数字经济的安全基石
AI智能体专区
AI智能体专区业内首个落地的自主安全智能体(AI Agent)，预置数百个原子级安全智能体，革命性采用任务驱动多智能体协同模式。
恒脑安全智能体以硬核实力为网络安全、数据安全保驾护航。让工具更睿智，让知识更智慧，让安全更智能!
AI安服数字员工融合人工智能与网络安全的专业服务体系，为企业提供全方位的Al安全咨询、威胁检测、安全运营等一站式解决方案，让安全防护更智能、更高效、更可靠。
全生命周期安全防护，智能体驱动效能提升，场景化联动管控。
多云一体、融合安全、闭环运营
多场景应用提升安全运营能力
安全态势感知与管控
全方位守护工业信息网络安全
AI数据分类分级，让分类分级快人一步！
HVV利器，即日起，免费试用三个月！
有效实现数据“供得出、流得动、用得好、保安全”的数据流通利用基础设施
7×24 小时全维度托管模式实现企业网络安全无忧化管理，全方位满足企业业务安全运行与合规监管的双重需求。
构建大模型全生命周期防护架构，强化多维度安全能力
对本地AI服务提供者开展日常监督、备案审查工作
智算全栈安全方案，算网安协同，合规高效
监控感知应急全套流程的安全监管机制
一站式意识教育解决方案
行业解决方案
技术解决方案
全生命周期安全防护，智能体驱动效能提升，场景化联动管控。
多云一体、融合安全、闭环运营
多场景应用提升安全运营能力
安全态势感知与管控
全方位守护工业信息网络安全
AI数据分类分级，让分类分级快人一步！
HVV利器，即日起，免费试用三个月！
有效实现数据“供得出、流得动、用得好、保安全”的数据流通利用基础设施
7×24 小时全维度托管模式实现企业网络安全无忧化管理，全方位满足企业业务安全运行与合规监管的双重需求。
场景解决方案
构建大模型全生命周期防护架构，强化多维度安全能力
对本地AI服务提供者开展日常监督、备案审查工作
智算全栈安全方案，算网安协同，合规高效
监控感知应急全套流程的安全监管机制
安全意识教育解决方案
一站式意识教育解决方案
摘要
Lazarus是来自朝鲜的APT组织，该组织通常使用鱼叉式钓鱼邮件作为样本投递手段，主要以韩国和美国为攻击目标，其攻击活动还涉及金融和数字货币等领域。本次分析结合了网络空间测绘探测技术跟踪到该组织相关Rat程序的网络基础设施活动痕迹。
背景
本次获取到的三个Lazarus组织样本公开时间在2019年6月左右，被ExeStealth V2壳加密。三份样本的架构和硬编码C2完全一致。样本主体是Lazarus组织使用的Rat程序，属于APT攻击感染链的末端。Rat中的C2通信指令非常基础，可通过不同的组合构造出高级指令，功能至少包括文件上传、路径遍历、文件下载和远程执行等。
样本分析
伪装信息
样本利用伪造的资源信息，伪装成“Adobe Reader”的可执行程序：
壳信息
样本使用ExeStealth V2壳：
使用SEH进行反调试：
字符串加密
样本使用了多种字符串加密手段，其中最主要的解密方法是部分字符位移，函数和部分字符串使用的解密秘钥不同，但整体架构一致，下面给出解密脚本：
从样本中共解密出101个函数和一些特征字符串信息，解码后的样本主要编程环境为朝鲜语（ko-KR），通信使用的User-Agent为“User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) Chrome/28.0.1500.95 Safari/537.36”。
伪装的服务端信息：
以表单方式上传：
提交数据的POST路径：
虚假证书
样本利用以下网站域名制作的虚假证书进行通信：
内置脚本
样本中硬编码的脚本如下：
C2指令
共分析出28个C2功能，C2指令流程图如下：
C2指令中包含非常多的基础功能，包括文件获取、磁盘遍历、写文件、重启删除、进程创建、CMD命令执行等，通过组合方式构造成高级指令执行。
与友商分析的其他样本在指令区间有稍有不同，大于0x12348C或小于0x123459都无效，0x12347A为操作成功指令码、0x12345C为操作失败指令码。
内置IP
样本内置的两个IP地址分别为218.103.37.229和23.115.75.188。
活动跟踪
2019年9月美国宣布加强对朝鲜的制裁，本次分析的Lazarus样本活跃时期初步推测在该轮制裁之前。通过网络空间测绘探测技术，我们了解到IP：23.115.75.188在2019年6月1日开放过443端口：
另一基础设施IP：218.103.37.229在2019年8月28日开放过FTP端口：
网络空间测绘得到的线索与我们从样本中获知的信息相对应，从另一维度向我们描述Lazarus组织的网络活动痕迹。
参考链接
https://www.secpulse.com/archives/99324.html
https://www.freebuf.com/articles/network/164511.html
https://www.freebuf.com/sectool/154259.html
IOC
立即体验恒脑安全智能体 
立即解锁AI安服数字员工 
<i id='d16cd'><strike id='c349f'><tt id='2b43e'><pre id='5faa0'></pre></tt></strike></i>