瞄准Windows的新兴僵尸网络:Kraken

2021 年 10 月,ZeroFox Intelligence 披露了名为 Kraken 的僵尸网络。Kraken 通过 SmokeLoader 进行传播,每次更新攻击基础设施时都会扩大规模。尽管与 2008 年发现的 Kraken 僵尸网络同名,但二者并没有其他共同点。

功能

自从 2021 年 10 月以来,Kraken 僵尸网络一直在针对 Windows 积极开发。尽管 Bot 的功能相对简单,但攻击者一直在持续更新。其具有的典型功能如下:

持久化

收集主机信息

下载并执行程序

远程命令执行

窃取加密货币钱包

屏幕截图

开端

Kraken 的早期版本在 2021 年 10 月 10 日被上传到 GitHub 上,该版本的源代码早于在野发现的任何样本。但目前尚不清楚,GitHub 上的代码是否属于攻击者或者是攻击者只是利用了该代码进行开发。

image.png-423.9kB

早期版本代码

感染

Kraken 在 SmokeLoader 下载的自解压 RAR SFX 文件中进行传播。SFX 文件中包含一个 UPX 加壳的 Kraken、一个 RedLine Stealer 和一个用于删除 Kraken 的程序。后续版本除了使用 UPX 加壳,也使用 Themida 进行加壳。

image.png-327.6kB

SFX 文件

持久化

Kraken 会将自身移动到 %AppData%\Microsoft处。文件名是硬编码的,诸如 taskhost.exeRegistry.exe和 Windows Defender GEO.exe等。

为了持久化隐藏,Kraken 运行以下两个命令:

powershell -Command Add-MpPreference -ExclusionPath %APPDATA%\Microsoft

attrib +S +H %APPDATA%\Microsoft\

PowerShell 命令控制 Microsoft Defender 不扫描 Kraken 所在目录,而 attrib 控制文件隐藏。

Kraken 利用注册表保持系统启动时自启动。

image.png-82.7kB

注册表项

注册表键值的名称是另一个硬编码值,早期版本名为 Networking Service,后期使用 Networking5 Servic1eNetworking5r Servirc1er等。

image.png-102.2kB

注册表项

每个版本中都保持不变的是:

ID:混淆的 UUID

INSTALL:安装时间戳

LAST:空

NAME:混淆的文件和运行密钥

REMASTER:nil

VERSION:0.5.6

特征

Kraken 的功能相对其他僵尸网络仍然是十分简单的,主要将失陷主机的相关信息回传给 C&C 服务器。收集信息如下所示:

主机名

用户名

构建 ID(TEST_BUILD_+第一次运行的时间戳)

CPU 信息

GPU 信息

操作系统和版本

Kraken 最初用于更新 Bot、执行 Payload 以及接收文件等功能的下载文件功能,在最新版本中已经合并为一个。

攻击者曾经也增加了 SSH 爆破功能,但很快就被删除了。C&C 服务器发送 ScreenShot命令,样本就会截取系统的屏幕截图。

最近添加的功能是窃取加密货币钱包:

%AppData%\Zcash

%AppData%\Armory

%AppData%\bytecoin

%AppData%\Electrum\wallets

%AppData%\Ethereum\keystore

%AppData%\Exodus\exodus.wallet

%AppData%\Guarda\Local Storage\leveldb

%AppData%\atomic\Local Storage\leveldb

%AppData%\com.liberty.jaxx\IndexedDB\file__0.indexeddb.leveldb

目前支持的命令有:

Position

ScreenShot

SHELL

UPLOAD

image.png-220.7kB

命令解析代码

控制面板

自从 2021 年 10 月以来,控制面板已经更新了很多版本。尽管 GitHub 上的源码包含 C&C 服务器的代码,但是并不包含控制面板。

Kraken

最初的面板是 Kraken面板,提供了基本的数据统计、上传下载 Payload 以及与批量受控主机交互等功能。

image.png-234.2kB

控制面板

Anubis

当前的控制面板为 Anubis面板,提供的信息比原有面板多得多。可以查看历史命令记录与有关受害者的相关信息。

image.png-447.7kB

控制面板

Anubis面板在后续更新中增加了选择目标执行的能力,这样可以更精细地控制攻击目标。

image.png-84.5kB

指定运行

image.png-436.5kB

历史记录

随着 Kraken 僵尸网络规模的不断扩大,也在部署其他信息窃密程序和挖矿程序,僵尸网络挖矿每月的收入大概在 3000 美元左右。

image.png-214.8kB

矿池信息

结论

Kraken 的活动曾经一度减弱,但在短时间内就会启用新端口或者新的 C&C 服务器。通过对命令的监控,攻击者专注于部署信息窃密程序,特别是 RedLine Stealer。

来源:FreeBuf.COM