搜索

[11132] 2017-03-15_双尾蝎（APT-C-23）：伸向巴以两国的毒针

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-03-15_双尾蝎（APT-C-23）：伸向巴以两国的毒针 双 尾 蝎 （ A P T - C - 2 3 ） ： 伸 向 巴 以 两 国 的 毒 针 3 6 0 企 业 安 全   F r e e B u f   2 0 1 7 - 0 3 - 1 5
摘 要 摘 要
2 0 1 6   年   5   月 起 至 今 ， 双 尾 蝎 组 织 （ A P T - C - 2 3 ） 对 巴 勒 斯 坦 教 育 机 构 、 军 事 机 构 等 重 要 领 域 展 开 了 有 组 织 、 有 计 划 、 有 针 对 性 的 长 时 间 不 间 断 攻 击 。 攻 击 平 台 主 要 包 括   W i n d o w s   与   A n d r o i d ， 攻 击 范 围 主 要 为 中 东 地 区 ， 截 至 目 前 我 们 一 共 捕 获 了   A n d r o i d   样 本   2 4   个 ， W i n d o w s   样 本   1 9 个 ， 涉 及 的   C & C   域 名   2 9   个 。 后 门 程 序 主 要 伪 装 成 文 档 、 播 放 器 、 聊 天 软 件 以 及 一 些 特 定 领 域 常 用 软 件 ， 通 过 鱼 叉 或 水 坑 等 攻 击 方 式 配 合 社 会 工 程 学 手 段 进 行 渗 透 ， 向 特 定 目 标 人 群 进 行 攻 击 。 相 关 恶 意 可 执 行 程 序 多 为 “ . e x e ” 和 “ . s c r ” 扩 展 名 ， 但 是 这 些 程 序 都 伪 装 成   d o c 、 x l s   文 档 图 标 ， 并 且 文 件 中 还 包 含 一 些 用 以 迷 惑 用 户 的 文 档 。 攻 击 者 在 诱 饵 文 档 命 名 时 也 颇 为 讲 究 ， 如 “ ﻣ ﻼ ا   ن   ة ي   ة ز ھ ﺠ ﻼ ا ” （ 安 全 服 务 ） 、 “ E g y p t i a n   B e l l y   D a n c e r   D i n a   S c a n d a l ,   F r e e   P o r n ” （ 肚 皮 舞 者   D i n a   丑 闻 ， 色 情 ） ， 此 类 文 件 名 容 易 诱 惑 用 户 点 击 。 A n d r o i d   端 后 门 程 序 功 能 主 要 包 括 定 位 、 短 信 拦 截 、 电 话 录 音 等 ， 并 且 还 会 收 集 文 档 、 图 片 、 联 系 人 、 短 信 等 情 报 信 息 ； P C   端 后 门 程 序 功 能 包 括 收 集 用 户 信 息 上 传 到 指 定 服 务 器 、 远 程 下 载 文 件 以 及 远 控 。 通 过 相 关 信 息 的 分 析 ， 发 现 该 组 织 极 有 可 能 来 自 中 东 。 关 键 词 ： 关 键 词 ： 双 尾 蝎 、 双 尾 蝎 、 A P T 2 3 、 巴 勒 斯 坦 、 教 育 、 军 事 、 鱼 叉 、 水 坑 、 伪 装 、 巴 勒 斯 坦 、 教 育 、 军 事 、 鱼 叉 、 水 坑 、 伪 装 目 目   录 录 第 一 章   概 述 第 二 章   受 影 响 情 况 一 、 地 域 分 布 二 、 领 域 分 布 第 三 章   载 荷 投 递 一 、   攻 击 方 式 二 、   诱 饵 文 件 第 四 章   后 门 分 析 一 、   A N D R O I D 二 、   W I N D O W S 第 五 章   C & C   分 析 一 、   W H O I S   隐 私 保 护 二 、   C & C   服 务 器 地 域 分 布 三 、   C & C 、 I P   及 部 分 样 本 对 应 关 系 第 六 章   关 联 分 析 总 结 附 录   A ： 样 本   M D 5 附 录   B ： C & C   列 表 第 一 章 第 一 章   概 述 概 述 2 0 1 6   年   5   月 起 至 今 ， 双 尾 蝎 组 织 （ A P T - C - 2 3 ） 对 巴 勒 斯 坦 教 育 机 构 、 军 事 机 构 等 重 要 领 域 展 开 了 有 组 织 、 有 计 划 、 有 针 对 性 的 长 时 间 不 间 断 攻 击 。
攻 击 平 台 包 括   W i n d o w s   与   A n d r o i d ， 攻 击 范 围 主 要 为 中 东 地 区 ， 截 至 目 前 我 们 一 共 捕 获 了   A n d r o i d   样 本   2 4   个 ， W i n d o w s   样 本   1 9   个 ， 涉 及 的   C & C   域 名 2 9   个 。 2 0 1 6   年   5   月 ， 我 们 捕 获 了 第 一 个   A n d r o i d   平 台 下 的 相 关 特 种 木 马 ， 在 此 后 的 半 年 中 ， 我 们 又 先 后 捕 获 了 与 该 组 织 相 关 的 不 同 形 态 的 特 种 木 马 程 序 样 本 数 十 个 。 并 且 在   2 0 1 6   年   7   月 开 始 捕 获 到   W i n d o w s   系 统 的 相 关 木 马 程 序 。 该 木 马 主 要 伪 装 成 文 档 、 播 放 器 、 聊 天 软 件 以 及 一 些 特 定 领 域 常 用 软 件 ， 通 过 鱼 叉 或 水 坑 等 攻 击 方 式 配 合 社 会 工 程 学 手 段 进 行 渗 透 ， 向 特 定 目 标 人 群 进 行 攻 击 。 入 侵 成 功 后 攻 击 者 开 始 窃 取 目 标 系 统 中 的 各 类 文 档 资 料 并 且 进 行 实 时 监 控 。 3 6 0   威 胁 情 报 中 心 将   A P T - C - 2 3   组 织 命 名 为 双 尾 蝎 ， 主 要 是 考 虑 了 以 下 几 方 面 的 因 素 ： 一 是 该 组 织 同 时 攻 击 了 巴 勒 斯 坦 和 以 色 列 这 两 个 存 在 一 定 敌 对 关 系 的 国 家 ， 这 种 情 况 在 以 往 并 不 多 见 ； 二 是 该 组 织 同 时 在   W i n d o w s   和 A n d r o i d   两 种 平 台 上 发 动 攻 击 。 虽 然 以 往 我 们 截 获 的   A P T   组 织 中 也 有 一 些 进 行 多 平 台 攻 击 的 例 子 ， 如 海 莲 花 ， 但 绝 大 多 数   A P T   组 织 攻 击 的 重 心 仍 然 是   W i n d o w s   平 台 。 而 同 时 注 重 两 种 平 台 ， 并 且 在   A n d r o i d   平 台 上 攻 击 如 此 活 跃 的   A P T   组 织 ， 在 以 往 并 不 多 见 。 第 三 个 原 因 就 是 蝎 子 在 巴 以 地 区 是 一 种 比 较 有 代 表 性 的 动 物 。 综 上 ， 根 据   3 6 0   威 胁 情 报 中 心 对   A P T   组 织 的 命 名 规 则 （ 参 见 《 2 0 1 6   年 中 国 高 级 持 续 性 威 胁 研 究 报 告 》 ） ， 我 们 命 名   A P T - C - 2 3   组 织 为 “ 双 尾 蝎 ” 。 第 二 章 第 二 章   受 影 响 情 况 受 影 响 情 况 本 章 主 要 对 相 关 攻 击 行 动 所 针 对 目 标 涉 及 的 地 域 和 行 业 进 行 相 关 统 计 分 析 ， 时 间 范 围 选 择   2 0 1 6   年   5   月   1   日 到 至 今 。 一 、 地 域 分 布 一 、 地 域 分 布 双 尾 蝎 行 动 主 要 针 对 目 标 为 巴 勒 斯 坦 ， 占 比 高 达   8 4 . 8 % ， 其 次 是 以 色 列 ， 占   8 . 1 % ， 分 布 如 图   1   所 示 。 图   1   受 影 响 地 域 分 布 二 、 领 域 分 布 二 、 领 域 分 布 从 行 业 分 布 上 看 ， 教 育 机 构 是 双 尾 蝎 行 动 重 点 针 对 目 标 ， 其 次 是 军 事 机 构 ， 具 体 分 布 如 图   2   所 示 。
图   2   受 影 响 行 业 分 布 第 三 章 第 三 章   载 荷 投 递 载 荷 投 递 一 、 一 、   攻 击 方 式 攻 击 方 式 1 ） ）   水 坑 攻 击 水 坑 攻 击 A n d r o i d   端 间 谍 软 件 主 要 伪 装 成   F a c e b o o k   升 级 模 块 、 聊 天 软 件 以 及 T a w j i h i   2 0 1 6 （ T a w j i h i   是 约 旦 和 巴 勒 斯 坦 的 一 种 类 似 于 高 考 的 考 试 ） ， 通 过 挂 载 在 具 有 迷 惑 性 的 下 载 网 址 上 引 诱 目 标 下 载 安 装 。 攻 击 者 注 册 了 一 系 列 类 似 于 g o o o g e l . o r g   、   a c o u n t - m a n a g e r . i n f o   、 a p p p u r e . i n f o   这 种 具 有 迷 惑 性 的 网 址 ， 并 且 上 面 都 挂 着 许 多 正 常 样 本 用 于 干 扰 、 迷 惑 ， 从 而 导 致 用 户 中 招 。 表   1   是 某 恶 意 程 序 具 体 下 载 链 接 和 链 接 对 应 的 R A R   文 件   M D 5 。 表 1   恶 意 程 序 下 载 链 接 和 链 接 对 应 的 R A R 文 件 M D 5 z i p   压 缩 包 中   e x e   文 件 使 用 . s c r   后 缀 ， 该 格 式 为   e x e   的 衍 生 类 型 ， 并 且 通 过 修 改   e x e   图 标 为 文 档 来 诱 导 用 户 点 击 。 进 一 步 分 析 ， 还 发 现 了 部 分 恶 意 程 序 下 载 链 接 。 2 ） ）   疑 似 鱼 叉 邮 件 疑 似 鱼 叉 邮 件 相 关 恶 意 可 执 行 程 序 多 为 “ . e x e ” 和 “ . s c r ” 扩 展 名 ， 但 是 这 些 文 件 都 伪 装 成   d o c 、 x l s   文 档 图 标 ， 并 且 文 件 中 还 包 含 一 些 用 以 迷 惑 用 户 的 文 档 ， 从 以 往 此 类 事 件 的 分 析 经 验 来 看 ， 一 般 这 类 可 执 行 程 序 均 进 行 压 缩 ， 以 压 缩 包 形 态 发 送 。 压 缩 包 和 包 内 恶 意 代 码 文 件 名 一 般 是 针 对 目 标 进 行 精 心 构 造 的 文 件 名 ， 相 关 文 件 名 一 般 与 邮 件 主 题 、 正 文 内 容 和 恶 意 代 码 释 放 出 的 诱 饵 文 档 内 容 相 符 ， 因 此 这 次 攻 击 行 动 极 有 可 能 会 以 鱼 叉 邮 件 的 方 式 进 行 投 递 。 二 、 二 、   诱 饵 文 件 诱 饵 文 件 双 尾 蝎 行 动 中 主 要 使 用 两 种 文 件 形 式 。 h t t p : / / a c o u n t - m a n a g e r . i n f o / F 5 Y V W R D B b n s g h W e 6 l N 4 D S R e d B 2 F s V U 1 Q / d o w n l o a d _ _ _ _ _ _ _ _ _ _ . z i p h t t p : / / d r i v e . a c o u n t - m a n a g e r . n e t / F 5 Y V W R D B b n s g h W e 6 l N 4 D S R e d B 2 F s V U Q / d o w n l o a d f i l e _ _ _ _ _ _ _ _ _ _ _ _ . z i p
一 种 是 通 过   w i n r a r   的 自 解 压 功 能 将 相 关 样 本 文 件 和 诱 饵 文 件 打 包 为 e x e   文 件 ， 运 行 该   e x e   文 件 ， 会 释 放 出 恶 意 样 本 并 打 开 诱 饵 文 件 进 行 伪 装 。 其 中   e x e   母 体 文 件 主 要 通 过 图 标 进 行 伪 装 ， 涉 及 的 图 标 包 括 安 装 补 丁 、 视 频 、 文 档 等 ， 并 且 文 件 名 一 般 是 针 对 目 标 进 行 精 心 构 造 的 文 件 名 ， 与 释 放 出 的 诱 饵 文 档 内 容 相 符 ， 通 过 样 本 属 性 中 的 注 释 ， 可 以 看 到 内 嵌   S F X   s c r i p t   c o m m a n d s 。 另 一 种 是 使 用   s c r   后 缀 名 的 文 件 ， 该 文 件 格 式 是   W i n d o w s   系 统 中 屏 幕 保 护 程 序 ， 为   e x e   的 衍 生 类 型 ， 通 过 在 资 源 段 存 放 诱 饵 文 档 ， 运 行 该 类 型 的 恶 意 文 件 后 ， 会 首 先 打 开 诱 饵 文 件 进 行 伪 装 。 1 )   文 档 类 文 档 类 据 网 上 公 开 消 息 得 知 ， 巴 勒 斯 坦 高 考 是   6   月 份 开 始 ， 持 续   2 0   天 ， 而 这 一 时 期 我 们 捕 获 的 样 本 中 就 有 伪 装 成 “ T a w j i h i   2 0 1 6 ” （ 高 考   2 0 1 6 ） 的   A n d r o i d   应 用 程 序 ， 同 时 期 从   W i n d o w s   平 台 捕 获 的 样 本 使 用 的 诱 饵 文 档 是 巴 勒 斯 坦 2 0 1 5   年 高 考 成 绩 ， 如 图   3   所 示 。 图   3   诱 饵 文 档 从 攻 击 时 间 和 伪 装 内 容 的 选 取 上 ， 可 以 看 出 攻 击 者 目 标 很 明 确 具 有 很 强 的 针 对 性 。 教 育 一 直 是 各 个 国 家 非 常 重 视 的 领 域 ， 特 别 是 巴 勒 斯 坦 从   2 0 0 7 年 内 部 分 裂 以 后 ， 直 到   2 0 1 4   年 才 进 行 了   7   年 来 第 一 次 全 国 统 一 高 考 。 对 于 巴 勒 斯 坦 人 来 说 ， 高 考 更 显 得 重 要 ， 攻 击 者 选 取 这 个 领 域 也 是 别 有 用 心 。 除 此 之 外 还 有 包 含 军 事 类 新 闻 信 息 的 伪 装 文 档 ， 例 如 ， 图   4   内 容 是 加 沙 地 区 某 军 事 事 件 的 采 访 新 闻 ， 图   5   是 关 于 加 沙 地 区 军 事 领 导 人 的 任 命 消 息 ：
图   4   诱 饵 文 档 图   5   诱 饵 文 档 2 )   软 件 类 软 件 类 用 于 攻 击 的 后 门 程 序 都 是 经 过 伪 装 的 ， A n d r o i d   端 主 要 是 伪 装 成   F a c e b o o k   升 级 程 序 和 其 他 一 些 常 用 软 件 ， W i n d o w s   端 主 要 伪 装 成 播 放 器 、 文 档 等 常 用 图 标 。 图   6   欺 骗 性 软 件 图 标
图   7   欺 骗 性 软 件 图 标 3 )   视 频 类 视 频 类 部 分 后 门 程 序 通 过 将 样 本 文 件 和 播 放 器 文 件 （ . m p 4 ） 打 包 为   e x e   文 件 来 进 行 传 播 。 诱 饵 视 频 文 件 如 图   8   所 示 。 图   8   诱 饵 视 频 4 )   图 片 类 图 片 类
图   9   诱 饵 图 片 5 )   文 件 名 伪 装 文 件 名 伪 装 图   1 0   部 分 文 件 名 从 上 图 文 件 名 可 以 看 出 ， 攻 击 者 在 诱 饵 文 档 命 名 时 也 颇 为 讲 究 ， 如 “ ﻣ ﻼ ا   ن   ة ي   ة ز ھ ﺠ ﻼ ا ” （ 安 全 服 务 ） 、 “ E g y p t i a n   B e l l y   D a n c e r   D i n a   S c a n d a l ,   F r e e   P o r n ” （ 肚 皮 舞 者 D i n a 丑 闻 ， 色 情 ） ， 此 类 文 件 名 容 易 诱 惑 用 户 点 击 。 第 四 章 第 四 章   后 门 分 析 后 门 分 析 一 、 一 、   A n d r o i d A n d r o i d   平 台 相 关 后 门 程 序 可 以 在 拨 打 电 话 或 是 收 到 来 电 时 ， 开 启 录 音 功 能 ：
图   1 1   监 听 电 话 并 且 通 过 拦 截 短 信 ， 可 以 根 据 短 信 内 容 开 启 录 音 或 是 上 传 录 音 文 件 功 能 ： 图   1 2   根 据 短 信 内 容 开 启 录 音 功 能 除 了 定 位 、 短 信 拦 截 、 电 话 录 音 等 监 控 功 能 ， 后 门 程 序 还 要 负 责 收 集 文 档 、 窃 取 联 系 人 、 上 传 短 信 内 容 等 情 报 信 息 收 集 ， 相 关 类 名 和 功 能 如 下 表 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理