6月27日晚，乌克兰境内多个政府组织和重要企业的电脑遭遇恶意软件攻击，致使多地出网络中断和电脑故障           政府无法正常办公，企业无法正常运营。事后，ESET把这次攻击的恶意软件检测为Diskcoder.C也就是我们这两天           常听的ExPetr，PetrWrap，Petya或NotPetya。Diskcoder.C像典型的恶意软件一样能够加密计算机上的数据并勒索         价值300美金的比特币。

ESET将这次攻击归因于“TeleBots”组织，并发现了有关乌克兰其他类似攻击的详细信息。本文介DiskCoder.C           攻击期间使用的初始分布向量的详细信息。

ESET在一篇博文中称，“2016年下半年，ESET研究人员识别出一款独特的恶意工具集，针对乌克兰金融行业           的高价值目标实施网络攻击。我们认为，攻击者使用这些工具的主要目标是进行网络破坏。而发起此次攻击的恶意           软件TeleBots及其背后团伙与BlackEnergy黑客组织存在众多相似之处。BlackEnergy2015年12月与2016年1月曾对         乌克兰的能源行业发起网络攻击。事实上，我们认为BlackEnergy组织已经变身TeleBots组织。”

        乌克兰国家警察网络部在其Facebook帐户上表示：“如ESET和其他信息安全公司分析的那样，攻击者利用本国的合法会计软件M.E.Doc来传播DiskCoder.C。”

不过到目前为止，关于其具体的传播细节，官方还没有公布。而在ESET的研究中，他们发现一个M.E.Doc非             常隐秘的后门，这使得攻击者可以轻松将DiskCoder.C注入到M.E.Doc的合法模块中，否则攻击者似乎不太可能通             过访问M.E.Doc源代码的方式进行注入。

后门模块的文件名为ZvitPublishedObjects.dll，它是使用.NET Framework编写的，文件大小是5MB，其中包含很           多可以由其他组件调用的合法代码，比如M.E.Doc可执行文件主要的主执行模块ezvit.exe。

ESET的专家们检查了2017年发布的所有M.E.Doc更新，并发现至少有三个更新包含后门模块，它们分别是：

Win32 / Filecoder.AESNI.C事件发生在10.01.180-10.01.181更新三天后，DiskCoder.C在10.01.188-10.01.189           更新五天    后爆发。有趣的是，从2017年4月24日至2017年5月10日出现了四个更新，以及从2017年5月17日至                 2017年6月21日出现了七个软件更新，在这些更新中并没有包含后门模块。

由于5月15日更新中确实包含了后门模块，而5月17日的更新却没有包含该更新，这就可以解释为什么                         Win32/Filecoder.AESNI.C事件的感染率非常低，因为5月17日的更新是攻击者未预料到的事，而当他们在5月18日           推送出了Win32/Filecoder.AESNI.C后，大部分M.E.Doc的用户的后门模块已经被更新。分析文件的PE编译时间表           明，这些文件是在更新当天或更新的前一天同时进行期编译的，下图就是5月15日更新后推送的模块的编译时间               戳。

MeCom类是由ZvitPublishedObjects.Server命名空间中UpdaterUtils的IsNewUpdate方法调用。通过定期调用          IsNewUpdate方法，以检查是否有新的更新可用。可以看出从5月15日起的后门模块的注入方式就发生了变化，因            为相比于6月22日的功能更加丰富。

在乌克兰开展商业活动时，每个组织都会获得一个单独的法人实体标识符，称为EDRPOU号码                                     （КодЄДРПОУ）。         这对攻击者来说是非常重要的，一旦攻击者拥有EDRPOU号码，他们就可以确定正在使用         具有后门的M.E.Doc的确切组织。一旦攻击对象确定，攻击者就可以根据攻击目标来制定对应的网络攻击策略。

在乌克兰， 由于M.E.Doc是企业最常用的会计软件，因此企业的EDRPOU号码可以在使用M.E.Doc的设备上的           应用程序数据中被找到。在IsNewUpdate方法中注入的代码会从应用程序数据中收集所有EDRPOU值，由于一个             M.E.Doc实例可同时为多个组织执行会计操作，因此后门代码会收集所有可能的EDRPOU值，下图就是收集                       EDRPOU号码的代码：

除了收集EDRPOU号码，攻击者还会利用后门从M.E.Doc应用程序收集代理和电子邮件设置，其中就包括用户           名和密码。我们建议使用M.E.Doc软件的所有用户赶紧更改代理密码和电子邮件帐户。

恶意代码使用Cred和Prx值将收集的信息写入HKEY_CURRENT_USER  SOFTWARE  WC密钥的Windows注册         表中。因此，如果这些值存在于计算机上，则后门模块很可能就在该计算机上运行。

该后门非常的隐蔽，不使用任何外部服务器作为C＆C，仅使用M.E.Doc软件的常规更新检查请求进入官方                   M.E.Doc服务器upd.me-doc.com[.]ua。这种伪装的请求与合法请求的唯一区别是后门代码将收集的信息发送到                 Cookie，下图就是在Cookie中包含EDRPOU号码的后门模块的HTTP请求：

本文分析显示，该后门为一个完美的攻击计划和恶意操作创造了良好的条件。假设攻击者可以访问M.E.Doc应            用程序源代码，则他们有时间学习代码，并加入了一个非常隐蔽的后门。完整的M.E.Doc安装的大小约为1.5GB，            ESET的专家目前还没有办法验证是否还存在除了MeCom之外的其他注入后门。

另外有待考证的是，这个后门使用了多长时间？ 除了DiskCoder.C或Win32 / Filecoder.AESNI.C以外，还有哪些命          令和恶意软件使用了此后门就行过传播？有没有其他的软件更新参与过传播？

本文翻译自：https://www.welivesecurity.com/2017/07/04/analysis-of-telebots-cunning-backdoor/ ，                  来源于嘶吼： http://www.4hou.com/technology/6111.html