指纹除尘：ShadowSyndicate，新的 RaaS 播放器？

前言

2023 年 5 月中旬，Group-IB 开始收到网络安全界关于联合研究发表的高度积极反馈。结果，IB组威胁情报分析师与Joshua Penny合作 拘留所，Group-IB 在欧洲的长期 MSSP 合作伙伴，威胁研究员迈克尔·科茨瓦拉作为 Group-IB 新计划的一部分网络犯罪斗士俱乐部倡议对我们声称的新勒索软件即服务 (RaaS) 附属机构进行合作调查。

致谢：我们要感谢 Nikita Rostovtsev 对本博客文章的贡献。

介绍

勒索软件即服务(RaaS) 市场发展迅速。著名的 RaaS 或附属团体可以在短时间内形成、造成严重破坏或解散。在2022/2023 年高科技犯罪趋势在 Group-IB 威胁情报对顶级网络威胁的回顾中，我们的研究人员预测 RaaS 行业将继续快速增长，并且可能会出现大量新的团伙。在这篇博客中，我们将详细介绍我们认为的一个新的 RaaS 组，该组的运作方式与其他组不同：ShadowSyndicate 登场。

ShadowSyndicate 有什么不寻常之处（不要与 Shadow 勒索软件混淆）？嗯，一个 Secure Shell (SSH) 指纹与大量恶意服务器建立如此复杂的连接网络是极其罕见的。自 2022 年 7 月以来，我们总共在 85 台服务器上发现了 ShadowSyndicate 的 SSH 指纹。此外，我们可以以不同程度的信心说，该组织在过去一年中使用了七个不同的勒索软件系列，使 ShadowSyndicate 因其多功能性而闻名。现阶段，我们无法确认 ShadowSyndicate 是 RaaS 附属公司还是初始访问代理，尽管根据我们将在本博文中概述的证据，我们认为威胁行为者是前者。

这篇博文旨在概述 ShadowSyndicate 所利用的基础设施，并包含我们的初步结论；为进一步研究该团体的身份留下了可供探索的途径。作为 Group-IB 新的网络犯罪斗士俱乐部计划的一部分，该博客也是网络安全领域知识交流和联合研究价值的一个重要例子。

主要发现

• 被称为ShadowSyndicate的威胁参与者在许多服务器上使用相同的 Secure Shell (SSH) 指纹（截至撰写本文时有85 个）。
• ShadowSyndicate是一个威胁行为者，与各种勒索软件组织和勒索软件程序附属机构合作。
• ShadowSyndicate 在攻击中使用了“现成”工具包，包括Cobalt Strike、IcedID和Sliver恶意软件。
• 至少有52 台具有此 SSH 的服务器被用作 Cobalt Strike C2 框架。
• ShadowSyndicate 自 2022 年 7 月以来一直活跃。
• 我们可以非常有信心地将 ShadowSyndicate 归因于2022 年 9 月的Quantum勒索软件活动、 2022 年 10 月、2022 年 11 月和 2023 年 3 月的Nokoyawa勒索软件活动以及2023 年 2 月的ALPHV活动。
• 在可信度较低的情况下，我们可以将 ShadowSyndicate 归因于Royal、Cl0p、Cactus和Play勒索软件活动。
• 我们发现 ShadowSyndicate 基础设施和Cl0p/Truebot之间的联系。

概括

多个研究人员检测到连接到各种潜在恶意服务器的SSH 指纹1ca4cbac895fc3bd12417b77fc6ed31d 。它部署在85 个 IP 服务器上，其中大多数（至少 52 个）被标记为Cobalt Strike C2。

我们将使用 SSH 指纹的威胁参与者称为 1ca4cbac895fc3bd12417b77fc6ed31d ShadowSyndicate（以前的名称 Infra Storm）。该 SSH 指纹首次出现于2022 年 7 月 16 日，截至撰写本文时（2023 年 9 月）仍在使用。

我们一起调查了我们能找到的任何相关信息，目的是确定哪些网络犯罪团伙使用了这些服务器。

在我们的研究开始时，我们建立了关于 ShadowSyndicate 的五个假设，并打算证明这些假设。这些假设如下：

1. ShadowSyndicate 是在其服务器上设置 SSH 指纹的托管服务商。
2. ShadowSyndicate 是一名 DevOps 工程师，负责部署服务器并将其提供给各种威胁参与者。
3. ShadowSyndicate 拥有一项地下服务，为网络犯罪分子提供“防弹托管”。
4. ShadowSyndicate 是一个初始访问代理，它获得受害者本身的初始访问权限，然后将该访问权限出售给其他网络犯罪组织。
5. ShadowSyndicate 是一个 RaaS 附属机构，使用各种类型的勒索软件。

尽管我们尚未得出最终结论，但我们研究期间获得的所有事实表明，假设E（ShadowSyndicate是使用各种类型勒索软件的 RaaS 附属机构）是最合理的。

威胁行为者使用的 IP 地址的完整列表如下：

表 1. 链接到 ShadowSyndicate 的 IP 地址列表

为了方便起见，我们将此服务器列表称为“列表 A”。

如果我们回到最初的假设，选项 A（ShadowSyndicate 是在其服务器上设置 SSH 指纹的主机提供商）立即被拒绝，因为我们发现多个国家/地区存在 18 个不同的主机。

我们发现了几个可能与各种威胁参与者相关的服务器集群。我们还找到了他们的工具和他们使用的一些 TTP。一些服务器在之前的攻击中已被检测到。攻击者使用的工具和恶意软件包括Cobalt Strike、Sliver、IcedID 和 Matanbuchus。

研究

我们使用 Group-IB 工具和数据、其他供应商的报告、搜索引擎Shodan和Censys以及 OSINT进行研究。

确定的工具

钴击

在分析列表 A 中包含的服务器时，我们发现了八种不同的 Cobalt Strike 水印。水印是 Cobalt Strike 用户的许可证密钥。攻击者可以使用 Cobalt Strike 的破解版本，并将水印更改为不唯一的值，例如 12345678。此外，威胁行为者可以使用特殊脚本将水印更改为任何值。

我们在列表 A的服务器上发现了以下 Cobalt Strike 水印。

表 2. 列表 A 中服务器上的 Cobalt Strike 水印。

值得注意的是，在分析列表 A 上服务器的 Cobalt Strike 配置时，我们看到了在两台服务器上部署相同配置的实例，其中一台服务器位于列表 A 上，另一台服务器不在列表 A 上。在一种情况下，两台服务器都在列表 A 上。

Cobalt Strike 配置对

如上所述，我们在成对的服务器上发现了相同的 Cobalt Strike 配置：第一个服务器位于列表 A 上，第二个服务器不在列表 A 上。在本节中，我们提供相关数据。这对于未来的归因工作很有用。

表 3. 具有相同 Cobalt Strike 配置的服务器

条子

Sliver是一款用Go语言开发的开源渗透测试工具。它被设计为可扩展的，可供各种规模的组织用来执行安全测试。与 Cobalt Strike 和 Metasploit 一样，威胁行为者可以在现实生活中使用 Sliver 进行攻击。我们发现 Sliver 被用于列表 A 中的服务器的证据：

• 193.142.30[.]17 于 2023 年 5 月连接到 Sliver
• 193.142.30[.]154 至少自 2023 年 5 月起已被用作 Sliver C2，并且截至 2023 年 7 月仍在使用
• 194.135.24[.]241 于 2023 年 1 月被 Group-IB 标记为 Sliver

Sliver JARM 证书

00000000000000000043d43d00043de2a97eabb398317329f027c66e4c1b01

00000000000000000000000000000000000000000000000000000000000000 0

参考：

• 参考#1
• 参考#2
• 参考#3

冰冻ID

IcedID 是一款于 2017 年开发的恶意软件，是一种具有 Web 注入功能的银行木马。近年来，它主要用于攻击链中以传递其他有效负载，例如勒索软件。IcedID 在涉及以下勒索软件组的攻击中被检测到：Karakurt、RansomEXX、Black Basta、Nokoyawa、Quantum、邪恶、星队、以及康蒂。

在连接到 IcedID 感染链的活动中检测到列表 A（上面）中的服务器 78.128.112[.]139。这导致 Quantum 勒索软件于 2022 年 9 月部署。在这种情况下，最初的攻击媒介是 MalSpam，它传递恶意 ISO 文件。

在连接到 IcedID 感染链的活动中也检测到列表 A 中的服务器 5.8.18[.]242。这项活动导致 Nokoyawa 于 2022 年 10 月得到部署。在这种情况下，最初的攻击向量是包含下载 IcedID 有效负载的 VBA 宏的 Excel 恶意文档。

马坦布科斯

Matanbuchus 是自 2021 年以来已知的恶意软件即服务 (MaaS) 加载程序。它用于执行 .exe 有效负载以及加载和执行 shellcode 和恶意 DLL 文件。它已在网络钓鱼活动中被发现，并最终在受感染的机器上删除了 Cobalt Strike 后利用框架。

列表 A 中的以下服务器是可能与 2023 年 2 月的 Matanbuchus 活动有关：

• 45.182.189[.]105
• 45.182.189[.]106

翻译员

Meterpreter 是一个在目标系统上运行并支持渗透测试过程的 Metasploit 有效负载。

服务器 179.60.150[.]151 于 2023 年 3 月被检测为 Meterpreter C2。

服务器部署

Secure Shell (SSH) 使用由唯一服务器主机密钥生成的指纹，以便客户端可以识别服务器。在找到一组具有相同 SSH 密钥指纹的服务器后，我们开始了调查。

我们最初的假设是列表 A中的服务器与使用相同 SSH 来设置服务器的一个托管提供商相关。为了证实或反驳这一理论，我们检查了列表 A 中服务器的网络信息，并将其汇总在表 4（如下）中。

表4. 服务器网络信息

上表中的信息表明 ShadowSyndicate 使用的服务器没有相同的所有者，这让我们可以排除假设 A（ShadowSyndicate 是在其服务器上设置 SSH 指纹的托管服务商）。事实上，我们确定了 18 个不同的服务器所有者。

我们发现服务器没有相同的网络名称，这进一步支持了我们否定假设 A 的决定。我们总共确定了 22 个不同的网络名称。

此外，服务器并不都位于同一个国家。ShadowSyndicate 利用了位于 13 个不同地区的服务器，其中巴拿马是他们的首选国家。

因此，我们得出的结论是，列表 A中的服务器与一个网络和一个托管提供商无关。假设 A（上文）指出 1ca4cbac895fc3bd12417b77fc6ed31d 是设置主机的 SSH，因此可以被拒绝。

在大多数列表 A服务器上，使用 OpenSSH 8.2p1。进一步的研究发现了与各种勒索软件家族（例如Trickbot、Nokoyawa、Royal、Ryuk、FIN7、ALPHV 和 Cl0p）的联系。我们的大部分发现都将 ShadowSyndicate 与勒索软件活动联系起来，但不幸的是，我们没有检测到与特定威胁行为者的紧密联系。因此，假设 B、C、D 和 E 尚未完全消除。

数据具有高度置信度

列表 A上的几台服务器被高度可信地归因于已知攻击者。为简洁起见，我们不会提供完整的 Cobalt Strike 配置。然而，我们将提供一些已知的参数（检测日期、水印、睡眠时间、Cobalt Strike C2 服务器），因为这些参数的某些组合可能是唯一的并且对于归因有用。

与量子的联系

Quantum 勒索软件于 2021 年 7 月被发现。Quantum 可能包括以下成员康蒂是一个多产的网络犯罪组织，一年多前关闭了其勒索软件操作和专用泄漏站点 (DLS)。Quantum 的 DLS 自 2022 年 11 月以来就没有更新过。

表 5. IP 地址 78.128.112[.]139 的归属（在列表 A 中找到）。

与野古屋瓦的联系

Nokoyawa 是一种于 2022 年 2 月首次发现的勒索软件。Nokoyawa 的起源可以追溯到另一​​种名为Nemty的勒索软件类型。Nokoyawa 自 2023 年 8 月以来一直活跃。

在 2022 年第四季度的两起相互关联的 Nokoyawa 攻击中检测到了列表A中的一台 Cobalt Strike 服务器。这些攻击与上一节中描述的 Quantum 攻击有很多共同点。列表 A 中的另一台服务器在 2023 年 4 月的 Nokoyawa 攻击中被检测到。

表 6. IP 地址 5.8.18[.]242 的归属（在列表 A 中找到）。

与 ALPHV 的连接

ALPHV（又名黑猫）是2021年12月发现的勒索软件操纵组织，自2023年8月以来一直活跃，是历史上最活跃的勒索软件组织之一。

让我们仔细看看表 3 中的服务器对 5 和 6（见上文）。这些服务器对具有相同的 Cobalt Strike 配置。

表 8. 包含相同 Cobalt Strike 配置的服务器对。

Group-IB 专家在与 2023 年 2 月发生的 ALPHV 攻击相关的事件响应案例中识别出相同的 Cobalt Strike 配置（相同的水印、睡眠时间、Cobalt Strike 域和 Group-IB 检测日期）。这些配置是独一无二的，并且只出现过两次。

遭受 ALPHV 攻击的服务器：

• 109.172.45[.]28
• 109.172.45[.]77

证据表明与ALPHV 勒索软件。

数据置信度较低

在使用 Group-IB 数据源检查列表 A 服务器时，我们确定某些服务器被映射为 Ryuk，康蒂和 Trickbot。然而，这些犯罪集团已不复存在。Ryuk 于 2021 年底不复存在，而康蒂和 Trickbot（已连接）在 2022 年初进入休眠状态。

研究人员认为，这些团体的前成员可能会使用相同的基础设施继续进行犯罪活动，但他们现在可能单独或在其他犯罪团体中运作。不幸的是，在撰写本文时，我们没有足够可靠的证据将它们归因于现有的威胁行为者——我们只能做出有根据的猜测。

我们还想强调 Cobalt Strike 的未归属服务器，可能与勒索软件活动有关。我们对当前归因的假设是基于勒索软件组织之前进行的攻击中检测到的以及其他报告中提到的 Cobalt Strike 水印。

我们的研究表明，可以在单个服务器上检测到多个水印，这使归因变得复杂，但证实了我们的理论，即 ShadowSyndicate 可能是与各个 RaaS 团体合作的附属机构。

让我们更详细地了解可用信息。下面我们提供带有已知 Cobalt Strike 水印和其他可能有助于归因的标签的数据。

表 9. 与 Royal、Quantum、Cl0p、ALPHV、Nokoyawa 和 Play 的连接

与 Cl0p/Truebot 基础设施的连接

在我们的研究过程中，我们发现了 ShadowSyndicate 和Truebot/Cl0p基础设施之间的几个潜在联系。我们确定了一些归属于 Cl0p 的 IP 地址，我们认为这些地址已将所有权更改为 ShadowSyndicate，正如 ShadowSyndicate SSH 密钥的使用所证明的那样。这些 IP 地址已链接到 5 个集群中的 4 个，我们将这些集群归因于与Cl0p和Black Basta相关的勒索软件附属机构以及Ryuk等前勒索软件组织。

为了显示 Cl0p 和 ShadowSyndicate 之间的关联，下面我们展示了 Cl0p 集群和 ShadowSyndicate 重复使用的 IP 地址。我们还比较了托管提供商，试图确定 ShadowSyndicate 威胁参与者之前是否作为 Cl0p 附属机构运营。

在我们链接到 Cl0p 勒索软件附属机构的149 个 IP 地址中，我们发现，自 2022 年 8 月以来，来自 4 个不同集群的 12 个 IP 地址将所有权更改为 ShadowSyndicate，这表明这些组织之间存在一些潜在的基础设施共享。不幸的是，在这些 IP 的所有权变更为 ShadowSyndicate 之前，我们无法验证它们的使用情况，但它们现在全部用作 Cobalt Strike 或 Metasploit 的 C2 基础设施。

这些IP地址如下：

表 11. Cl0p 和 ShadowSyndicate 之间共享的 IP 地址

这些 IP 可以归因于 Cl0p，因为它们与基础设施集群相连接，而这些基础设施集群之前使用 SSH 哈希指纹链接到 Cl0p 附属机构。

以下 SSH 哈希代表主要链接到 Cl0p 的精选基础设施集群：

SSH 哈希值：

• ddd9ca54c1309cde578062cba965571
• b54cce689e9139e824b6e51a84a7a103
• 9bd79ffaeb8de31c9813b3ce51b30488
• 5e21f8e88b007935710b2afc174f289
• 55c658703c07d6344e325ea26cf96c3
• 96ea77a1a901e38aac8b9d5772d3d765

下面我们展示了 Cl0p 和 ShadowSyndicate 之间如何重用基础设施，并比较如何选择托管提供商。尽管我们无法以高度置信度直接将 ShadowSyndicate 与 Cl0p 连接起来，但以下观察结果值得注意，并表明这两个群体之间存在某种形式的联系。

上图显示了 ShadowSyndicate IP 地址如何与链接到 Cl0p 的先前 SSH 哈希集群相关联。一些 IP 地址也在 Cl0p 哈希之间重复使用。

SSH 哈希：ddd9ca54c1309cde578062cba965571

SSH 哈希：5e21f8e88b007935710b2afc174f289

上面的图 9 显示，虽然两个威胁参与者使用的基础设施之间存在一些有限的交叉，但 ShadowSyndicate 所利用的大多数托管提供商以前并未被 Cl0p 使用过。

结论

尽管我们还没有得出最终结论，但在这个联合研究项目中获得的所有事实表明，最合理的假设是 ShadowSyndicate 是与各种 RaaS 合作的附属机构。

Group-IB 威胁情报将继续寻找与该特定威胁行为者相关的更多信息，作为网络犯罪斗士俱乐部计划的一部分，我们愿意与任何同样有兴趣打击网络犯罪的研究人员合作。我们希望通过更多的研究，我们将能够在不久的将来确定威胁行为者的身份。