搜索

[15943] 2020-10-08_苦象组织近期网络攻击活动及泄露武器分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-10-08_苦象组织近期网络攻击活动及泄露武器分析 苦 象 组 织 近 期 网 络 攻 击 活 动 及 泄 露 武 器 分 析 a n t i y l a b   F r e e B u f   2 0 2 0 - 1 0 - 0 8 苦 象 组 织 近 期 网 络 攻 击 活 动 及 泄 露 武 器 分 析 苦 象 组 织 近 期 网 络 攻 击 活 动 及 泄 露 武 器 分 析 时 间   ： 2 0 2 0 年 0 9 月 1 7 日     来 源 ： 安 天 C E R T 1   概 述 概 述 2 0 1 2 年 以 来 ， 安 天 针 对 南 亚 次 大 陆 方 向 的 网 络 攻 击 进 行 了 持 续 的 跟 踪 与 分 析 ， 追 踪 其 攻 击 行 动 、 溯 源 其 幕 后 团 伙 ， 多 年 以 来 持 续 曝 光 相 关 攻 击 活 动 ， 震 慑 印 方 攻 击 组 织 。 安 天 于 2 0 1 6 年 7 月 发 布 报 告 “ 白 象 的 舞 步 — — 来 自 南 亚 次 大 陆 的 网 络 攻 击 ” [ 1 ] ； 2 0 1 7 年 1 2 月 发 布 报 告 “ 潜 伏 的 象 群 — 来 自 印 方 的 系 列 网 络 攻 击 组 织 和 行 动 ” [ 2 ] ； 2 0 1 9 年 5 月 发 布 报 告 “ 响 尾 蛇 （ S i d e W i n d e r ） A P T 组 织 针 对 南 亚 国 家 的 定 向 攻 击 事 件 ” [ 3 ] ； 2 0 2 0 年 1 月 发 布 报 告 “ 折 纸 行 动 ： 针 对 南 亚 多 国 军 政 机 构 的 网 络 攻 击 ” [ 4 ] 。 印 度 网 络 攻 击 组 织 名 称 纷 繁 复 杂 ， 主 要 是 因 为 网 络 安 全 厂 商 对 印 方 的 组 织 均 有 各 自 命 名 ， 比 如 安 天 首 发 并 命 名 的 “ 白 象 ” 组 织 ， 其 他 厂 商 也 称 为 ： H a n g O v e r 、 V I C E R O Y   T I G E R 、 T h e   D r o p p i n g   E l e p h a n t 、 P a t c h w o r k 、 C h i n a s t r a t s 、 摩 诃 草 ； 卡 巴 斯 基 最 早 发 现 “ 响 尾 蛇 ” 组 织 ， 其 他 厂 商 也 称 为 ： T - A P T - 0 4 、 S i d e W i n d e r ； A S E R T 首 先 披 露 的 “ 肚 脑 虫 ” 组 织 ， 其 他 厂 商 也 称 为 ： A P T - C - 3 5 、 D o N o t   T e a m 、 L u c k y   E l e p h a n t 、 S e c t o r E 0 2 。 本 次 报 告 涉 及 的 攻 击 组 织 ， 安 天 在 2 0 1 7 年 “ 潜 伏 的 象 群 ” 报 告 中 曾 披 露 过 其 苦 酒 行 动 ， 其 他 厂 商 也 称 为 ： B I T T E R 、 蔓 灵 花 、 A P T - C - 1 7 、 T - A P T - 0 4 等 ， 根 据 安 天 的 攻 击 组 织 中 文 命 名 规 范 ， 结 合 其 网 络 攻 击 活 动 和 地 缘 政 治 特 点 ， 安 天 正 式 将 该 组 织 命 名 为 “ 苦 象 ” 。 经 过 长 时 间 的 观 测 发 现 ， 该 组 织 近 期 十 分 活 跃 ， 目 前 发 现 多 批 次 涉 及 钓 鱼 网 站 和 投 递 载 荷 两 类 攻 击 活 动 ： 1 .   攻 击 者 注 册 多 个 域 名 ， 架 设 钓 鱼 网 站 ， 对 国 内 重 要 的 机 构 单 位 进 行 邮 箱 钓 鱼 攻 击 。 相 关 钓 鱼 网 站 地 址 构 造 特 点 和 攻 击 目 标 符 合 2 0 1 9 年 曝 光 过 的 苦 象 组 织 对 国 内 钓 鱼 攻 击 的 特 点 。 2 .   攻 击 者 将 载 荷 存 放 于 攻 陷 网 站 ， 通 过 投 递 快 捷 方 式 格 式 的 攻 击 诱 饵 向 目 标 的 机 器 植 入 载 荷 （ 组 织 特 有 的 . N E T 远
控 木 马 ） 。 通 过 此 前 对 苦 象 组 织 泄 露 的 控 制 后 台 源 码 和 载 荷 分 析 ， 我 们 大 致 还 原 了 该 组 织 其 中 一 常 用 木 马 的 后 台 控 制 细 节 。 经 分 析 比 对 ， 我 们 认 为 该 攻 击 活 动 来 自 苦 象 组 织 。 综 上 所 述 ， 安 天 C E R T 认 为 这 一 系 列 攻 击 应 是 苦 象 组 织 的 近 期 攻 击 活 动 。 本 次 系 列 相 关 攻 击 活 动 特 征 总 结 如 下 ： 表 表   1 - 1 攻 击 活 动 特 征 攻 击 活 动 特 征 事 件 要 点 事 件 要 点 内 容 内 容 事 件 概 述 苦 象 组 织 近 期 网 络 攻 击 活 动 攻 击 目 标 中 国 、 巴 基 斯 坦 等 攻 击 手 法 邮 箱 钓 鱼 、 投 递 木 马 、 利 用 攻 陷 网 站 攻 击 意 图 窃 密 攻 击 时 间 2 0 2 0 年 中 2   攻 击 活 动 分 析 攻 击 活 动 分 析 从 目 前 观 测 到 的 数 据 来 看 ， 攻 击 者 的 主 要 手 段 有 钓 鱼 网 站 攻 击 和 木 马 投 递 。 2 . 1   钓 鱼 网 站 钓 鱼 网 站 攻 击 者 注 册 多 个 域 名 ， 通 过 下 设 若 干 子 域 名 模 仿 国 内 诸 多 单 位 的 官 方 域 名 ， 然 后 架 设 钓 鱼 网 站 钓 取 目 标 的 邮 箱 账 号 密 码 。 此 次 的 子 域 名 构 造 （ 如 以 m a i l l . 和 m a i i l . 开 头 ） 、 模 仿 的 目 标 等 ， 皆 符 合 2 0 1 9 年 曝 光 过 的 苦 象 组 织 对 国 内 钓 鱼 攻 击 的 特 点 。
图 图   2 - 1   钓 鱼 页 面 案 例 钓 鱼 页 面 案 例 受 害 者 输 入 的 账 号 密 码 会 被 传 入 服 务 器 本 地 的 p h p 文 件 ， 最 终 到 达 攻 击 者 手 中 ： 图 图   2 - 2 钓 鱼 登 录 框 源 码 钓 鱼 登 录 框 源 码 攻 击 者 注 册 域 名 后 ， 会 建 立 大 量 子 域 名 仿 冒 不 同 目 标 网 站 ， 部 分 已 捕 获 仿 冒 域 名 如 下 表 ： 表 表   2 - 1 子 域 名 仿 冒 子 域 名 仿 冒 域 名 域 名 模 仿 对 象 模 仿 对 象 m a i i l . * . t o r . o r g . c n . o w a a u t h l o g o n . c o m 中 华 人 民 共 和 国 * * 部 m a i i l . * * . t o r . o r g . c n . o w a a u t h l o g o n . c o m 中 华 人 民 共 和 国 * * 部 m a i l . * . g o v . c n . o w a a u t h l o g o n . c o m 中 华 人 民 共 和 国 * * 部 m a i l . 1 2 6 . c o m . j s p s e s s i o n i n d e x . c o m 1 2 6 邮 箱 m a i l . 1 6 3 . c o m . j s p s e s s i o n i n d e x . c o m 1 6 3 邮 箱 m a i i l . s i n a . c o m . c n . a u t h 9 8 2 6 0 . l o g o n i n d e x j s p . c o m 新 浪 邮 箱 m a i i l . * . c n . c o r e m a i l . j s p s e s s i o n i n d e x . c o m 中 * 科 技 国 际 贸 易 有 限 公 司 m a i l . * * . c n . c o r e m a i l . x t 3 . o w a a u t h l o g o n . c o m 中 国 * * 技 术 国 际 控 股 有 限 公 司 m a i i l . * . c n . c o r e m a i l . x t 5 . j s p s e s s i o n i n d e x . c o m 中 * * 进 出 口 有 限 责 任 公 司 m a i l . * * . c o m . c o r e m a i l . x t 5 . j s p s e s s i o n i n d e x . c o m 中 国 * * 工 业 贸 易 公 司 m a i l . * * . c n . c o r e m a i l . x t 5 . j s p s e s s i o n i n d e x . c o m 中 国 * * 工 业 贸 易 有 限 公 司 l o g i n . * * . c o m . c n . j s p s e s s i o n i d r t g p d j i f c n i k r s . l o g o n i n d e x j s p . c o m 中 国 * * 对 外 工 程 有 限 公 司 m a i l . * * . c n . c o r e m a i l . x t 5 . l o g o n i n d e x j s p . c o m 中 * * 网 （ 北 京 ） 电 子 商 务 有 限 公 司 w w w . t h e s u n d a y g u a r d i a n l i v e . c o m . j s p s e s s i o n i n d e x . c o m 印 度 星 期 日 卫 报 2 . 2   投 递 木 马 投 递 木 马 近 期 苦 象 组 织 常 用 的 执 行 流 程 有 ： 漏 洞 文 档 ＋ M S I 程 序 、 C H M 文 件 + M S I 程 序 等 ， 此 次 也 类 似 ， 采 用 L N K +   M S I 程 序 手 法 。 攻 击 者 以 未 知 手 段 （ 可 能 是 鱼 叉 式 钓 鱼 邮 件 、 社 交 平 台 等 ） 向 目 标 投 递 一 份 R A R 压 缩 包 ， 包 内 包 含 恶 意 快 捷 方
式 “ I n c o m e   t a x   S a v i n g s   f o r   2 0 2 0 - 2 0 2 1 . l n k ” ： 、 图 图   2 - 3   诱 饵 文 件 诱 饵 文 件 表 表 2 - 2   L N K 样 本 标 签 样 本 标 签 病 毒 名 称 病 毒 名 称 T r o j a n [ L N K ] / D o w n l o a d e r . L N K . G e n 原 始 文 件 名 原 始 文 件 名 I n c o m e   t a x   S a v i n g s   f o r   2 0 2 0 - 2 0 2 1 . l n k M D 5 5 6 9 D 7 2 1 E 4 4 E 1 A 3 1 A 5 3 A E A A 0 E 5 1 4 A D 7 9 4 文 件 大 小 文 件 大 小 2 . 0 3   K B   ( 2 0 7 6   b y t e s ) 文 件 格 式 文 件 格 式 W i n d o w s   s h o r t c u t 创 建 时 间 创 建 时 间 2 0 0 9 : 0 7 : 1 3   2 3 : 4 9 : 0 7 + 0 0 : 0 0 压 缩 包 存 放 时 间 压 缩 包 存 放 时 间 2 0 2 0 : 0 8 : 3 1   1 5 : 0 8 : 0 7 相 对 路 径 相 对 路 径 . . . . . . W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e 图 标 文 件 名 图 标 文 件 名 % P r o g r a m F i l e s % W i n d o w s   P h o t o   V i e w e r P h o t o A c q . d l l V T * * 检 测 结 果 * * 1 6 / 5 9 快 捷 方 式 被 点 击 运 行 后 ， 会 执 行 一 段 P o w e r s h e l l 命 令 ： 这 段 P o w e r s h e l l 负 责 加 载 运 行 原 快 捷 方 式 的 D e s c r i p t i o n 结 构 值 ， 这 个 值 以 分 号 填 充 了 多 个 无 实 际 作 用 的 字 符 串 ， 最 终 执 行 的 静 默 安 装 远 程 的 恶 意 程 序 M s A u l i s . m s i ： 图 图   2 - 4   样 本 静 态 解 析 样 本 静 态 解 析 M S I 安 装 包 M s A u l i s . m s i 包 含 木 马 程 序 M s A u l i s . e x e ， 深 入 分 析 发 现 ， M s A u l i s . e x e 属 于 已 知 的 苦 象 组 织 特 有 . N E T 远 控 插 件 的 最 新 版 。 “ j g * * . c o m ” 属 于 被 攻 陷 网 站 ， 因 目 录 开 放 ， 可 以 发 现 攻 击 者 在 上 面 挂 载 了 许 多 载 荷 。 这 些 载 荷 除 了 开 源 的 I n v o k e - M i m i k a t z . p s 1 ， 也 包 括 苦 象 组 织 已 知 家 族 的 窃 密 、 远 控 等 插 件 。 其 中 文 件 l g 和 l g 2 是 网 络 日 志 ， 经 过 几 天 监 控 ， 目 前 发 现 少 量 巴 基 斯 坦 疑 似 受 控 I P ， 未 发 现 国 内 受 害 者 。
图 图   2 - 5   沦 陷 网 站 开 放 目 录 沦 陷 网 站 开 放 目 录 表 表   2 - 3   开 放 目 录 载 荷 功 能 列 表 开 放 目 录 载 荷 功 能 列 表 文 件 名 文 件 名 功 能 功 能 l g 2 新 网 络 连 接 日 志 c s s . p h p 用 于 获 取 w i n s c e I n v o k e - M i m i k a t z . p s 1 开 源 密 码 获 取 工 具 M i m i k a t z l g 历 史 网 络 连 接 日 志 w i n e s s M S A S e r v i c e 类 插 件 m s e s s M S A S e r v i c e 类 插 件 m t e s s M S A S e r v i c e 类 插 件 w i n e s s t w i n s v c 类 插 件 w i n s c e . m s i 打 包 后 的 w i n s c e w i n s c e 远 控 L o a d e r 程 序 M s A u l i s . m s i 打 包 后 的 r k f t l r k f t l 新 版 M S A S e r v i c e 类 插 件 p u t t y . p h p 获 取 p u t t y . m s i p u t t y . m s i 打 包 后 的 官 方 P u t t t y 程 序 M S A S e r v i c e s M S A S e r v i c e 类 插 件
d l h o s t a u d i o d q 类 插 件 l o g s . p h p 用 于 获 取 M s A u l i s . m s i ， 已 删 除 文 件 名 文 件 名 功 能 功 能 除 了 打 包 的 快 捷 方 式 ， 近 期 也 有 苦 象 组 织 常 用 的 自 解 压 诱 饵 ， 诱 饵 最 终 向 目 标 机 器 植 入 a u d i o d q 类 木 马 ： 图 图   2 - 6   自 解 压 诱 饵 自 解 压 诱 饵 3   泄 露 武 器 分 析 泄 露 武 器 分 析 3 . 1 后 台 架 构 后 台 架 构 2 0 1 9 年 苦 象 组 织 某 C 2 服 务 器 存 在 一 次 对 后 台 整 站 的 打 包 ， 并 挂 载 于 网 站 某 公 开 路 径 下 ， 后 被 情 报 平 台 爬 取 到 ， 造 成 源 码 泄 露 ：
图 图   3 - 1   泄 露 源 码 泄 露 源 码 经 过 分 析 ， 发 现 该 打 包 文 件 是 苦 象 组 织 常 用 木 马 的 控 制 后 台 源 码 ， 整 体 架 构 比 较 简 单 ， 使 用 “ N g i n x + P H P + M y S Q L ” 搭 建 ， 并 属 于 较 早 的 版 本 ， 该 后 台 主 要 负 责 完 成 对 受 控 机 的 管 理 和 功 能 插 件 下 发 ， 后 台 架 构 大 致 如 下 ：
图 图   3 - 2 后 台 大 致 架 构 后 台 大 致 架 构 表 表   3 - 1 后 台 文 件 功 能 后 台 文 件 功 能 文 件 文 件 功 能 功 能 i n d e x . h t m l 疑 似 被 清 空 的 登 录 页 面 i n d e x . p h p 登 录 窗 口 l o g i n . p h p 登 录 验 证 a u t h . p h p 新 建 会 话 c f g . p h p 数 据 库 连 接 配 置 f u n c t i o n s . p h p 获 取 受 控 机 的 总 数 、 在 线 、 离 线 、 死 亡 统 计 s t a t s . p h p 展 示 受 控 机 的 总 数 、 在 线 、 离 线 、 死 亡 统 计 t a s k s . p h p 插 件 任 务 管 理 （ 状 态 、 排 队 、 删 除 ） u p d a t e . p h p 下 发 插 件 任 务 d e l e t e t a s k s . p h p 删 除 插 件 任 务 d w s l . p h p 读 取 s e r l s . t x t 文 件 内 容 ， 作 用 未 知 a c c e p t . p h p 与 受 控 机 通 讯 ， 记 录 发 来 的 数 据 ： a = 主 机 名 ， b = 计 算 机 名 ， c = 操 作 系 统 ， d = 硬 件 I D ， e = 任 务 标 志 返 回 ” Y e s   f i l e ” + r e g d l 插 件 的 大 小 c l i e n t s . p h p 记 录 连 接 日 志 展 示 受 控 机 信 息 （ S N o 、 I P 、 C o m p u t e r 、 U s e r 、 O p e r a t i n g   s y s t e m 、 L a s t   S e e n ） 获 取 插 件 目 录 下 的 文 件 信 息 d e l e t e s y s t e m s . p h p 删 除 受 控 机 e r r o r _ l o g 报 错 日 志 l o g o u t . p h p 退 出 登 录 从 源 码 整 理 出 存 放 受 控 机 信 息 和 任 务 的 数 据 库 表 结 构 （ 未 获 得 数 据 库 实 例 ） ， 猜 测 各 项 意 义 如 下 ： 表 表   3 - 2 后 台 数 据 库 后 台 数 据 库 已 知 表 名 已 知 表 名 已 知 字 段 已 知 字 段 意 义 （ 猜 测 ） 意 义 （ 猜 测 ） u s e r u s e r i d h w i d i p c o m p u t e r u s e r o s f s e e n l s e e n 受 控 机 器 信 息 a u t h P e r s o n s n a m e p a s s w o r d 管 理 员 账 号 密 码 d d o s t a s k s i d 疑 似 D D O S 任 务 d o w n l o a d s i d 插 件 清 理 记 录 t a s k s e x e n a m e t i d t a s k i d 下 发 插 件 任 务 信 息 d l e x t a s k s i d 删 除 插 件 任 务 信 息 通 过 搭 建 环 境 ， 并 模 拟 一 台 受 控 机 器 ， 这 套 源 代 码 的 运 行 效 果 如 图 3 - 4 。 从 整 体 到 细 节 ， 皆 符 合 2 0 1 9 年 苦 象 组 织 后 台 被 曝 光 事 件 中 展 现 的 界 面 和 功 能 ：
图 图   3 - 3 后 台 源 码 模 拟 运 行 后 台 源 码 模 拟 运 行 图 图   3 - 4   2 0 1 9 年 曝 光 的 后 台 界 面 年 曝 光 的 后 台 界 面 值 得 注 意 的 是 ， 源 码 中 不 仅 泄 露 了 攻 击 者 的 一 对 数 据 库 登 录 凭 证 ， 还 记 录 了 攻 击 者 一 个 默 认 时 区 位 置 ： A s i a / K o l k a t a —   加 尔 各 答 时 区
图 图   3 - 5   攻 击 者 默 认 时 区 位 置 攻 击 者 默 认 时 区 位 置 3 . 2   攻 击 插 件 攻 击 插 件 目 前 收 集 到 的 插 件 超 过 2 0 个 ， 功 能 涵 盖 击 键 记 录 、 文 件 窃 密 、 远 程 控 制 等 ， 其 中 某 些 远 控 插 件 参 考 自 开 源 远 控 D a r k A g e n t 表 表   3 - 3 攻 击 插 件 攻 击 插 件 插 件 插 件 开 发 语 言 开 发 语 言 主 要 功 能 主 要 功 能 a u d i o d q V i s u a l   C / C + + 主 要 组 件 ： 信 息 搜 集 ， 接 收 指 令 等 i g f x s r v k V i s u a l   C / C + + 键 盘 记 录 器 k i l l V i s u a l   C / C + + 持 久 化 ： 添 加 注 册 表 启 动 项 r e g d l V i s u a l   C / C + + 持 久 化 ： 添 加 注 册 表 启 动 项 r g d l V i s u a l   C / C + + 持 久 化 ： 添 加 注 册 表 启 动 项 l s a p   /   u p m p V i s u a l   C / C + + 信 息 / 文 件 上 传 l s a p c V i s u a l   C / C + + 信 息 / 文 件 上 传 l s a p c r V i s u a l   C / C + + 信 息 / 文 件 上 传 l s a p i p V i s u a l   C / C + + 信 息 / 文 件 上 传 m i s i s V i s u a l   C / C + + 文 件 加 密 上 传 d a s h o s t   /   s p o o l v s V i s u a l   C / C + + 远 控 能 力 ： 完 成 文 件 、 进 程 等 操 作 ， 通 讯 加 密 s e s s i o n m a n a g e r s . N E T   v 2 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 M S A S e r v i c e 7 . N E T   v 2 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 M S A S e r v i c e s . N E T   v 2 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 M S A S e r v i c e t . N E T   v 4 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 o n e d r i v e M a n a g e r . N E T   v 4 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 M S A S e r v i c e . N E T   v 4 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 w i n s v c V i s u a l   C / C + + 远 控 能 力 ： 信 息 搜 集 ， 操 作 文 件 、 进 程 等 P u T T Y V i s u a l   C / C + + 官 方 p u t t y 程 序 s h t V i s u a l   C / C + + 执 行 命 令 s l e e p V i s u a l   C / C + + 关 机 3 . 3   后 台 伪 装 后 台 伪 装 今 年 起 ， 攻 击 活 动 的 后 台 登 录 页 面 频 繁 变 换 模 样 。 例 如 ， 某 次 后 台 打 开 后 看 似 仅 一 张 图 片 ， 实 际 通 过 鼠 标 点 击 中 心 的 位 置 ， 会 发 现 隐 藏 的 账 号 密 码 输 入 框 以 及 登 录 按 钮 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理