鑽石舞台

OldFox 至少自2014年起開始活躍，近年來已成功入侵多家國內報社媒體的企業內網，大肆竊取企業內部敏感信息，並伺機投放非法鏈接。

OldFox 通常利用 Web 側漏洞、暴破等方式入侵目標企業的 Web 服務器，在部署自製後門木馬（基於開源工具 PRISM 後門）後，伺機在企業內網進行橫向移動，竊取用戶數據、內部文檔等敏感信息，危害程度極高。

OldFox 選擇的攻擊目標分布在報社媒體、手機廠商、政府、金融等行業，攻擊時多為手工操作，並大量使用自行編譯的開源攻擊工具，隱蔽性強。

OldFox 平均每三個月更換一次木馬回連服務器地址，相關IP均位於美國、中國香港等地，警惕性高，具備較強的反偵察意識。

OldFox 與賭博、色情、詐騙等非法活動關係密切。

微步在線通過對相關樣本、IP 和域名的溯源分析，提取多條相關 IOC ，可用於威脅情報檢測。微步在線主機威脅檢測與響應平台 OneEDR 、本地威脅情報管理平台 TIP 、微步雲沙箱等均已支持對此次攻擊事件和團伙的檢測。

建議相關行業的客戶對該團伙攻擊活動高度重視，利用相關情報第一時間開展自查。如需微步在線協助檢測，請聯繫我們 contactus@threatbook.cn。

攻擊事件

攻擊時間

影響

入侵百餘家手機廠商、應用商店，推廣非法博彩應用

2014-2017

大量敏感信息泄露，被動推送非法博彩應用、廣告

入侵數十家報社媒體，推廣非法博彩網站

2017-2021

大量敏感信息泄露，被動推送非法博彩廣告

微步在線在某報社媒體企業的應急響應中取證到一款修改版的 Pirsm 後門木馬，該木馬在受害主機上會偽裝成 Linux 常見文件，利用系統自啟動項實現開機運行，攻擊者幾乎可以隨時登錄操作。

經過對某受控服務器的排查，事實表明攻擊者早在2017年就利用 Struts2 漏洞獲取了該服務器的控制權限，在植入後門程序後，還將 ssh 服務的 sshd 文件替換為木馬化版本，該木馬化 sshd 可記錄所有 ssh 登錄者的賬戶密碼至特定文件。在長達一年的控制期中，攻擊者以該服務器為跳板，利用竊密工具記錄的敏感信息攻陷了企業內網中的其他機器，竊取大量敏感信息，甚至將網絡博彩廣告植入該報社媒體的網站中進行推廣。

該團伙攻擊流程如下圖所示：

功能描述

鏈接

Pirsm

PRISM 是一個用戶空間隱身反彈shell 後門

https://github.com/andreafabrizi/prism

metasploit-framework

滲透測試框架

https://github.com/rapid7/metasploit-framework

subDomainsBrute

高並發的DNS暴力枚舉工具

https://github.com/lijiejie/subDomainsBrute

LNScan

內部網絡掃描器

https://github.com/sowish/LNScan

reGeorg

內網穿透

https://github.com/sensepost/reGeorg

weakfilescan

敏感文件目錄探測

https://github.com/ring04h/weakfilescan

vncpwd

VNC密碼解密器

https://github.com/jeroennijhof/vncpwd

pwnginx

nginx 後門，提供 shell 訪問、socks5 隧道、http 密碼嗅探。

https://github.com/t57root/pwnginx

反彈shell木馬

持久化

修改開機啟動腳本

在系統啟動目錄"/etc/init.d/"下的文件中添加運行木馬命令。

將 sshd 等常用工具替換為攻擊者修改的木馬化版本

以 sshd 為例，木馬化 sshd 存有後門密碼，並且會記錄所有 ssh 登錄的用戶名和密碼。

利用用戶態 rootkit 來隱藏木馬痕跡

利用用戶態預加載的動態鏈接庫實現對系統調用的 hook，來隱藏木馬進程名。

微步在線主機威脅檢測與響應平台 OneEDR 已支持 OldFox 木馬後門的檢測，在客戶真實環境中發現安全威脅。

微步雲沙箱支持檢測「老狐狸」樣本及sshd後門程序。

綜合上述信息分析認為，OldFox 是一個專業黑客團伙，在入侵特定用戶竊取敏感資料的同時，還長期參與賭博、色情、詐騙等非法活動，對企業和網民的危害性極高，需要引起相關部門的關注。該團伙畫像如下：

目標國家

中國

基礎設施

主要集中在美國、中國香港等地

活躍時間

2014年至今

目標行業

報社媒體、金融、政府等

攻擊目的

盜取企業敏感信息，推廣博彩網站、應用

常用工具

Pirsm、sshd、metasploit-framework、subDomainsBrute、LNScan、reGeorg、weakfilescan、vncpwd、pwnginx

攻擊特點

漏洞利用，暴力破解，內網橫移

SHA256

技術

詳細信息

Initial Access

T1190

利用web應用方面的漏洞拿到目標的web服務器控制權限。

Execution

T1059.004

Command and Scripting Interpreter:Unix Shell

利用反彈shell控制獲得權限的服務器。

T1554

Compromise Client Software Binary

T1037

Boot or Logon Initialization Scripts

修改系統啟動目錄"/etc/init.d/"下的文件，添加後門木馬運行命令，實現開機自啟動。

Defense Evasion

T1564

Hide Artifacts

通過rootkit 隱藏木馬進程。

T1556

Modify Authentication Process

替換sshd等常用工具為木馬化版本，收集ssh登錄該服務器的賬戶、密碼等信息。

Discovery

T1082

System Information

在機器上收集信息

T1021.0 04

Remote Services: SSH

收集SSH登錄憑證，可用於橫向移動

T1210

Exploitation of Remote Services

利用LNScan進行內網掃描

Command and Control

T1090

使用reGeorg進行內網穿透

Exfiltration

T1041

Exfiltration Over C2

提取收集的數據