APT34的rx.exe工具 流量分析报告

工具概述

此工具是APT34工具包里的一个模块，原型是IntelliAdmin Remote Execute v1.0。用于远程执行。

使用方法

rx.exe -h [host] -u [user] -p [pass] [option] [filename] [arguments]

使用效果：
使用192.168.120.232远程主机上的cmd.exe
效果截图：

流量分析
1.协议协商和会话建立

2.连接到admin$共享

3.复制IntelliAdminRPC文件夹和rx.exe文件

4.连接到IPC共享

5.命令执行时的数据流量情况
如果不在CMD中执行命令，会在每2个TCP包中间隔12个SMB2包；如果在远程主机中的CMD中执行命令，则变成每2个TCP包中间隔3个SMB2包。且第一个SMB2包和第三个SMB2包会在DATA里面携带将要执行的命令。


6.明文返回远程执行的结果

检测方案

基于载荷的检测方法：
特征字符：IntelliAdminRPC、rx.exe、各种命令明文和返回执行结果的明文。
通过检测445端口，过滤携带特征字符信息数据包的ip地址。

基于统计的检测方法：
根据445端口或者根据ip地址统计TCP包和SMB2包
重点关注在2个TCP数据包之间间隔12个SMB2包的发送方ip地址。尤其是当收到明文命令的SMB2数据包后，TCP之间间隔的SMB2数据包变成了3个，并且会在之后的第一个TCP数据包后通过SMB2数据包返回执行结果明文。