padding)后面，使用HTTPS将加密后的消息发送给服务端。见下图。

2.2 服务端通信分析

DeimosC2服务器创建监听端口会生成一个Apache的默认Ubunt页面，同时，服务端设置了TLS连接时的最低版本、证书颁发机构等，见下图。

服务端的handleConnections函数用来处理HTTPS连接，服务端收到数据后会提取存储的RSA私钥，并用私钥解密消息的前256字节，在从中提取前36字节的AgentKey，提取32字节的AESKey，使用AESKey解密256字节以后的data部分，见下图。

3 流量分析

&该工具HTTPS流量存在心跳的特征，虽然心跳时间是抖动的，但是心跳包的大小呈现一致性，且该工具客户端与主流浏览器产生的TLS限定域指纹也不相同，这些都会使该工具的通信行为被加密流量检测设备发现。

4 产品检测

观成瞰云（ENS）-加密威胁智能检测系统能够对deimosc2工具产生的HTTPS流量进行检测。

5 总结

利用deimosc2工具进行C&C通信，攻击者可以将通信内容加密从而规避传统明文流量设备的检测，但是基于人工智能、流行为特征和TLS限定域指纹检测的加密威胁智能检测系统能够检测此类加密通信行为。目前越来越多的攻击者利用加密通信的方式隐蔽攻击行为，观成科技安全研究团队会持续跟踪和研究各类加密通信恶意工具。

上一篇：利用虚假网站在中国传播的FatalRAT通信分析下一篇：另辟蹊径：揭秘一款通过公开笔记中转通信的新型远控工具

利用虚假网站在中国传播的FatalRAT通信分析

发布时间：2023-04-11

1 概述

近日，观成安全研究团队发现了一个使用木马安装程序来传递FatalRAT恶意软件的攻击活动。此次活动主要针对中国大陆及香港和台湾地区的华语人群，攻击者通过在Google搜索结果中植入购买的误导性广告，来诱骗受害者访问恶意的虚假网站如www.firefoxs.org，从而下载FatalRAT远控木马。该远控木马全程使用TCP协议与C&C服务器进行通信，并使用异或、加法运算以及Zlib将数据进行加密和压缩后传输。

2 执行流程

该样本的执行流程分为四个阶段。

第一阶段，执行木马安装程序MSI文件并释放多个加载FatalRAT所需组件(sccs.exe、libpng13.dll、Micr.jpg等)；

第二阶段，通过sccs.exe程序加载libpng13.dll，在内存中加载Micr.jpg(shellcode)，shellcode的功能是释放并执行下一段DLL；

第三阶段，第二阶段的DLL解密出最终载荷FatalRAT，并将其中加密的配置文件作为参数传递给FatalRAT的SVP7导出函数；

第四阶段，FatalRAT将窃取的数据使用自定义方式加密后，通过TCP协议和C2服务器的8081端口通信，进行数据传输。

图2-1 样本执行流程

3 通信过程

FatalRAT执行后，加密获取到的信息，通过TCP协议上传给C2服务器；C2服务器收到上线包后会发送控制指令，其支持的控制指令功能有捕获按键信息、终止浏览器进程并窃取或删除其存储的数据、下载并执行一个文件和执行shell命令等；受害机收到控制指令后将执行结果回传到C2服务器上。

图3-1 通信过程

3.1 上线包

样本获取主机名、用户名、CPU信息、安装时间、和DLL传递的参数，将获取到的信息进行多次加密处理（1.逐字节加121；2.逐字节异或0x15；3.Zlib压缩），加密后通过TCP协议上传到C2服务器。

图3-2 上线包

图3-3 获取的信息

3.2 控制指令

模拟服务器下发指令0x6B，获取当前进程和获取发送键盘记录情况，如下图所示，该木马可以正常解析并执行控制指令。

图3-4 服务器下发控制指令，Fatal回传执行结果

图3-5 解密后的数据

3.3 数据格式

1. 客户端 --> 服务端

客户端发送给服务器的数据由3字节的硬编码数据“53 56 09”、4字节压缩后的数据长度、4字节解压后的数据长度和4字节的固定数据“A6B71200”组成。如下图所示，样本收集了受害机的用户名、主机名和CPU信息等，构造上线包并发送给服务器。

图3-6 数据构造

图3-7 数据构造举例

2. 服务端 --> 客户端

服务器发送给客户端的控制指令数据由15字节的头部和1字节的控制指令构成。数据构造如下图所示。

图3-8 数据构造

图3-9 控制指令构造举例

4 产品检测

观成瞰云（ENS）— 加密威胁智能检测系统能够对FatalRAT远控木马的恶意TCP流量进行检出。

图4-1 TCP协议加密流量检测

5 总结

从2022年8月到2023年初，攻击者利用Google搜索结果中植入的虚假网站链接在中国境内传播FatalRAT木马，这种使用谷歌广告作为分发和传播恶意程序的活动数量近年来持续增加，攻击手法虽然老套，但依然十分奏效。

此次攻击采用TCP自定义加密通信，目前利用TCP等协议承载自定义加密载荷进行攻击的恶意软件活动、APT组织和各类黑客工具层出不穷。因自定义加密格式不定，变化灵活，导致这种加密流量检测的难度进一步提高。观成科技一直针对各类使用自定义加密的最新威胁保持密切跟踪，并随时更新方案进行应对。

上一篇：APT29近期利用CobaltStrike开展攻击活动下一篇：DeimosC2工具加密通信分析

APT29近期利用CobaltStrike开展攻击活动

发布时间：2023-04-25

1 概述

APT29又名Cozy Bear，是一个主要从事信息窃取和间谍活动的APT组织。

2023年4月13日，波兰军事反情报局发布了APT29攻击武器HALFRIG、QUARTERRIG和SNOWYAMBER的分析报告，这三个攻击武器都被用来加载CobaltStrike HTTPS Beacon。报告中C&C服务器配置和2021年攻击活动中的基本一致，CS配置文件中的水印也是从2021年起沿用至今的“1359593325”。

观成科技安全分析人员通过披露的IoC关联到了一个新Beacon文件snappy.dll，该样本连接的服务器sonike.com仍然存活，通过TLS协议与Beacon进行通信。除了公开披露的攻击活动外，我们在现网中也发现了APT29使用CobaltStrike对中国进行攻击的情况。

2 样本基本信息

通过公开报告中披露的文件Note.iso（SHA256:d1455c42553fab54e78c874525c812aaefb1f3cc69f9c314649bd6e4e57b9fa9），分析人员关联到了APT29的另一个CS Beacon文件snappy.dll。

图 2-1 CS配置文件

向服务器sonike.com发送上线包后，服务器响应内容如下图所示。攻击者利用Nginx代理来实现重定向，根据UserAgent字段进行有条件转发，将符合条件的请求转发到CS服务器，不符合条件的转发到Ubuntu官网，通过这种方式来隐藏C&C服务器。

图 2-2 CS服务器响应

APT29 2023年CS服务器的响应头和响应体与2021年的一致。

图 2-3 2023年和2021年服务器响应内容对比

3 流量分析

CS Beacon与服务器通过TLS协议进行通信，建立连接后的上线过程共产生了3个Application Data数据。

图 3-1 上线包

过滤Application Data数据后可以观察到重复的长度序列[627,469,214]，虽然通信数据经过了TLS协议的加密，但其心跳在数据包长度方面依然存在通信特征。

图 3-2 心跳包

4 产品检测

观成瞰云（ENS）-加密威胁智能检测系统能够对APT29 CobaltStrike的TLS心跳包进行检出，AI综合决策评分92分。

图 4-1 CobaltStrike检测告警

图 4-2 心跳包鱼骨图

5 总结

APT29在针对不同的攻击目标时，存在着武器复用、服务器配置复用的情况。该组织曾在2018年使用WellMess对日本开展了攻击，时隔4年之后，也在针对中国的窃密活动中使用了WellMess。在今年的最新活动中，APT29虽然替换了CS的配置文件，但依旧沿用了2021年利用重定向隐藏C&C服务器的方法。

CS Beacon虽然使用了TLS加密协议与服务器进行通信，但其数据包长度和心跳间隔仍然存在特征。观成瞰云（ENS）-加密威胁智能检测系统结合机器学习模型、流行为特征的综合决策实现了对CS TLS加密流量的检出。

上一篇：无下一篇：利用虚假网站在中国传播的FatalRAT通信分析

攻防演练场景资产失陷后常见加密流量概况

发布时间：2023-05-16

1 概述

在攻防演练期间，经过信息搜集、打点后，部分攻击者利用漏洞攻击、钓鱼等方式成功获得内网资产的控制权，为了保证对失陷资产的持续控制与后续扩大战果的需要，攻击者会上传木马运行，在失陷资产与外部控制端之间建立持续的通信信道。然而，在企业网络边界上通常部署了大量的网络防护和监测设备，因此，攻击者为了躲避流量监测设备的发现，会对其使用的命令与控制信道使用各种隐藏手段，如加密、编码、伪装、利用隐蔽隧道等。

2 攻防演练场景资产失陷后常见加密流量

我们可以将攻防演练场景中，内部资产失陷后常见的加密流量总结为两大类：正向C&C加密通道和反弹C&C加密通道。

正向的C&C加密通道，主要是HTTP/HTTPS的Webshell连接和正向HTTP隧道代理；反弹C&C加密通道包括：TLS/SSL木马回连以及各种隐蔽隧道通信。

能够在内外网之间构建加密C&C通道的工具有很多，有的工具小巧且专业，能够搭建某一种加密信道并灵活配置，如：dns2cat，icmptunnel等；有的则具备平台级的强大功能，可以生成具备多种加密隧道的攻击载荷，如：CobaltStrike，MSF等；另外，还可以组合隧道工具与平台级攻击载荷在极端条件下实现命令与控制，如：利用代理转发工具、隧道工具上线CS等，下面是一些攻击类型与攻击工具的梳理：

2.1 正向C&C加密通道

● HTTP/HTTPS Webshell连接

通常，针对Web服务的漏洞利用成功后，攻击者会上传Webshell，如：冰蝎、哥斯拉、蚁剑等。这些Webshell即能在失陷的Web服务器与攻击者之间维持命令执行通道，又能用来上传具有更强大功能的平台级木马。随着Web服务的全面加密化，Webshell的通信经过了HTTPS加密，即使能够解密HTTPS流量，其HTTP载荷中也会经过二次加密和编码，尽可能不暴露明文特征，给流量检测带来很大挑战，去年攻防演练第一天更新上线的冰蝎4.0版本，临时增加可自定义的加密通信方式，给防守方带来了一波突然袭击，让人记忆犹新。

往期回顾：冰蝎4.0 https://www.viewintech.com/html/articledetails.html?newsId=20

● HTTP隧道正向代理

当攻击者想要访问的内网资产无法出网时，可以通过在失陷的边界资产搭建HTTP隧道正向代理的方式，中转访问内网资产，常见工具包括reDuh，neo-regeorg等，其原理如下图：

2.2 反弹C&C加密通道

● TLS/SSL木马回连

出入企业网络边界最常见的加密协议是TLS/SSL，其广泛应用于Web服务、邮件服务、文件传输、移动APP等应用领域，可以保护用户通信数据的机密性和完整性。因此，大量攻击者同样通过TLS/SSL构建自己的恶意C&C加密通信信道，特别是网络边界设备通常不对出网的TLS/SSL流量做拦截，失陷资产上的木马可以通过这种方式将自己的流量混在大量访问网络正常应用的TLS/SSL加密流量中，神不知鬼不觉的与外网控制端维持C&C通信，这类工具或木马比较常见的像CobaltStrike、Sliver等，高水平的攻击者还会使用诸如：域前置、CDN、云函数等C&C隐匿技术，进一步隐藏自己的流量和控制端信息。

攻击者在构建真实的TLS/SSL加密C&C信道时，由于SSL证书的购买和认证需要填写真实身份信息，且价格不低，导致攻击者会倾向于使用免费或自签名证书，从而为检测提供线索。于是，有些攻击者使用Fake TLS或Shadow TLS的技术，利用知名网站的证书将其木马C&C通信的流量伪装成与白站的通信，再将自己实现的加密通信协议隐藏在TLS/SSL加密载荷中，从而做到逃避检测。

往期回顾：

Fake TLS https://www.viewintech.com/html/articledetails.html?newsId=22

Shadow TLS https://www.viewintech.com/html/articledetails.html?newsId=23

● 隐蔽隧道

在2022年攻防演练中，我们发现多起利用DNS隧道和ICMP隧道作为隐蔽信道的加密C&C通信事件，是最有代表性的隐蔽隧道通信方式。

DNS隧道

DNS是互联网上重要的域名服务，主要用于域名与IP地址的相互转换，因此，在企业网络中DNS流量通常不会被防火墙、入侵检测系统、安全软件等一般安全策略阻挡。攻击者利用这一特点使用DNS协议作为内外网之间通信的隐蔽信道，在攻防演练场景下常见的DNS隧道原理大致如下图所示：

攻击者攻陷内网资产后，植入木马，木马使用DNS协议中的子域名加密编码隐藏信息，并发出DNS请求查询；内网DNS服务器将查询转发到互联网DNS服务器，通常网络监测设备捕获的是位于这一段链路上的流量；外网DNS服务器经过递归查询重定向到伪造的DNS服务器，解析隐蔽传输的信息后利用DNS响应包返回控制命令；DNS响应包穿透网络边界最终返回到内网受控资产；受控资产上的木马解析响应包中的控制命令，继续后续攻击动作。

ICMP隧道

类似的，ICMP协议作为网络中传递控制信息的常见重要协议，往往限制较少或不加限制，所以攻击方在攻入内网后也可能使用ICMP协议的载荷数据（Data）部分隐蔽的进行控制指令或窃密数据的传输，这些被传输的内容大多数进行了加密保护。

如下图所示，利用ICMP回显请求和响应包（PING）载荷隐蔽实现C&C通信。

其他隧道

除此以外，利用应用层常见协议HTTP、SSH的隐蔽隧道，利用TCP、UDP载荷实现自定义协议的TCP、UDP隧道，或者支持多种隧道通信的各种代理转发工具，也是攻击者较常使用的隐蔽C&C通信手段，他们在不同的网络环境下，都具有穿透网络边界隐蔽传输数据的能力。在某些内网目标不能出网的环境，攻击者还可以组合使用各种隐蔽隧道、代理转发手段，来间接上线CS、MSF木马，实现远程控制。

往期回顾：隐蔽隧道https://www.viewintech.com/html/articledetails.html?newsId=21

3 总结

随着近年来，加密流量在攻防对抗中的使用频率越来越高，针对攻防演练场景下的加密流量威胁，特别是资产失陷后的加密C&C通信的检测，可以说是守护企业网络的最后一道防线。观成科技多年来专注于加密流量威胁检测技术研究，形成了一套综合利用多模型机器学习、指纹检测、行为检测、加密威胁情报的解决方案，对各种不同类型的加密威胁进行有针对性的检测。在2022年的攻防演练中，观成瞰云-加密威胁智能检测系统首次参与即有亮眼发挥，多次独家检出攻击失陷阶段的加密C&C通信行为，做到及时发现，及时预警，为客户最大程度减少损失做出贡献。

往期回顾：攻防演练场景下的加密威胁检测 https://www.viewintech.com/html/articledetails.html?newsId=16

上一篇：攻防演练篇：攻防演练场景中，加密视角下的威胁情报能力建设下一篇：利用虚假网站在中国传播的FatalRAT通信分析

攻防演练篇：攻防演练场景中，加密视角下的威胁情报能力建设

发布时间：2023-05-31

1 概述

攻防有道，兵马未动，情报先行，克敌制胜的先机往往就蕴藏在纷繁情报中，对情报的抽丝剥茧成为战略性关键因素。情报的获取，不仅仅关乎技术竞争的较量，更是一场看不见烟火的信息与谋略的攻守之战。在攻防演练中，亦是如此，威胁情报也是网络攻防中克敌制胜的关键所在。而随着攻防对抗转向加密化的趋势，构建和提升加密视角下的威胁情报能力，是对抗加密威胁的重要手段，也是更全面地掌握攻击方所采用的攻击方式、攻击技术、攻击策略等威胁情报信息的重要基础。

传统威胁情报，在面对加密流量威胁时，与安全产品的联动更多从IOC着手，对于加密流量的通信特征缺少关注。为解决这一问题，可以围绕加密资产信息、加密要素信息等加密特征，构建加密威胁情报能力，应对加密流量威胁。

2 基础威胁情报能力建设

在基础威胁情报能力的建设过程中，情报信息的采集与分析是威胁情报体系的基础，也是威胁情报体系建设过程中不可或缺的一个环节。通常，情报来源于内部和外部两个渠道，外部渠道包括公开漏洞、公开情报、网络攻击新闻、暗网信息、商业情报等，内部渠道包含攻击面、内部日志分析等。通过内部和外部两个渠道生产的威胁情报数据，融入加密威胁情报体系，引入大数据关联、AI深度学习、行为分析、同源分析等技术，提升对各类渠道获取的威胁情报进行分析研判效率，有效与安全运营中心及其他网络安全产品进行融合，提升威胁检测能力。

3 加密威胁情报能力提升

在攻防演练场景中，对于加密威胁情报能力，可以从四个方面进行建设和提升，分别是风险加密资产识别、限定域指纹构建、同源加密威胁关联和攻击设施主动探测。

3.1 风险加密资产识别

资产盘点与暴露面收敛是攻防演练启动阶段和备战阶段需要重点关注的事项，对加密资产进行盘点及风险收敛同样重要。从加密要素角度出发，可以从三个方面识别风险加密资产：

● 加密协议层面：关注协议版本、加密套件、扩展项，尤其是使用低版本协议、弱加密算法、弱签名算法的资产；

● 数字证书层面：关注证书版本、证书序列号、证书有效期、证书自签名、证书颁发者与使用者、证书扩展性、证书公钥、证书签名、证书链，尤其是过期证书、自签名证书；

● 加密数据层面：关注加密算法，尤其是使用弱加密算法对数据进行加密处理的资产。

3.2 限定域指纹构造

常见针对加密资产的指纹，如JA3、JA3S和JARM等，可以有效识别目标加密资产，但也同样面临着指纹碰撞的问题，当这些指纹应用于加密威胁情报时，就会产生一定误报。为提升指纹准确性，可以基于加密要素信息，进一步构造更为精确的限定域指纹库。

限定域指纹可以针对客户端和服务端分别展开，主要依据TLS版本、加密套件、扩展信息及其他信息进行计算得到。在一些场景下，可以联合客户端和服务端信息，进一步提升准确性，构建完全限定域指纹应用于威胁检测中。

3.3 同源加密威胁关联

同类别的网络资产具有一定的相似性，而加密资产同样具有类似的特征，可以基于网络空间资产测绘技术，有效结合攻击方使用的攻击武器、攻击资源中所提取的加密要素信息，针对攻防演练场景下的黑客工具、热门商业木马及恶意家族等进行精细化威胁关联，快速发现同源加密威胁，达到“克敌机先”的效果。

比如，针对HTTPS协议的网络资产，我们可以从响应头、响应体及证书等多个维度提取相似性特征，通过这些相似性特征，我们可以进一步关联与挖掘。通过这种方式，可以对已发现的攻击设施进一步延伸和拓展，形成同源加密威胁资产列表，应用于加密威胁感知中。

3.4 攻击设施主动探测

反向C&C通道是攻防演练场景下的常用通信手段，而C&C的识别与发现是加密威胁情报能力的重要体现。在前期准备阶段，需要跟踪分析黑客工具、热门商业木马及恶意家族，可以基于通信样本的行为特征、通信信息和加密要素信息，提取加密特征，构造上线包、心跳包与指令响应包，进而进行主动探测获取C&C信息，提前掌握攻击设施。

在保障阶段，需要及时应对变种攻击，从变种中发现固定特征或变化特征。对于固定特征，本质属于同类威胁，一部分可以在同源加密威胁关联中发现，另一部分可以主动探测中掌握。对于变化特征，应及时构造探测特征并进行实时探测，获取相关配置C&C信息，实时感知并掌握攻击方攻击设施资源。

4 总结

近年来，随着加密手段在网络攻击中占比不断攀升，攻防演练场景下的加密方式也日趋多样与复杂，加密威胁逐步成为传统安全产品面临的重要挑战。观成科技基于多年来在加密网络空间的威胁检测、威胁分析、威胁挖掘、威胁探测、威胁响应和威胁处置能力，形成具有加密要素多层面解析、同源威胁精细化关联、攻击设施深度挖掘和AI驱动高质量情报生产等特色的加密威胁情报平台，可以有效补充传统安全产品加密威胁检测能力。在2022年的攻防演练中，观成瞰雾-加密威胁情报平台首次参与即有亮眼发挥，多次输出关键加密威胁情报，补齐安全产品加密威胁检测能力，做到“先知先防”，为客户最大程度减少损失做出贡献。

上一篇：无下一篇：利用虚假网站在中国传播的FatalRAT通信分析

恶意软件类型	产生加密流量类型
特洛伊木马	C&C直连、白站隐蔽中转、检测主机联网环境、其它
勒索软件	C&C直连
感染式	C&C直连、母体正常流量、其它
蠕虫病毒	C&C直连、蠕虫传播
下载器	白站隐蔽中转、其它
其它	C&C直连、广告流量等

AI检测引擎发布，有效应对恶意加密流量

更多新闻

恶意加密流量检测 | 观成ENS有效检出三款热门黑客工具（冰蝎、哥斯拉、CobaltStrike）

更多新闻

恶意软件加密通信概要分析

更多新闻

观成科技李波：基于加密威胁的检测和防御势在必行

更多新闻

加密威胁检测：创新流量安全解决方案

更多新闻

威胁加密通信方式的多样化带来的挑战

更多新闻

加密威胁的变化趋势及应对策略思考

更多新闻

一张“鱼骨图”了解CCIA总决赛上的冠军产品

更多新闻

Go语言木马加密通信分析与检测

更多新闻

信息安全研究 | 基于机器学习多模型的SSL加密威胁检测技术研究和应用

更多新闻

利用DoH技术加密传输的DNS隧道流量检测分析

更多新闻

Ghostwriter攻击活动中的加密通信

更多新闻

【涨知识】SiMayRAT：利用云文档HTTPS加密传输的远控家族

更多新闻

攻防演练场景下的加密流量概况

更多新闻

新型Android APP注入工具产生恶意加密流量

更多新闻

攻防演练场景中的加密流量检测技术

更多新闻

利用Follina漏洞网络攻击的加密流量分析

更多新闻

一种使用TCP自定义加密通信的APT样本分析

更多新闻

SideWinder诱饵文档加密流量分析

更多新闻

攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量

更多新闻

攻防演练 | 隐蔽隧道怎么防？

更多新闻

FakeTLS恶意加密流量分析

更多新闻

【观成科技】Shadow-TLS隐蔽加密通道工具技术分析

更多新闻

Brute Ratel C4（BRC4）攻击框架TLS加密流量分析

更多新闻

疑似OilRig组织Powershell后门分析

更多新闻

ABPTTS加密HTTP隧道工具流量分析

更多新闻

Zscaler：85%的攻击使用加密通道

更多新闻

响尾蛇组织窃密木马通信分析

更多新闻

基于Gost工具的ICMP隐蔽隧道通信分析

更多新闻

Donot组织多阶段通信过程分析

更多新闻

另辟蹊径：揭秘一款通过公开笔记中转通信的新型远控工具

更多新闻

Lazarus组织木马化开源软件的加密通信分析

更多新闻

DeimosC2工具加密通信分析

更多新闻

利用虚假网站在中国传播的FatalRAT通信分析

更多新闻

APT29近期利用CobaltStrike开展攻击活动

更多新闻

攻防演练场景资产失陷后常见加密流量概况

更多新闻

攻防演练篇：攻防演练场景中，加密视角下的威胁情报能力建设

更多新闻