文章来源：冷渗透
--------------------
嗨，好久不见
历经一个月
由于4月份在保密期
所以删除了文章
后面对文章进行了一小部分更新
--------------------
为了不浪费有些大师傅的时间，先提前报备一下。
本篇不是技术文章
没有结局
也没有成功
因为最终没有拿到对方的隐私信息。
如果没有时间，可以直接翻到最后。
这篇文章的目的
主要是希望国内企业，特别是医疗单位，重视网络安全。
同时，因为很少看到针对国外黑客组织的社工类文章
所以就记录一下。
4月30日更新
完成了最后的倔强，已经看过的师傅
可以直接跳转到最后的0x03落幕
0x01 背景介绍
时间线
2020年4月28日早
在黑白之道看到这篇文章。
下午
接到上级单位的任务，寻找一些蛛丝马迹。
信息分析
1. 观察公开的图片中，只有@THE0[.]TIME的水印
2.Google/Baidu/twitter/darkweb爬虫接口/简单搜索了一下THE0[.]TIM关键字后，发现除了公开的新闻外，都没什么有价值信息。
3. 后在Telegram搜索，发现了一个名为“00:00”的电报频道。
该频道的标签#DataBounty（数据赏金）
4. 实锤取证
THE0[.]TIME符合00:00，zero time的含义。
（ps:不想被搜索引擎的关键字轻易匹配到，所以加入[.]符号进行规避）
进入后检索历史消息
果然发现了从国内窃取的数据文件，实锤。
从历史消息来看，该黑客组织在4月15日就已经拿到数据并开始贩卖。
并声称，拿到的数据信息分为四部分：
①用户数据
②技术数据
③研究成果
④COVID-19疫情相关资料
频道中还公布了一个视频和若干图片样本。
并且图片均带有汇医慧影的水印。
因为部分视频图片的敏感性，所以就不全部放出了。
仔细观察第一张截图
看到一处
For buy:
@Unfrein[.]ded
点开后，此人电报昵称为0x1。
后来与他交流，确定此人即为，窃取国内数据的zero time黑客组织核心成员。
5. 攻击者公开信息整理
把该组织公开的信息，进行了一下整理。
①联系方式：
Telegram账户：@Unfre[.]inded
Jabber账户: z3r0t1m3@[.]xmpp.jp
②电报频道：https://t.me/The0[.]Time
③zero time核心成员0x1
④两个区块链钱包地址:
a. BTC
1Mb131pc1igShCz2pD6UuzRB4BdK6AmYJ5
b. USDT
1GyeoHwWpkmHbeuMqwvp7MZSwgXsK3Y
⑤区块链货币交易查询
截止2月28日下午，暂未出现交易情况
但USDT的查询地址无效
0x02 心理战
为了寻找更多的蛛丝马迹，
九号索性使用土味式英语，与ZeroTime组织核心成员0x1，进行了一次无果的社工交流。
———————————————————————
伪造身份：德国人，以假装购买数据的需求，与对方进行了交流。
目的：尽可能的调查清楚对方窃取到手的数据内容和对手情况。
———————————————————————
正文开始
halo式问候完，开门见山。
不管国内外
陌生人之间，最大的障碍无非是信任二字
人性的弱点。
①欲情故纵，首先质疑对方data的真实性。
他就为了解释证明，巴拉巴拉的说一堆。
②顺其自然，抛出愿意“相信”对方，trust you。
对方又甩了两张窃取的资料图片，证实真实性。
③“赞赏”对方，说了句酷cool。
（内心想法是，酷他个锤子，恨不得扒了你的皮）
纯粹是为了让他感觉交流舒畅，温水煮青蛙。
⑤开始试探
没购买之前，自然不会直接给我们放出数据的详细内容，但我们可以打探他窃取的内容“轮廓”。得到如下结果：
a. 1700行，1000名左右的用户信息。
b. 分别来自湖北、Youan(地域不明，猜测是云南？)、shanxi(陕西或山西)、河南地区的医疗单位账号
c. 数据格式（图片打码区域）：账号密码、权限、用户名以及注册单位等（不幸中的万幸，不包含医护人员的身份证详细地址什么的）
⑥一探到底
我想让他发一些更多未公开的信息，他后来拍了一张照片
内容是汇医慧影的AI辅助系统控制文档。
接着，他说如果我不想买，就直说。
担心问太多了，引起怀疑。
⑦假装“砍价”
为了让他相信，媒体曝光说是4btc。
我直接就砍价到1比特币，对面问号三连
1btc买它所有东西，显然不现实。
所以我说，一半。买它一半的东西，source code和data。
对方说2.5比特币，把所有的给我。
我说2比特币，有来有回地“砍”他。
砍价只是个幌子，其目的还是在于打探更多的信息。
所以，我插了一句，问他是哪个国家的
结果，对方来了句，他们是一个地下组织...
很明显，警惕性。
还说，“请叫我们zero time或者00:00”。（真是一群夜半三更出门干坏事的鬼）
把握机会，再次 “赞赏”他，让他开心，加火，继续温水煮青蛙。
而后，对方又回到正题说，如果我准备好了，就开始交易。（交易他个锤子）
我假装自己比特币钱包余额不够2.2btc，跟他说，我要跟老大商量一下。
趁势又“谄媚”了一句，说你们有如此高的技术，想后期跟你们团队“合作”。（是想获得对方更多信息）
但果不其然，对方警惕。
他说，他们zero time会评估核验每一个合作或者加入的人。（没戏）
同时，又发了一张国内的病史化验报告。
说实话，到此处心情有点难受，看见几份中文大字的报告图，被一个黑产老外拿捏在手。
4月28日，交流结束。
⑧让小朋友一脸问号的一幕
4月29日，我想获取他ip试试
构思了一个方法，钓鱼URL重定向。
虽然明知这种方法，失败率很高，
就算我构造了一个URL发过去
他也不一定点开
就算他点开了
他也八九成不是真实ip
但还是想试试。
首先，因为了解对方手里窃取到的用户数据，是用于登录汇医慧影网站的。
所以，这里用一个跟踪器，构造一个重定向的URL：https://catsnthing.com/CWEDAI
用于重定向到http://en.huiyihuiying.com 汇医慧影的网站。
其目的是，对方访问后，记录他的IP地址。
有点虚哈哈
然后，找个借口。发给对方
等到下午，他回复我了，立即打开后台，查看是否有对方的IP记录。
红色框出来的，即为抓到的ip：244.242.105.51，其余均为我挂了代理测试的ip记录。
然后，我去搜索该IP的归属地时
让人大跌眼镜的一幕发生了
这是一个E类的IP地址，而且是保留地址...
此时的心情
我考虑过对方不会点击我的URL，
考虑过会挂VPN代理，
但始终没想过会出现保留地址的情况。
最开始的推测是，对方在数据包中伪造了XFF等系列头
但自己本地测试后，发现这种伪造的做法并不会干扰影响对我的URL跟踪器结果。
所以，进行到这，思路暂时断了。
目前掌握的信息只有以下内容
①记录的保留地址IP
②搜集到的公开信息
最后，在电报频道，还发现他们在售卖了国内另一个系统的数据（crmeb.com）
可信度无法判断，仅以此做个提醒
与此同时，其它国家的数据也能在其中找到。
这是一个真实的案例，也是失败的案例。
至此，只能先告一段落。
————————————————————
0x03 落幕
IP分析
4月30日
对昨天拿到的ip：244.242.108.51
在各大威胁情报引擎检索，并无收获。
只在一个地方发现该IP曾在2019年被发送过大量垃圾邮件
思考了很久...
为什么会是抓到的IP是保留地址
把这件事跟实验室的顾师傅分享了
我们不断篡改HTTP数据头，
反复对IP记录器的钓鱼URL进行碰撞。
也办法复现保留地址的IP场景
世界观感觉要崩塌了。
柳暗花明
然后我们又回到了IP Logger的记录后台
顾师傅多年的爬虫经验
对HTTP数据包的头部有着敏感的嗅觉
发现，User-Agent像极了Tor浏览器的头部信息。
立即动手实验，
我们使用Tor浏览器访问百度，对比我们IP Logger抓到的头部信息
果不其然，丝毫未差，一模一样。
可是这跟我们的保留地址IP有什么关系呢？
在查阅了一些关于Tor浏览器的资料后
意外发现了一篇国外的文章
文章介绍了，他在对一次攻击行为的数据包流量进行分析时，
惊讶地发现，拿到的IP是254.110.107.86，
查看归属地，发现同样也是一个保留地址。
但他发现，其它数据包流量中最后有一行是86.107.110.254的IP地址
而86.107.110.254恰好是IP地址254.110.107.86的反转。
——————————————————
作者的解释是
对方机器使用的是小端模式（little endian）
而不是大端模式（big endian）
这时候我们老大说了一句
这或许就是为什么
114.114.114.114和8.8.8.8这两个IP
会用做DNS服务器的其中一个原因。
因为可能有的机器采用大端模式，有的采用小端模式。
而114.114.114.114和8.8.8.8这两个IP
无论怎么反转，都还是不变，对大小端机器都适用。
在小端模式中,低位字节放在低地址,高位字节放在高地址;
在大端模式中,低位字节放在高地址,高位字节放在低地址
——————————————————
大胆推测
这是不是像极了我们当下的情况。
抓到的IP：244.242.108.51
将其反转：51.108.242.244
IP归属地，从保留地址>>>到英国
蓦然回首，柳暗花明。
于是，我们多了一条线索
IP：51.108.242.244
归属地：英国
虽然这应该还只是，对方多重Tor节点中的最后一个IP而已。
这是一个真实的案例，也是失败的案例。
至此，只能告一段落。
毕竟眼前的ZeroTime，是一个国际黑产组织
手握多少0day不知道
其安全技术可能领先于一般的水平。
一己之力固然难以抗衡
虽然明知是南墙，但还是想撞一撞。
感觉像是写了一个故事，却又是真实场景。
虽然不在国家单位工作，
但我们服务于国家，
更授命保护于国家。
毕竟，我们是中国白帽子。
推荐文章++++
