https://astro.ken.heiyu.space/blog/ 一个 8-bit 像素风个人博客。 zh-CN https://astro.ken.heiyu.space/blog/bitter-apt-bangladesh/ https://astro.ken.heiyu.space/blog/bitter-apt-bangladesh/   Bitter（又称 T-APT-17、蔓灵花）是一个长期针对中国、巴基斯坦等国家进行攻击活动的 APT 组织，也是目前最活跃的针对国内目标进行攻击的境外 A Mon, 29 Apr 2024 00:00:00 GMT https://astro.ken.heiyu.space/blog/mustang-panda-hodur/ https://astro.ken.heiyu.space/blog/mustang-panda-hodur/   Mustang Panda（野马熊猫）又名 PKPLUG，其名称源于该组织将 PlugX 恶意软件作为 DLL 侧加载包的一部分通过 ZIP 压缩文件进行投 Mon, 15 Apr 2024 00:00:00 GMT https://astro.ken.heiyu.space/blog/apt-c-48-usb-ferry/ https://astro.ken.heiyu.space/blog/apt-c-48-usb-ferry/ APT-C-48 组织首次被发现是在 2019 年，因其武器库中的远程控制木马 PDB 路径包含 "cncclient" 字符串，该组织被命名为 CNC。 Thu, 21 Mar 2024 00:00:00 GMT https://astro.ken.heiyu.space/blog/psa-plus-cobalt-strike/ https://astro.ken.heiyu.space/blog/psa-plus-cobalt-strike/ 最近发现一个恶意活动，该活动使用模块化攻击技术并向受害者机器投递 Cobalt Strike 木马。攻击者通过携带 CVE-2017-0199 漏洞的钓鱼邮件发起攻击，当受害者打开 Thu, 21 Mar 2024 00:00:00 GMT https://astro.ken.heiyu.space/blog/deathstalker-janicab/ https://astro.ken.heiyu.space/blog/deathstalker-janicab/   DeathStalker是一个独特的APT威胁组织，专门针对金融机构和律师事务所进行定向攻击。与传统网络犯罪组织不同，该组织不受直接经济利益驱动，不部署勒索 Wed, 10 Jan 2024 00:00:00 GMT https://astro.ken.heiyu.space/blog/apt-c-23-android-middle-east/ https://astro.ken.heiyu.space/blog/apt-c-23-android-middle-east/ 自2016年1月起,双尾蝎组织(APT-C-23)针对巴勒斯坦地区的教育机构、军事机构等重要领域发起了长期、有组织、有针对性的网络攻击活动。该组织的攻击平台覆盖Windows与An Sun, 07 Jan 2024 00:00:00 GMT https://astro.ken.heiyu.space/blog/symbiote-linux-rootkit/ https://astro.ken.heiyu.space/blog/symbiote-linux-rootkit/ 分析 Symbiote 如何用 LD_PRELOAD 藏进进程和流量，并留下 PAM 后门。 Wed, 01 Nov 2023 00:00:00 GMT https://astro.ken.heiyu.space/blog/bpfdoor-linux-backdoor/ https://astro.ken.heiyu.space/blog/bpfdoor-linux-backdoor/   BPFDoor是专门为Linux和Solaris系统设计的后门程序，攻击者可以远程连接到linux shell以获得受害者设备的访问权限，背后所属的APT组 Sat, 14 Oct 2023 00:00:00 GMT https://astro.ken.heiyu.space/blog/blacklotus-uefi-bootkit-2/ https://astro.ken.heiyu.space/blog/blacklotus-uefi-bootkit-2/ 继续看恶意 EFI、安全启动绕过、内核驱动和持久化。 Fri, 17 Mar 2023 00:00:00 GMT https://astro.ken.heiyu.space/blog/blacklotus-uefi-bootkit-1/ https://astro.ken.heiyu.space/blog/blacklotus-uefi-bootkit-1/ 分析 BlackLotus 如何利用 CVE-2022-21894 在安全启动开启时完成初始部署。 Fri, 10 Mar 2023 00:00:00 GMT https://astro.ken.heiyu.space/blog/shellcode-to-exe/ https://astro.ken.heiyu.space/blog/shellcode-to-exe/ 用 YASM 和 GoLink 把 Shellcode 包装成可调试的 Windows 可执行文件。 Sun, 05 Feb 2023 00:00:00 GMT https://astro.ken.heiyu.space/blog/lazarus-korea-campaign/ https://astro.ken.heiyu.space/blog/lazarus-korea-campaign/ Lazarus组织，又称HIDDEN COBRA、APT38、Zinc、Guardians of Peace等，是朝鲜半岛地区最活跃的APT组织之一。该组织的攻击目标涉及波兰、智利 Fri, 18 Nov 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/lazarus-macos-job-lure/ https://astro.ken.heiyu.space/blog/lazarus-macos-job-lure/   Lazarus在最近发起了新的一轮攻击活动,在这次攻击中，攻击者通过社会工程学向受害者发送一个伪装成PDF文件的MacOS二进制文件，在文件内部嵌入一个主题 Fri, 21 Oct 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/fin7-jssloader-xll/ https://astro.ken.heiyu.space/blog/fin7-jssloader-xll/   该组织属于民间APT组织，自2015年以来，FIN7成员参与了针对100多家美国公司的高度复杂的恶意软件活动，主要集中在餐馆，游戏和酒店行业。 Fri, 02 Sep 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/donot-browser-stealer/ https://astro.ken.heiyu.space/blog/donot-browser-stealer/   Donot“肚脑虫”（APT-Q-38）是疑似具有南亚背景的APT组织，其主要以周边国家的政府机构 为目标进行网络攻击活动，通常以窃取敏感信息为目的。该组织 Fri, 26 Aug 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/kimsuky-appleseed/ https://astro.ken.heiyu.space/blog/kimsuky-appleseed/ Kimsuky 是一个源自朝鲜的 APT 组织，也被称为 Mystery Baby、Baby Coin、Smoke Screen、BabyShark、Cobra Venom 等，最 Fri, 15 Jul 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/daxin-driver-backdoor/ https://astro.ken.heiyu.space/blog/daxin-driver-backdoor/ Daxin 是一个高度复杂的 Rootkit 后门，具有精巧、隐蔽的命令与控制（C&C）功能。它使远程攻击者能够与未直接连接到互联网的安全设备进行通信，允许攻击者深入渗透目标网络并 Mon, 28 Mar 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/moonbounce-uefi/ https://astro.ken.heiyu.space/blog/moonbounce-uefi/ APT41（也称为双龙、Winnti）是一个自2012年起就活跃至今的高级持续性威胁组织。该组织具有独特的双重运作模式，既执行国家支持的网络间谍活动，也从事经济利益驱动的网络犯罪行 Thu, 17 Feb 2022 00:00:00 GMT https://astro.ken.heiyu.space/blog/rtf-remote-template-sample/ https://astro.ken.heiyu.space/blog/rtf-remote-template-sample/ 本文记录了一次面试过程中进行的恶意软件样本分析，该样本利用 RTF 远程模板注入和 CVE-2017-11882 漏洞进行攻击，展示了从初始投递到持久化执行的完整攻击链。 Sun, 21 Nov 2021 00:00:00 GMT https://astro.ken.heiyu.space/blog/mbr-structure/ https://astro.ken.heiyu.space/blog/mbr-structure/ 早期对 MBR（主引导记录）的分析笔记，包含结构、分区表和引导代码。 Sun, 12 Apr 2020 00:00:00 GMT https://astro.ken.heiyu.space/blog/aosp-docker-android-antidebug/ https://astro.ken.heiyu.space/blog/aosp-docker-android-antidebug/ 在研究 Android 逆向工程时，常常会遇到应用的反调试机制。通过编译定制化的 Android 系统，我们可以从源码层面绕过这些检测。然而，传统的 AOSP 编译过程存在诸多痛点 Sat, 14 Apr 2018 00:00:00 GMT https://astro.ken.heiyu.space/blog/android-game-asset-decrypt/ https://astro.ken.heiyu.space/blog/android-game-asset-decrypt/ 一位同学在群里分享了一个游戏，需要对游戏资源进行解密分析。首先反编译查看源码，没有发现明显的加密逻辑。使用 Android Killer 查看资源文件，发现在 res/raw 目录 Tue, 09 Aug 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-shellshock/ https://astro.ken.heiyu.space/blog/pwnable-kr-shellshock/ 用破壳漏洞让题目自带的 bash 打出 flag。 Sun, 03 Apr 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/reversing-kr-windows-kernel/ https://astro.ken.heiyu.space/blog/reversing-kr-windows-kernel/ 运行程序后发现，在输入数据之前需要先点击 Enable 按钮。 Sun, 06 Mar 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-leg/ https://astro.ken.heiyu.space/blog/pwnable-kr-leg/ 把三段 ARM 汇编加起来，凑出 key。 Mon, 15 Feb 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-mistake/ https://astro.ken.heiyu.space/blog/pwnable-kr-mistake/ 运算符优先级让程序从标准输入读密码。 Sun, 31 Jan 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/reversing-kr-autohotkey1/ https://astro.ken.heiyu.space/blog/reversing-kr-autohotkey1/ 从 Exe corrupted 找到两段 key，拼出 AuthKey。 Wed, 13 Jan 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/reversing-kr-ransomware/ https://astro.ken.heiyu.space/blog/reversing-kr-ransomware/ 脱掉 UPX 后顺着 Key 字符串，还原勒索题的校验。 Sun, 10 Jan 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-bof/ https://astro.ken.heiyu.space/blog/pwnable-kr-bof/ 用缓冲区溢出把比较值覆盖成 0xcafebabe。 Wed, 06 Jan 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-random/ https://astro.ken.heiyu.space/blog/pwnable-kr-random/ rand 没有变化的 seed，异或一次就能拿到 key。 Mon, 04 Jan 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-flag/ https://astro.ken.heiyu.space/blog/pwnable-kr-flag/ 脱掉 UPX 壳，从 flag 程序里取出真正的 flag。 Sat, 02 Jan 2016 00:00:00 GMT https://astro.ken.heiyu.space/blog/pwnable-kr-fd/ https://astro.ken.heiyu.space/blog/pwnable-kr-fd/ 文件描述符练习：从 ssh 里的 fd 题拿到 flag。 Thu, 31 Dec 2015 00:00:00 GMT https://astro.ken.heiyu.space/blog/reversing-kr-direct3d-fps/ https://astro.ken.heiyu.space/blog/reversing-kr-direct3d-fps/ 从 Game Clear 字符串跟进，改掉第一人称游戏的通关判断。 Thu, 31 Dec 2015 00:00:00 GMT