PhonyC2：揭示MuddyWater的新恶意命令和控制框架

Deep Instinct的威胁研究团队已经确定了一个新的C2(命令与控制)框架，C2框架是定制的，持续开发的，至少从2021年起就被MuddyWater集团使用，该框架被命名为PhonyC2，用于攻击以色列理工学院，目前被MuddyWater用于活跃的PaperCut漏洞利用活动，PhonyC2类似于之前由MuddyWater创建的C2框架——MuddyC3。MuddyWater正在不断更新PhonyC2框架并更改TTPs以避免检测，这可以从本文和PhonyC2泄露代码的调查中看到。MuddyWater使用社会工程作为其主要的初始接入点，因此它们可以感染完全打过补丁的系统，组织应继续强化系统并监视PowerShell活动。

除了PhonyC2的zip文件外，Sicehice还上传了在服务器上找到的其他文件，包括“.bash_history”文件，该文件揭示了威胁参与者在服务器上运行的命令：

图2：.bash_history文件的开头

图4：Please_Run_Once.py代码

图5：第 13-20 行中随机 UUID 的 config.py 示例

在图 6 中，配置文件包含各种 PowerShell 命令，这些命令是框架使用的不同有效负载。

main.py 文件很小，可以启动多线程 Web 服务器和一个命令行侦听器，从这段代码中，我们看到名称“PhonyC2”在内部使用：

webserver.py 负责为 C2 框架有效负载提供服务：

图8显示了之前框架迭代中注释掉的路由名的残余部分，这些路由名在这次框架迭代中被config.py文件中的随机UUID替换(图5中的第13-20行)。

Commandline.py 接收来自命令行操作符的命令并打印 C2 执行的各种操作的输出：

图 9 和图 5 是名为“C：programdatadb.sqlite”和“db.ps1”的文件的代码，在微软关于以色列理工学院黑客攻击的报告中，这两个文件都以相同的名称和路径被提及。

虽然微软报告中的恶意文件没有公开供检查，但微软报告中出现的与PhonyC2相关的IP地址与这些文件名相结合有力地证明了在对以色列理工学院的攻击中使用了PhonyC2框架。此外，C2框架创建的文件被检测为“PowerShell/Downloader.SB”，微软在他们的博客中使用了相同的检测名称。

由于这两个文件都是由C2框架动态生成的，因此它们在框架的每次执行中略有不同，因此，阻止微软提供的哈希并不是完全有效的。

虽然看起来有很多选项和输出，但如果我们理解代码的作用，C2实际上很简单。

这个C2是一个后渗透利用框架，用于生成各种有效载荷，这些载荷连接回C2并等待操作的指令来执行“入侵杀伤链”的最后一步。

“有效载荷”命令:

• PowerShell命令创建一个http请求到C2以接收一个加密文件，并将其保存为“c:programdatadb.sqlite”。
• PowerShell命令将base64解码的内容写入“c:programdatadb.ps1”。

PowerShell命令执行db.ps1，然后读取和解码db.sqlite并在内存中执行结果。

从本质上讲，这是在受感染主机上执行的单行代码，因此它将信标返回到 C2。

图13：来自 C2 服务器的 HTML 响应，用于步骤 #1

“dropper”命令：

此命令仅为步骤 （1） 创建 PowerShell 命令的不同变体。

“Ex3cut3”命令:

这个命令为步骤(2)和步骤(3)创建不同的PowerShell命令变体:

如果选择了“use”命令，则其他命令可用：

“persist”和其他命令：

这些附加命令中的大多数都是不言自明的，唯一有趣的命令是“persist”。

" persist "命令用于生成PowerShell代码，使操作人员能够获得受感染主机上的持久性，以便在受感染主机重新启动时连接回C2。

此外，当操作员执行“persist”命令时，它将加密的有效载荷写入“HKLMSoftware”中预定义的随机注册表路径。这可以在commandline.py中部分看到(图22)，同时一些值存储在config.py中。

加密的有效负载是“persist_payload_2022.ps1”的略微修改版本，同时该载荷也是促成整个调查分析的代码。

• 通过在连接到PhonyC2的机器上执行“persist”，C2将加密的有效负载写入注册表
• 在Windows注册表添加注册表项来运行一个启动项目录的utils.jse的脚本文件，该脚本文件实际位于C:intelutils目录
• 如果目录c:intelutils不存在，则创建该目录
• 将当前目录更改为c:intelutils
• 解码base64二进制代码并将其写入utils.jse

• 在 HKLM：\SOFTWARE\<random> （iCXqExISMHV） 上创建一个具有随机名称 （fmoopWgmBla） 的注册表项，其内容类似于以下内容：

• 重新启动计算机时，注册表项会执行 utils.jse 脚本

• utils.jse 脚本从图 23 所示相关注册表中读取并执行内容

• 图 25 中的 PowerShell 代码连接到 C&C 服务器，以接收和执行类似于以下内容的代码：

PhonyC2的当前版本是用Python3编写的，它在结构和功能上与MuddyWater之前用Python2编写的自定义C2框架——MuddyC3相似。

此 IP 的被动 DNS 解析显示域 6nc110821hdb.co，此域还解析为另外两个 PowGoop 服务器：

根据Group-IB，51.255.19.178和51.255.19.179这两个服务器正在托管SimpleHelp，Group-IB还将164.132.237.64/28子网中的许多IP列为SimpleHelp服务器，这显然表明164.132.237.79在某种程度上也与MuddyWater活动有关，6nc110821hdb.co域名看起来相当可疑，经过进一步调查，我们发现了一个有趣的模式:

<3个字母><1个数字>[.]6nc<日期><可选的2个字母><可选的额外 字母>[.]co

我们检测到以下域名仍然具有被动DNS解析的活动主机。

6nc051221a[.]co

6nc051221c[.]co

6nc110821hdb[.]co

6nc060821[.]co

6nc220721[.]co

我们怀疑这些域名代表了MuddyWater在2021年注册的并在今天仍然活跃的基础设施。

还有一些我们没有找到活动基础设施的附加域，例如6nc051221b.co和6nc110821hda.co，在过去，后者是解决已知的MuddyWater基础设施。“6nc”可以理解为C&C (Six and C)，是“指挥与控制”的缩写。

在2023年5月初，微软在推特上提到，他们发现MuddyWater利用了PaperCut打印管理软件中的CVE-2023-27350。虽然他们没有分享任何新的指标，但他们指出MuddyWater正在“使用先前入侵的工具连接到他们的C2基础设施”，并引用了他们关于以色列理工学院黑客的博客，我们已经确定其使用的是PhonyC2。大约在同一时间，Sophos 公布了他们看到的各种 PaperCut 入侵的指标。Deep Instinct发现这些入侵的IP地址中有两个IP地址是基于URL模式的PhonyC2服务器。

1) 185.254.37.173

此 IP 地址还托管各种有效负载。虽然我们无法检索其中的大部分，但我们能够在 Censys 中捕获服务器的目录列表。

MuddyWater不断更新C2并更改TTP以避免检测，这在整个博客中以及在调查PhonyC2泄漏的代码中都可以看到。

Deep Instinct已经观察到一个疑似PhonyC2实例，该实例使用比V6版本更新的代码版本，该代码版本在IP 195.20.17.44的URL扫描中泄露：

虽然编码的有效载荷（绿色）看起来类似于我们在V6中看到的，但MuddyWatter添加了一个伪装的HTML代码（红色）来进一步隐藏他们的活动。在PhonyC2 V6中，服务器响应仅仅是加密的有效负载，没有任何HTML。此外，服务器位置的IP地址195.20.17.44 位于以色列，我们怀疑选择此位置是为了在针对以色列组织的针对性攻击中隐藏网络流量。

在检查这个较新的PhonyC2服务器的子网195.20.17.0/24时，我们观察到许多与网络犯罪有关的IP地址，但是，其中一个IP地址195.20.17.183的被动DNS响应为am1211.iransos.me。虽然我们无法确认这个IP地址是否与MuddyWater有关，但我们怀疑整个子网都已经租给了MuddyWater使用的一些某中东国家VPS提供商。

您可以在我们的GitHub页面中找到PhonyC2和IOC的源代码。