WikiLeaks公开资料解读系列之CIA Hive项目

---------该文转自freebuf

背景

2017年11月9日WikiLeaks 开始公布Vault8系列资料，其中包括一个名为HIVE的CIA后门系统项目，输出了项目各版本的部分源代码，这是WikiLeaks公布CIA相关资料的历史上少见的包含源码的数据。360威胁情报中心对其主要内容进行了分析，提供在主机上对此后门程序进行搜索匹配的规则。

综述

HIVE项目为一款CIA内部使用的远程植入木马，由EDB部门开发。它使用HTTPS协议进行通信，主要用于控制目标机器并窃取敏感信息。

下图为CIA内部对该项目的描述：

WikiLeaks公开资料解读系列：CIA Hive项目

HIVE并不是一款重量级的木马，其主要功能只是提供一个最初的立足点以部署其他全功能的工具。

下图所示为Hive支持的系统平台版本，包括从Windows到Solaris等多个操作系统及各种CPU架构平台。

WikiLeaks公开资料解读系列：CIA Hive项目

下图为整个HIVE的整个项目周期：

WikiLeaks公开资料解读系列：CIA Hive项目

源码分析

Hive的源码版本如下所示，通过tag可以看到该源码包下所有的版本：

WikiLeaks公开资料解读系列：CIA Hive项目

注意并不是所有版本的源码都是完整的，如下所示为Hive 2.9版本的源码目录：

WikiLeaks公开资料解读系列：CIA Hive项目

版本2.8下除了完整项目外，还包含了对应的编译好的客户端和服务端：

WikiLeaks公开资料解读系列：CIA Hive项目

如下为编译好的所有系统平台架构Server端：

WikiLeaks公开资料解读系列：CIA Hive项目

下图完整的代码树结构：

WikiLeaks公开资料解读系列：CIA Hive项目

目录相关的内容：

 client/server目录为对应的CC端和Implant

 documentaiont目录为对应的使用指南

 honeycomb为CC的前置控制节点

 Ilm-client目录为封装过的CC端代码和hiveclient功能大致相同

Honeycomb

honeycom代码结构如下所示：

WikiLeaks公开资料解读系列：CIA Hive项目

主要功能在honeycomb.py中，该python脚本用于将implant提交的连接汇总，入库，再移交给到后端的hiveclient 。

如下所示为此工具的使用说明，设置开启的端口后运行，操作对应的日志文件会被保存。

WikiLeaks公开资料解读系列：CIA Hive项目

Server（implant）

Server端的代码结构如下所示：

 第一部分为对应各个版本的makefile文件（可以看到除了x86之外，还支持mips，ppc，sparc架构）

 第二部分为beacon，该部分代码用于和Loki’s Blot/Swindle通信，Loki’s Blot/Swindle为一套proxy，用于建立安全的通信并校验连接的implant，之后再将其转移至Honeycomb。

 第三部分的client_sesssion包含的主要的后门功能

 第四到第六部分别为对应的持久化，进程遍历及自毁模块

 第七部分为对应的Trigger，该Trigger用于过滤出网卡中的CC流量，并回连。

CC运行如下所示，需要制定对应的Loki’s Blot/Swindle回连地址，即keyid，该id用于和CC通信是进行校验。

WikiLeaks公开资料解读系列：CIA Hive项目

WikiLeaks公开资料解读系列：CIA Hive项目

Patcher

Patcher用于给implant打参数补丁，由于对应的implant每次启动需要定制参数，为了隐藏痕迹，可以通过Patcher给对应的一个的implant打入制定的参数补丁，如下所示即为对linux-x86打入对应运行参数的示例。

hive­patcher ­a 10.3.2.169 ­i 3600 ­j 5 ­m linux­x86 ­k “Testing Testing”

从源码中可以看到补丁的打入主要靠implant的平台进行区分。

WikiLeaks公开资料解读系列：CIA Hive项目

输入的参数通过拼接，直接写入到二进制文件中：

WikiLeaks公开资料解读系列：CIA Hive项目

Main中如下所示，除了一开始的参数初始化工作外最主要的功能如下所示：

1. 连接beacon，汇报基本的宿主机情况

2. 开启trigger，监控来自hiveclient的连接

WikiLeaks公开资料解读系列：CIA Hive项目

Beacon

beacon开启单独的线程运行，并最终在send_beacon_data中连接Loki’s Blot/Swindle，通过SSL协议发送连接数据，具体数据如下所示包含Mac地址，进程列表等：

WikiLeaks公开资料解读系列：CIA Hive项目

数据包本身经过一层加密：

WikiLeaks公开资料解读系列：CIA Hive项目

宿主信息在implant和Loki’s Blot/Swindle完成校验后，发送给Honeycomb，Honeycomb完成信息入库，并调用后端的hiveclient回连implant

Trigger

Trigger为implant中的激活部分，implant运行之后trigger监控网卡流量以识别来自于CC的连接（Solris下）。

WikiLeaks公开资料解读系列：CIA Hive项目

如下图所示函数dt_get_socket_fs函数中实现对具体网卡设备的流量过滤。

WikiLeaks公开资料解读系列：CIA Hive项目

具体的过滤分为两种，

如果是Solaris系统，依赖于DLPI函数库实现

WikiLeaks公开资料解读系列：CIA Hive项目

具体如下所示：

WikiLeaks公开资料解读系列：CIA Hive项目

如果是正常的Linux系统，通过原始套接字的方式，接收发往本机Mac的IP数据帧。

WikiLeaks公开资料解读系列：CIA Hive项目

捕获到对应流量后校验数据指定的字段以确保为CC流量。

WikiLeaks公开资料解读系列：CIA Hive项目

如下图所示为对应的校验算法，算法主要会依赖于以下两个校验项

1. 校验数据偏移8位置的到92位置的数据的CRC是否为内置的CRC值。

2. 校验CRC之后两位对应数字是否能被127整除。

WikiLeaks公开资料解读系列：CIA Hive项目

下图为手册中给出的对应流量包的结构

WikiLeaks公开资料解读系列：CIA Hive项目

一旦校验通过则进行triggered回连。

WikiLeaks公开资料解读系列：CIA Hive项目

目前来看trigger支持的UDP和TCP两种协议

WikiLeaks公开资料解读系列：CIA Hive项目

恶意功能

回连beacon完成校验之后，下图所示为implant支持的功能，包括基本的文件上传下载，程序执行及远程shell功能：

WikiLeaks公开资料解读系列：CIA Hive项目

Client

hiveclient的代码结构如下，和server基本对应：

WikiLeaks公开资料解读系列：CIA Hive项目

运行如下所示：

WikiLeaks公开资料解读系列：CIA Hive项目

整体架构

目前由于Loki’s Blot/Swindle的缺失，整体Hive的网络结构还不能完整的运行起来。

下图为在Hive指导手册中Hive使用场景基础上的一个补充图，攻击场景如下：

1. 使用patcher处理指定的implant

2. 部署implant到受害者机器

3. Implant和switchblade通信，完成校验

4. 校验完成，Honeycomd记录对应的日志，并将其交至最后的hiveclient/hive-ilm

5. 远端hiveclient/hive-ilm通过trigger触发implant

6. 如果implant需要更新通过hivereset对implant进行更新

下图为系统的整体架构；

WikiLeaks公开资料解读系列：CIA Hive项目

检测方法

Yara规则

360威胁情报中心建议通过以下Yara规则搜索匹配本机上的文件：

rule hive

{

meta:

description= "This is for CIA hive"

strings:

$elf= {7F 45 4C 46}

$cert1= "./server.crt"

$cert2= "./ca.crt"

$cert3= "./server.key"

$personalization= "7ddc11c4-5789-44d4-8de4-88c0d23d4029"

condition:

$elfat 0 and 3 of them and filesize < 1000KB

}

利用该Yara在VirusTotal上一共匹配到25个样本，从提交时间来看基本都是Hive源码泄露之后，未发现有早期的样本。

WikiLeaks公开资料解读系列：CIA Hive项目

关联项目/组件/行动

从泄露的相关文档来看，该项目没有相关的关联项目。

技术水平解读

该项目样本使用的技术并不复杂，但是作为前置的轻量级样本，Hive是合格的，亮点在于通过Loki’s Blot/Swindle建立proxy通道及跨平台的特性，从架构上看和与去年的Mirai在较为相似，由于都开放了源码，可能不久的将来，Mriai和Hive的子婿将会出现。。

应对措施

Hive本身只是一个恶意软件，并不具备主动攻击的特性，建议在本机搜索匹配包含木马特征的文件。