【护网实战】一次红队供应链攻击的溯源

# 【溯源实战】一次红队供应链攻击的溯源

> 这次国家级护网项目最特殊的攻击，供应链攻击，感觉值得记录一下，其中攻击者的反侦察手段很高超，清空了大量有关日志和数据，可惜遇上了精通数据恢复的博主 嘿嘿

> 后期还联系上了那次供应链红队的人，我们的蓝队排查安排了经典案例，他说他的案例也被安排了经典案例

> 敏感信息太多用x和马赛克来隐藏，可能影响观看，见谅

[TOC]

通过某安全设备，发现攻击者源IP【124.64.xx.xx】攻击招标平台，【60.205.xxx.xx】->跳板机【10.1.84.90，10.1.84.30】，对攻击源IP进行溯源信息如下：
## 初步溯源
IP：60.205.xxx.xx
域名：puyxxx.com，weilxxxxx.com
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011649113231717.png)

IP：124.64.xx.xx
姓名：郭xx
手机：138xxxxxxxx
邮箱：gxxxxx@163.com
域名：www.utpxx.xx
具体溯源路径如下：
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011648172637814.png)
通过攻击者攻击ip，发现【域名】与域名注册者【姓名邮箱】
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011650238731231.png)

## 判断攻击影响面
两台内网设备是
IP【10.1.84.30】，地址位置为【北楼8层办公室】为办公网终端
IP【10.1.84.90】，地址位置为【北楼8层办公室】为办公网终端

## 梳理攻击路径
攻击内网全路径行为如下
【攻击源「124.64.xx.xx」，通过「爆破、弱口令」手法，拿下「有色招采系统测试用户」，系统IP为47.95.xxx.xxx】
【攻击源「60.205.xxx.xx」，猜测通过「爆破、弱口令」手法，拿下「国信创新运营中心登录权限」，系统IP为47.95.xx.x】
【攻击源「60.205.xxx.xx」，通过xx创新运营中心平台进行下发软件更新任务**将恶意软件作为更新目标**的供应的链打击攻击手法，拿下两台内网终端，系统IP为10.1.84.90、10.1.84.30】
【攻击源「60.205.xxx.xx」->「10.1.84.90、10.1.84.30」，拖取系统cookie等敏感信息】
【攻击源攻击源「60.205.xxx.xx」->「10.1.84.90、10.1.84.30」，开始对内网发起横向】

攻击路径详细证明如下：
【攻击源「124.64.xx.xxx」，通过「弱口令」手法，拿下「xx招采系统测试用户」，系统IP为47.95.xxx.xxx】，相关截图如下：
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011655332626190.png)

发现四川成都的ip有过异常报错事件，并且使用safari浏览器(apple)，一般国企是不会用mac的
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011656358893099.png)

发现系统内部有test6定时任务询问相关软件运营表示未设置，查看日志表示攻击者使用ip【124.64.23.244】创建的计划任务
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011657003949203.png)

![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011657225503797.png)

## 上被控机分析
根据上面的信息，我们重新梳理一波攻击者的攻击路径

【攻击源「60.205.xxx.xx」，推测通过「爆破、弱口令」手法，拿下「国信创新运营中心登录权限」，系统IP为47.95.xx.x】相关描述如下：
	时间【2022/7/29 08:43】开始，国贸公司员工发现软件需要更新。也就是受到供应链攻击的第一时间。恶意软件下发者为供应链上游，推测攻击者通过「爆破、弱口令」手法，拿下「xx创新运营中心登录权限」。
【攻击源「60.205.xxx.xx」，通过xx创新运营中心平台进行下发恶意软件供应的链打击攻击手法，拿下两台内网终端，系统IP为10.1.84.90、10.1.84.30】相关截图如下：

#### 攻击者触发的更新公告:
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011659059307693.png)

### 内网蜜罐捕获到内网攻击流量
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011659437184674.png)

### 找出攻击者被删掉的尾巴-数据恢复手段
启动抓包软件分析，发现客户端启动时会请求xx创新运营中心服务器的最新版本接口。
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011701183407023.png)

打开客户端日志，未发现有特殊的日志
通过winhex电子取证软件打开，发现一处被删除的文件日志的文件记录表项
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011702173100862.png)

跳转到目录表项的指定扇区，尝试导出删除文件后发现是7月29日本次更新的log
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011702419283839.png)

将被删除的日志恢复
分析本地客户端更新日志，发现在【2022/7/29 15:57】更新了版本信息。但是和供应方沟通，表示并无更新，所以本次更新行为属于供应链打击。
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011703333894946.png)

由于攻击者尾巴收拾的很干净，于是直接通过数据恢复手段继续挖掘跟新包
搜索发现7月29日有更新并且文件被删除，并且文件指针指向空地址
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011704467639542.png)

继续通过winhex分析，向上搜索4D5A的MZ文件，发现开头的疑似exe文件，大致推断是删除exe时重写写入新的exe覆盖了原有的NTFS $MFT元文件中的文件记录表指针

![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011705049093903.png)
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011705135363962.png)

尝试恢复此exe文件后发现是恶意文件，并有回连地址【60.205.xxx.xx】
到此就抓住了攻击者企图删除的所有文件
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011706411268849.png)
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011706544574527.png)

## 继续挖掘攻击者在被控机器上的操作
【攻击源「60.205.179.97」->「10.1.84.90、10.1.84.30」，拖取系统cookie等敏感信息】
在【07月29日17:27:19-07月29日17:27:38】期间拖取浏览器cookie
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011708346047185.png)
发现xxx.xxxx.com.cn与www.xxxx.com.cn的cookie被窃取
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011708416250249.png)

在跳板机【10.1.84.90、10.1.84.30】发现浏览器本地数据库被拷贝到，拖取系统cookie同一目录下，应该是用了某种工具
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011709043756086.png)
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011709133577000.png)

分析后发现攻击者拿取到的是浏览器下载文件列表，浏览记录，账密等敏感信息（完了，这回红队拿大分了）
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011709502901605.png)

【攻击源攻击源「60.205.179.97」->「10.1.84.90、10.1.84.30」，开始对内网发起横向】
10.1.84.30踩蜜罐+web目录扫描
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011710106096012.png)

10.1.84.90踩蜜罐
![](https://cz.caozhexxgweb.cn/zb_users/upload/2024/11/202411011710245123845.png)

到这就结束了整个共计还算控制的及时，没被拿到太多的机器