搜索

[16757] 2021-05-07_OperationMagichm：蔓灵花组织的CHM文件投放与后续操作

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-05-07_OperationMagichm：蔓灵花组织的CHM文件投放与后续操作 O p e r a t i o n   M a g i c h m ： 蔓 灵 花 组 织 的 C H M 文 件 投 放 与 后 续 操 作 奇 安 信   F r e e B u f   2 0 2 1 - 0 5 - 0 7 概 述 概 述 蔓 灵 花 （ B I T T E R ） 是 疑 似 具 有 南 亚 背 景 的 A P T 组 织 ， 该 组 织 长 期 针 对 中 国 ， 巴 基 斯 坦 等 国 家 进 行 攻 击 活 动 ， 主 要 针 对 政 府 、 军 工 业 、 电 力 、 核 能 等 单 位 进 行 定 向 攻 击 ， 窃 取 敏 感 资 料 。 近 日 ， 奇 安 信 威 胁 情 报 中 心 在 日 常 监 控 过 程 中 发 现 蔓 灵 花 A P T 组 织 开 始 通 过 邮 箱 投 递 包 含 有 恶 意 脚 本 C h m 文 件 的 R A R 压 缩 包 ， 对 国 内 外 相 关 单 位 发 起 定 向 攻 击 ， 经 过 遥 测 此 类 的 攻 击 行 动 已 经 持 续 两 年 ， 我 们 将 其 成 为 o p e r a t i o n m a g i c h m 。 经 过 溯 源 ， 本 次 攻 击 活 动 中 蔓 灵 花 采 用 了 与 以 往 截 然 不 同 的 攻 击 链 ， 使 用 . n e t 远 控 作 为 节 点 执 行 命 令 或 者 下 发 插 件 ， 并 下 发 了 一 个 之 前 从 未 被 披 露 过 的 新 模 块 。 攻 击 全 流 程 如 下 ： 样 本 分 析 样 本 分 析 第 一 阶 段 样 本 均 通 过 邮 件 进 行 投 递 ， 附 件 中 包 含 启 动 C h m 后 会 执 行 内 置 的 恶 意 脚 本
创 建 计 划 任 务 从 远 程 服 务 器 下 载 m s i 并 执 行 ， 通 过 天 擎 日 志 我 们 发 现 一 个 有 趣 的 现 象 ， 受 害 者 在 1 6 : 2 1 分 时 打 开 恶 意 文 件 创 建 计 划 任 务 ， 1 6 : 5 2 成 功 从 服 务 器 下 载 并 执 行 M s i 文 件 ， 在 c : i n t e l l o g s 目 录 下 释 放 名 为 d l h o s t . e x e 的 p a y l o a d 。 文 件 名 文 件 名 M D 5 类 型 类 型 d l h o s t . e x e 2 5 a 1 6 b 0 f c a 9 a c d 7 1 4 5 0 e 0 2 a 3 4 1 0 6 4 c 8 d P E 该 样 本 为 蔓 灵 花 组 织 常 用 的 A r t r a D o w n l o a d e r C 2 ： 8 2 . 2 2 1 . 1 3 6 . 2 7 / / / R g u h s T / a c c e p t . p h p ? a = X X & b = X X & c = X X & d = X X & e = 但 文 件 一 落 地 就 被 天 擎 查 杀 ， 并 没 有 执 行 后 续 操 作 ， 接 着 蔓 灵 花 组 织 花 了 半 小 时 的 时 间 来 替 换 服 务 器 上 的 p a y l o a d ， 直 到 1 7 : 2 1 分 时 受 害 者 才 成 功 下 载 了 一 种 免 杀 的 D o w n l o a d e r ， 我 们 将 其 命 名 为 M u u y D o w n L o a d e r ， 信 息 如 下 ： 文 件 名 文 件 名 M D 5 类 型 类 型 o t x _ l i v e . e x e 6 4 5 2 e 2 c 2 4 3 d b 0 3 e c b c a c d 0 4 1 9 f f 8 b e b f P E 创 建 “ C h e c k ” 信 号 量 用 于 互 斥 ，
检 查 是 否 存 在 3 6 0 t o t a l S e c u r i t y 、 T e n c e n t 、 k a s p e r s k y 等 信 息 ， 将 自 身 拷 贝 到 % u s e r p r o f i l e % a p p d a t a r o a m i n g m i c r o s o f t w i n d o w s s e n d t o 命 名 为 w i n u p d . e x e 收 集 本 机 信 息
进 入 下 载 流 程 解 密 C 2 。 访 问 的 U R L 如 下 U R L 含 义 含 义 O t P e f h e P b v w / o n l i n e d a t a 1 i n f . p h p ? d a t a = { 收 集 的 本 机 数 据 } 发 送 本 机 相 关 信 息 O t P e f h e P b v w / d a t a r c v o n i n f i l e . p h p ? i d a t a = 发 起 下 载 p a y l o a d 请 求 ， 返 回 p a y l o a d 名 称 O t P e f h e P b v w / n n o d a t a 3 i n f . p h p ? i n f 1 = 检 查 p a y l o a d 是 否 在 运 行 O t P e f h e P b v w / x F i i L 3 3 i 5 s x / % p a y l o a d N a m e % 若 p a y l o a d 没 有 在 运 行 ， 则 下 载 下 载 成 功 后 会 存 放 在 % u s e r p r o f i l e % a p p d a t a r o a m i n g m i c r o s o f t w i n d o w s s e n d t o 目 录 下 ， 样 本 信 息 如 下 ： 文 件 名 文 件 名 M D 5 类 型 类 型 m s m p e n q . e x e 7 c f 4 e a 9 d f 2 f 2 e 4 0 6 f a c 2 3 d 7 1 1 9 4 c 7 8 f d . n e t 样 本 为 B i t t e r 组 织 常 用 的 . n e t 远 控 程 序 C 2 被 转 换 为 十 六 进 制 存 放 在 配 置 文 件 中 ， C 2 : 4 5 . 1 1 . 1 9 . 1 7 0 : 3 4 3 1 8 在 以 往 对 B i t t e r 组 织 的 研 究 中 我 们 仅 仅 将 . n e t 远 控 作 为 A r t r a D o w n l o a d e r 的 一 个 插 件 来 看 待 ， 主 要 功 能 为 窃 取 受 害 者 数 据 ， 但 在 本 次 攻 击 活 动 中 ， 我 们 首 次 发 现 该 团 伙 将 其 作 为 分 发 插 件 的 节 点 。 分 发 的 插 件 均 做 了 免 杀 处 理 ， 信 息 如 下 ： 文 件 名 文 件 名 M D 5 类 型 类 型 功 能 功 能 S y s m g r . e x e a d e 9 a 4 e e 3 a c b b 0 e 6 b 4 2 f b 5 7 f 1 1 8 d b d 6 b V C 文 件 收 集 模 块 s c v h o s t . e x e 5 7 8 9 1 8 1 6 6 8 5 4 0 3 7 c d c f 1 b b 3 a 0 6 a 7 a 4 f 3 V C 键 盘 记 录 模 块 w i n s y n c . e x e e b 6 f 0 c f b 0 d f f 0 f [ b ] 5 0 4 d c 1 f 0 6 0 f 0 2 a d a a C A B - S F X 备 份 模 块 值 得 一 提 的 是 分 发 插 件 前 会 使 用 节 点 远 控 执 行 c m d 命 令 ， 例 如 会 执 行 t a s k l i s t   |   f i n d   “   S y s m g r ” 命 令 来 判 断 插 件 是 否 正 在 运 行 。 下 发 插 件 后 会 使 用 s c h t a s k s 命 令 来 实 现 插 件 的 持 久 化 。
S y s m g r . e x e 是 B i t t e r 组 织 常 用 文 件 收 集 模 块 的 免 杀 版 本 ， 在 B i t t e r 以 往 的 攻 击 活 动 中 该 类 型 的 插 件 名 称 一 般 都 为 L s a p i p 、 L s a p 、 L s a p c r 、 L s a p c 等 ， 均 由 A r t r a D o w n l o a d e r 下 发 。 之 后 通 过 P O S T 将 数 据 发 送 到 远 程 服 务 器 上 C 2 ： s v c 2 m c x w a v e . n e t / U i h b y w s c T Z / 4 5 U g t y 8 4 5 n v 7 r t . p h p s c v h o s t . e x e 是 B i t t e r 组 织 常 用 的 键 盘 记 录 模 块 ， 在 在 B i t t e r 以 往 的 攻 击 活 动 中 该 类 型 的 插 件 名 称 一 般 都 为 I g f x s r v k 、 、 k e y l o g g e r 等 名 称 ， 同 样 由 A r t r a D o w n l o a d e r 下 发
w i n s y n c . e x e 是 一 款 之 前 从 未 被 披 露 的 模 块 ， 我 们 将 其 称 之 为 备 用 模 块 B a c k u p D o w n l o a d e r ， 由 C A B - S F X 打 包 而 成 ， 执 行 过 程 中 释 放 并 执 行 a p p s y n c . v b s 脚 本 。 通 过 c m s t p 执 行 恶 意 i n f 脚 本 ， i n f 脚 本 调 用 p o w e r s h e l l 从 远 程 服 务 器 下 载 p a y l o a d （ w d i s v c n o t i f y h o s t . c o m / n 9 b r C s 2 1 / a p p r u n ） ， 最 后 将 其 注 册 为 计 划 任 务 实 现 持 久 化 。 我 们 观 察 到 当 核 心 . n e t 节 点 正 常 运 行 时 ， 远 程 服 务 器 上 的 P a y l o a d 一 直 处 于 4 0 4 状 态 ， 当 核 心 节 点 被 杀 软 或 者 人 工 清 除 ， 攻 击 者 才 会 在 远 程 服 务 器 上 传 免 杀 后 的 核 心 节 点 ， 核 心 节 点 复 活 后 ， 攻 击 者 首 先 执 行 了 键 盘 记 录 模 块 ， 并 使 用 c m d 命 令 评 估 损 失 情 况 。
关 联 分 析 关 联 分 析 基 于 奇 安 信 遥 测 数 据 ， 我 们 发 现 B i t t e r   A P T 组 织 最 晚 于 2 0 1 9 年 中 时 开 始 投 递 恶 意 C h m 邮 件 ， 历 史 捕 获 到 的 样 本 如 下 ： 文 件 名 文 件 名 U R L 2 0 2 1 0 2 2 5 . d o c . c h m h t t p : / / y o u x i a n g x i e z h u . c o m / y o u x i / c r t . p h p ? h = S u s p i c i o u s   N T C   M a i l   S e r v e r   A c c e s s   L o g s . c h m h t t p : / / s a r t e t e x t i l e . c o m / i m g / w n s e t u p . m s i 海 事 政 策 分 析 和 对 南 亚 的 港 口 安 全 影 响 . c h m h t t p : / / w i n d i a g n o s t i c s v c . n e t / j s c r i p t / j s p . p h p ? h = S H I P M E N T   T O   P N S   I N V O I C E   N O   0 3 0 2 1 . c h m h t t p : / / m y p r i v a t e h o s t s v c . c o m / b r / j s . p h p ? h = S O P   f o r   L o g g i n g   o u t   M a i l   a n d   P C s . c h m h t t p : / / m y p r i v a t e h o s t s v c . c o m / x u i s y / c s s . p h p ? h = I n v i t a t i o n   T o   R o u n d t a b l e . c h m h t t p : / / m s i s s p s v c . n e t / i m g / m s i w i n d e f . m s i 日 程 安 排 . c h m h t t p : / / w 3 2 t i m e s l i c e s v c . n e t / j s c r i p t / j s p . p h p ? h = r e m o t e . c h m h t t p : / / s a r t e t e x t i l e . c o m / i m g / w n s e t u p . m s i M y P i c t u r e s . j p g . c h m h t t p s : / / b h e r a g r e e n s . c o m / i m g / w i n s u p d a t e r . m s i 附 件 - 会 议 . c h m h t t p : / / w e b m a i l c g w i p . c o m / x i n g s u / a s p . p h p ? h = … … 本 次 活 动 使 用 的 M u u y D o w n L o a d e r 最 早 可 以 追 溯 到 2 0 1 9 年 文 件 名 文 件 名 M D 5 I T W w u p d t e 4 b c f b 3 1 d 0 e 3 d f 8 2 6 d 3 6 1 5 a 4 1 1 4 9 e b f 9 c h t t p : / / g a l l u p p a k i s t a n . c o m / i m a g e s / w u p d t e w u p d . m s i f 3 8 b 9 a c 9 d 6 a 1 0 7 0 a c 9 d b a e 6 f 3 0 c 1 f 8 a a 老 版 本 的 样 本 包 含 P D B ： P D B C : U s e r s u s e r D e s k t o p 3 6 0 A c t i v e D e f e n c e   1 . 4   S e p 2 0 1 9 3 6 0 A c t i v e D e f e n c e   1 . 4   V 2 R e l e a s e 3 6 0 A c t i v e D e f e n c e . p d b 新 老 版 本 代 码 结 构 相 似 度 极 高 总 结 总 结 B I T T E R   A P T 组 织 是 一 个 长 期 活 跃 的 境 外 网 络 攻 击 组 织 ， 且 长 期 针 对 国 内 开 展 攻 击 活 动 ， 奇 安 信 红 雨 滴 团 队 提 醒 广 大 用 户 ， 切 勿 打 开 社 交 媒 体 分 享 的 来 历 不 明 的 链 接 ， 不 点 击 执 行 未 知 来 源 的 邮 件 附 件 ， 不 运 行 夸 张 的 标 题 的 未 知 文 件 。 做 到 及 时 备 份 重 要 文 件 ， 更 新 安 装 补 丁 。 若 需 运 行 、 安 装 来 历 不 明 的 应 用 ， 可 先 通 过 奇 安 信 威 胁 情 报 文 件 深 度 分 析 平 台 （ h t t p s : / / s a n d b o x . t i . q i a n x i n . c o m / s a n d b o x / p a g e ） 进 行 简 单 判 别 。 目 前 已 支 持 包 括 W i n d o w s 、 安 卓 平 台 在 内 的 多 种 格 式 文 件 深 度 分 析 。
目 前 ， 基 于 奇 安 信 威 胁 情 报 中 心 的 威 胁 情 报 数 据 的 全 线 产 品 ， 包 括 奇 安 信 威 胁 情 报 平 台 （ T I P ） 、 天 擎 、 天 眼 高 级 威 胁 检 测 系 统 、 奇 安 信 N G S O C 、 奇 安 信 态 势 感 知 等 ， 都 已 经 支 持 对 此 类 攻 击 的 精 确 检 测 。 I O C 所 涉 及 的 目 录 ： i n t e l l o g s % u s e r p r o f i l e % a p p d a t a r o a m i n g p r o g r a m d a t a % u s e r p r o f i l e % a p p d a t a r o a m i n g % u s e r p r o f i l e % a p p d a t a r o a m i n g m i c r o s o f t w i n d o w s s e n d t o w i n d o w s d e b u g w i a 恶 意 文 件 名 称 ： s c v h o s t . e x e o t x _ l i v e . e x e w i n u p d . e x e w i n m g r . e x e m s m p e n q . e x e s y s m g r . e x e w i n s y n c . e x e w i n s c . e x e w i n a p i r u n . e x e M D 5 : 6 4 5 2 e 2 c 2 4 3 d b 0 3 e c b c a c d 0 4 1 9 f f 8 b e b f 2 c b 0 b 7 4 3 e 4 f f 3 4 8 c 1 e c 1 6 d 1 d 0 d d 0 6 0 9 2 5 7 8 9 1 8 1 6 6 8 5 4 0 3 7 c d c f 1 b b 3 a 0 6 a 7 a 4 f 3
6 4 5 2 e 2 c 2 4 3 d b 0 3 e c b c a c d 0 4 1 9 f f 8 b e b f 7 c f 4 e a 9 d f 2 f 2 e 4 0 6 f a c 2 3 d 7 1 1 9 4 c 7 8 f d a d e 9 a 4 e e 3 a c b b 0 e 6 b 4 2 f b 5 7 f 1 1 8 d b d 6 b e b 6 f 0 c f b 0 d f f 0 f [ b ] 5 0 4 d c 1 f 0 6 0 f 0 2 a d a a C 2 : 8 2 . 2 2 1 . 1 3 6 . 2 7 : 8 0 4 5 . 1 1 . 1 9 . 1 7 0 : 3 4 3 1 8 1 9 3 . 1 4 2 . 5 8 . 1 8 6 : 8 0 U R L : h t t p : / / y o u x i a n g x i e z h u . c o m / y o u x i / c r t . p h p ? h = h t t p : / / s a r t e t e x t i l e . c o m / i m g / w n s e t u p . m s i h t t p : / / w i n d i a g n o s t i c s v c . n e t / j s c r i p t / j s p . p h p ? h = h t t p : / / m y p r i v a t e h o s t s v c . c o m / b r / j s . p h p ? h = h t t p : / / m y p r i v a t e h o s t s v c . c o m / x u i s y / c s s . p h p ? h = h t t p : / / m s i s s p s v c . n e t / i m g / m s i w i n d e f . m s i h t t p : / / w 3 2 t i m e s l i c e s v c . n e t / j s c r i p t / j s p . p h p ? h = h t t p : / / s a r t e t e x t i l e . c o m / i m g / w n s e t u p . m s i h t t p s : / / b h e r a g r e e n s . c o m / i m g / w i n s u p d a t e r . m s i h t t p : / / w e b m a i l c g w i p . c o m / x i n g s u / a s p . p h p ? h = h t t p : / / o t x . g x w x t v o n l i n e . c o m / O t P e f h e P b v w / d a t a r c v o n i n f i l e . p h p h t t p : / / s v c 2 m c x w a v e . n e t / U i h b y w s c T Z / 4 5 U g t y 8 4 5 n v 7 r t . p h p h t t p : / / w d i s v c n o t i f y h o s t . c o m / n 9 b r C s 2 1 / a p p r u n 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理