FOFA资产拓线实战系列：响尾蛇APT组织

▌概述

在我们的前几篇文章中，我们通过实际的案例，以更接近用户的角度分享和展示了如何使用FOFA进行资产拓线，收获了非常多反馈和好评。因此，我们决定将“FOFA资产拓线实战”打造成一个系列，不仅将展示更多的数据情报，也将分享更多的FOFA操作技巧。

本篇文章通过分析已公开的5条IOC来对响尾蛇APT组织进行资产拓线，形成该组织的FOFA规则，并最终共获得193条拓线结果。

同时我们借助了奇安信威胁情报平台、微步在线和VirusTotal三款行业领先的工具进行了交叉验证。在验证过程中，我们发现这三个平台对于响尾蛇APT组织的覆盖存在一定的差异。具体来说，奇安信的覆盖137条、微步覆盖118条、Virustotal覆盖 138条，存在三个平台都未覆盖24条的情况。

由于各平台的属性不同，集成了FOFA平台的持续信息收集能力，一旦识别了组织特征，便可动态获取最新资产信息并及时覆盖，从而更快获取威胁情报，提升客户价值。

基于参考报告中使用了shodan，我们也用shodan进行了验证。但是其由于机制原因已无报告相同结果。但通过我们的验证，使用相同特征进行拓线，仍发现有参考报告之外的存活资产存在。

除此之外，我们的研究还发现，响尾蛇APT组织更倾向于针对政府、能源、军事和矿产等领域进行攻击。这一点在我们的拓线结果中得到了明确的反映。

文章将会详细描述针对于IOC的拓线思路以及方法，并在文章末尾附有拓线及对比表格。

▌线索分析思路

我们通过MikhailKasimov 在GitHub上总结的IOC进行提取，找到以下三个域名：

neger.site
semain.tech
aliit.org

GitHub开源项目：

https://github.com/stamparm/maltrail/blob/3db4f2069cd7befcbfd2e0d1fe447773f1f755ca/trails/static/malware/apt_sidewinder.txt

看到原始数据来源是Bridewell公司的分析报告，然后使用FOFA来对这三条域名进行查询，看一下资产特征：

domain="neger.site"

domain="semain.tech"

domain="aliit.org"

从FOFA的展示结果来看，他们明显有相同JARM指纹特征。

我们提取这条JARM指纹进行查询

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7"

发现有247,319条资产，说明通过这个单一特征存在很大的误差，所以需要去查找三条IOC的其他共性特征。

仔细对比发现，前两个域名的header都存在404 Not Found、Server: nginx、Content-Type: text/html的特征。

但是aliit.org的Server为nginx/1.23.2，和其他两条不一样。我们先研究另外两个IOC。

通过提取前两个域名的相同特征，加入到FOFA的搜索语句如下：

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html"

明显看到圈定范围变少了，但是通过地区排名可以发现还是存在部分误差，需要继续提取有效特征

通过header响应头及网站正文确认，他的Content-Length都为183或535个字符串。

可利用此特征加入到FOFA语句中继续进行查询：

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535")

目前结果正常了，我们需要做一步判定，加上最初的两个IOC进行验证，是否为包含关系。

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535") && (domain="neger.site" || domain="semain.tech")

通过前两条域名最终拓线到的FOFA规则为：

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535")

下面我们继续看另一条IOC：aliit.org发现其特征与前两个域名的特征基本类似 只有Content-Length为555、Server为nginx/1.23.2这两处不同。

通过同样的方式提取特征，整理为FOFA语法进行查询：

header="HTTP/1.1 404 Not Found" && header="Server: nginx/1.23.2" && header="Content-Type: text/html" && header="Content-Length: 555" && jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7"

得到了67条结果。

线索二：

线索二来自于社交媒体，有安全研究员公开的响尾蛇组织IOC，和以上的IOC不重合，我们正好可以再进行一波拓线补充。

取其中的主域进行分析：

direct888.net
fia-gov.net

使用FOFA进行搜索，确认他的资产特征：

domain="direct888.net"

domain="fia-gov.net"

很明显，很熟悉。果然，他们的JARM指纹是一样的，且其他特征的表现和上面的线索特征保持一致，只有content-length是228。

将这些特征进行整合成FOFA的规则就是：

jarm="1dd40d40d00040d1dc1dd40d1dd40de9ab649921aa9add8c37a8978aa3ea88" && header="Content-Length: 228" && header="HTTP/1.1 404 Not Found" && header="Server: nginx"

本次拓线我们根据IOC整理出来了三条该组织的资产规则如下。

jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7" && header="HTTP/1.1 404 Not Found" && header="Server: nginx" && header="Content-Type: text/html" && (header="Content-Length: 183" || header="Content-Length: 535")

header="HTTP/1.1 404 Not Found" && header="Server: nginx/1.23.2" && header="Content-Type: text/html" && header="Content-Length: 555" && jarm="3fd3fd0003fd3fd21c3fd3fd3fd3fd703dc1bf20eb9604decefea997eabff7"

jarm="1dd40d40d00040d1dc1dd40d1dd40de9ab649921aa9add8c37a8978aa3ea88" && header="Content-Length: 228" && header="HTTP/1.1 404 Not Found" && header="Server: nginx"

▌拓线资产验证

因为参考文章中Bridewell公司所出的报告中用到了shodan进行信息收集，所以我们也通过shodan平台对整理出来的规则进行了确认，可能因为机制的原因，已经无法看到更多。

但是，通过我们使用相同特征所拓线的结果进行取样验证，数据依旧是存活的状态，Shodan无法获取。

donwloaded.net

除此之外，我们也针对于使用FOFA拓线出来的响尾蛇APT组织资产进行三方平台验证，验证过程中发现各个平台存在一定的标定差异性，以下几种情况都存在。

countpro.info都被标定为响尾蛇。

neger.site，奇安信威胁情报平台未标记为响尾蛇。

mofagov.live，微步未标记为响尾蛇。

其中获得的线索IOC： direct888.net 都被标定为响尾蛇，但是后续在FOFA上拓线出来的direct888.org 则没有被标定。

所以针对于这种情况存在，我们用拓线后的规则对于威胁情报平台做了一次详细验证，并引入新的工具。验证使用的工具包括奇安信威胁情报平台、微步在线和Virustotal，覆盖数分别为奇安信137条、微步118条和Virustotal 138条，并存在三个平台都未覆盖的情况。

由于各平台的属性不同，FOFA网络空间测绘平台凭借其持续不断的信息收集能力，一旦确认了组织的特征，只要该组织仍在线，就可以将该规则添加到监控系统中。这将允许我们动态地获取该组织的最新资产信息，并迅速进行标签覆盖。这种方式可以更快地获取威胁情报，从而为客户创造更大的价值。

验证结果总结如下，详细标定信息可查看附录1。

▌总结

通过对部分IOC进行拓线分析，可以发现该组织倾向于利用与攻击目标相关的机构官方域名的关键词来构造域名。例如，他们使用“*fia-gov*”，“*mof-gov*”，“*mofa-gov*”，“*govnp*”，“*govpk*”等关键词伪装成军事和政府相关的域名。另外，他们还通过字符的移位、隐藏等手段构造域名，例如“*direct888.org”，“*directt88.org”，“*downlod.net”，“*downlod.com”等进行攻击。

威胁情报对比结果为奇安信覆盖137条、微步覆盖118条、Virustotal覆盖 138条，并存在三个平台都未覆盖24条的情况。

通过使用少部分IOC，逐步分析并提取特征来进行资产拓线，当拓线完成后，实际上是形成了FOFA规则所存在，结合FOFA平台的持续信息收集能力，一旦识别了组织特征并保持其在线，便可动态获取最新资产信息并及时覆盖，从而更快获取威胁情报，提升客户价值。

基于Bridewell公司报告中使用shodan进行信息收集的方法，我们也用shodan验证了整理的规则。尽管由于机制原因已无报告相同结果。但通过我们的验证，使用相同特征进行拓线，仍发现报告之外的存活资产存在。

这个过程主要依赖于FOFA强大的搜索功能，但更关键的是发现线索和进行逻辑推理的能力。希望这个案例能对大家如何更有效地利用FOFA进行资产拓线和信息收集提供帮助，以充分利用FOFA的能力。

▌参考文章: 

https://www.bridewell.com/insights/news/detail/the-distinctive-rattle-of-apt-sidewinder

https://github.com/stamparm/maltrail/blob/3db4f2069cd7befcbfd2e0d1fe447773f1f755ca/trails/static/malware/apt_sidewinder.txt

https://www.freebuf.com/news/373902.html

https://twitter.com/Cyberteam008/status/1743505453529940004

附录1：本次案例拓线去重结果及平台对比