搜索

[16552] 2021-03-14_魔罗桫组织新一轮对南亚军工企业的窃密行动

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-03-14_魔罗桫组织新一轮对南亚军工企业的窃密行动 魔 罗 桫 组 织 新 一 轮 对 南 亚 军 工 企 业 的 窃 密 行 动 F r e e B u f   2 0 2 1 - 0 3 - 1 4 以 下 文 章 来 源 于 深 信 服 千 里 目 安 全 实 验 室   ， 作 者 高 级 威 胁 研 究 团 队 事 件 简 介 事 件 简 介 近 期 ， 深 信 服 千 里 目 高 级 威 胁 研 究 团 队 监 测 到 “ 魔 罗 桫 魔 罗 桫 ” 组 织 针 对 南 亚 军 工 企 业 的 攻 击 活 动 组 织 针 对 南 亚 军 工 企 业 的 攻 击 活 动 。 该 组 织 利 用 诱 饵 文 档 “ C h i n a   C r u i s e   M i s s i l e s   C a p a b i l i t i e s - I m p l i c a t i o n s   f o r   t h e   I n d i a n   A r m y . d o c x ” 。 经 过 深 入 追 踪 ， 文 档 内 容 摘 抄 自 印 度 的 o r f o n l i n e 站 点 ， 里 面 包 含 了 英 文 的 导 （ 隔 开 敏 感 词 ） 弹 技 术 报 告 ， 意 在 瞄 准 军 工 企 业 里 面 包 含 了 英 文 的 导 （ 隔 开 敏 感 词 ） 弹 技 术 报 告 ， 意 在 瞄 准 军 工 企 业 。 受 害 者 打 开 文 档 后 ， 会 触 发 o f f i c e 公 式 编 辑 器 漏 洞 ， 进 而 下 载 执 行 恶 意 软 件 W a r z o n e   R A T ， 实 现 长 期 控 制 主 机 和 窃 密 敏 感 资 料 的 目 的 。 我 们 从 技 术 等 多 维 度 对 比 了 该 组 织 上 一 次 利 用 热 门 话 题 的 攻 击 活 动 ， 本 次 攻 击 依 然 沿 用 了 军 事 话 题 诱 饵 文 档 军 事 话 题 诱 饵 文 档 + 漏 洞 利 用 漏 洞 利 用 + 伪 装 微 伪 装 微 软 域 名 软 域 名 + 商 业 木 马 商 业 木 马 的 攻 击 套 路 。 A P T 组 织 ” 魔 罗 桫 ” （ 又 名 为 C o n f u c i u s ） ， 是 一 个 长 期 长 期 * * 针 * * 对 中 国 ， 巴 基 斯 坦 ， 尼 泊 尔 等 对 中 国 ， 巴 基 斯 坦 ， 尼 泊 尔 等 地 区 ， 主 要 瞄 准 政 府 机 政 府 机 构 ， 军 工 企 业 ， 核 能 行 业 构 ， 军 工 企 业 ， 核 能 行 业 等 领 域 进 行 网 络 间 谍 活 动 的 活 跃 组 织 。 样 本 简 介 样 本 简 介 此 类 恶 意 文 档 主 要 通 过 钓 鱼 邮 件 进 行 传 播 ， 用 户 打 开 该 恶 意 文 档 后 ， 显 示 的 是 看 似 正 常 的 相 关 报 告 ， 背 后 会 通 过 o f f i c e 编 辑 器 漏 洞 从 黑 客 的 服 务 端 下 载 恶 意 文 件 并 隐 蔽 执 行 ， 最 终 受 害 用 户 计 算 机 被 黑 客 组 织 控 制 ， 资 料 被 窃 取 。 恶 意 w o r d 文 件 打 开 后 实 际 内 容 如 下 。 涉 及 到 一 些 公 开 的 产 品 参 数 ： 深 信 服 千 里 目 安 全 实 验 室 深 信 服 千 里 目 安 全 实 验 室   . 深 信 服 科 技 旗 下 安 全 实 验 室 ， 致 力 于 网 络 安 全 攻 防 技 术 的 研 究 和 积 累 ， 深 度 洞 察 未 知 网 络 安 全 威 胁 ， 解 读 前 沿 安 全 技 术 。
攻 击 溯 源 攻 击 溯 源 从 传 播 方 式 上 此 次 攻 击 的 载 体 为 恶 意 文 档 ， 附 带 热 点 时 事 内 容 ， 对 比 前 几 次 追 踪 到 的 攻 击 活 动 ， 存 在 一 定 的 相 似 性 。 最 近 的 一 次 攻 击 事 件 采 用 的 恶 意 文 档 内 容 来 源 于 国 外 B u l l e t i n （ 免 费 新 闻 与 双 月 刊 站 点 ） 2 0 2 0 年 1 1 月 9 日 公 开 发 布 的 一 篇 文 章 ， 标 题 是 “ H e r e ’ s   w h a t   t o   e x p e c t   f r o m   B i d e n   o n   t o p   n u c l e a r   w e a p o n s   i s s u e s ” 。 从 利 用 手 法 上 则 使 用 同 样 的 远 程 模 板 与 o f f i c e 编 辑 器 漏 洞 ， 请 求 服 务 端 的 地 址 m s o f f i c e . u s e r - a s s i s t . s i t e 与 前 几 次 使 用 过 的 域 名 构 成 结 构 存 在 一 定 的 相 似 性 ， 以 伪 装 微 软 或 者 o f f i c e 等 连 接 域 名 绕 过 黑 白 名 单 限 制 。
中 间 阶 段 释 放 的 恶 意 d l l 文 件 整 体 架 构 与 导 出 函 数 与 之 前 捕 获 的 样 本 基 本 功 能 是 一 致 的 ， 最 终 释 放 的 远 控 也 是 之 前 攻 击 活 动 使 用 过 的 W a r z o n e （ A v e   M a r i a ） R A T 。 依 据 本 次 攻 击 活 动 的 T T P s 以 及 落 地 的 恶 意 文 件 特 性 与 细 节 与 I O C 等 相 似 性 ， 我 们 可 以 判 定 这 是 ” 魔 罗 桫 ” （ 国 外 安 全 厂 商 命 名 为 C o n f u c i u s ） A P T 的 最 新 攻 击 活 动 。 攻 击 总 结 攻 击 总 结 根 据 以 往 几 次 攻 击 活 动 的 方 式 与 媒 介 ， 如 利 用 引 起 媒 体 高 度 关 注 的 最 新 消 息 来 作 为 诱 饵 主 题 内 容 ， 最 终 的 C & C 存 活 的 时 间 不 长 ， 每 次 被 捕 获 的 攻 击 活 动 存 在 细 微 差 异 ， 这 也 说 明 了 该 组 织 正 在 发 展 与 适 应 ， 可 以 预 见 摩 罗 桫 （ C o n f u c i u s ） A P T 组 织 不 仅 是 现 在 ， 未 来 依 然 会 持 续 不 断 地 针 对 特 定 的 目 标 与 机 构 发 起 网 络 攻 击 。 详 细 分 析 详 细 分 析 对 诱 饵 文 件 “ C h i n a   C r u i s e   M i s s i l e s   C a p a b i l i t i e s - I m p l i c a t i o n s   f o r   t h e   I n d i a n   A r m y . d o c x ” 的 内 容 进 行 深 入 研 究 ， 发 现 该 文 档 内 容 来 源 于 印 度 的 o r f o n l i n e 站 点 ， 发 布 于 2 0 2 0 年 1 2 月 4 日 ， o r f o n l i n e 站 点 是 允 许 不 同 观 点 与 意 见 进 行 讨 论 的 印 度 公 众 站 点 。

本 次 攻 击 流 程 图 如 下 ：
受 害 用 户 无 意 打 开 恶 意 文 件 后 ， 会 直 接 从 服 务 端 下 载 模 板 文 件 （ 实 际 是 携 带 o f f i c e 公 式 编 辑 器 漏 洞 C V E - 2 0 1 7 - 1 1 8 8 2 的 恶 意 R T F 文 档 ） 。 该 诱 饵 文 件 的 最 后 一 次 修 改 时 间 为 2 0 2 0 年 1 2 月 1 0 日 ， 可 以 猜 测 本 次 攻 击 活 动 发 生 在 该 时 间 之 后 的 某 个 时 段 。
内 嵌 的 远 端 模 板 地 址 ， U R L 的 目 的 是 伪 装 成 o f f i c e 更 新 ， 如 下 。 下 载 的 r t f 文 档 在 漏 洞 利 用 成 功 后 ， 恶 意 代 码 会 释 放 加 载 内 嵌 的 b i n g . d l l 文 件 。 该 d l l 的 导 出 函 数 为 m a r k ， 原 始 文 件 名 为 l i n k n e w . d l l ， 本 次 攻 击 活 动 的 d l l 文 件 已 经 不 存 在 p d b 路 径 ， 而 之 前 捕 获 的 一 次 攻 击 活 动 攻 击 者 采 用 了 该 p d b 路 径 ： C : U s e r s a d m i n D o c u m e n t s d l l l i n k n e w R e l e a s e l i n k n e w . p d b ， 说 明 攻 击 者 已 经 有 意 识 地 在 进 行 痕 迹 地 清 理 。
编 译 时 间 为 2 0 2 0 年 1 1 月 2 6 日 调 用 导 出 函 数 m a r k 后 续 该 d l l 文 件 会 通 过 U R L D o w n l o a d T o F i l e 函 数 从 h t t p : / / m s o f f i c e . u s e r - a s s i s t . s i t e / u p d a t e / c o n t e n t 下 载 到 本 地 命 名 为 u p d a t e . e x e ， 接 着 创 建 快 捷 方 式 设 置 到 启 动 目 录 为 u p d a t e . l n k 文 件 ， 后 续 重 启 后 启 动 。 在 3 2 位 系 统 环 境 下 ， 恶 意 文 件 会 首 先 注 入 到 e x p l o r e r . e x e 进 程 ， 之 后 该 恶 意 文 件 会 通 过 c o m 功 能 复 制 自 身 并 改 名 为 u p d a t e . e x e 至 C : P r o g r a m D a t a S o f t w a r e u p d a t e . e x e ， 并 通 过 注
册 表 H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 为 路 径 C : U s e r s x x x x A p p D a t a R o a m i n g s v c h o s t . e x e （ s v c h o s t . e x e 是 u p d a t e . e x e 拷 贝 衍 生 ） 设 置 自 启 动 ， 建 立 持 久 性 。 利 用 p k g m g r . e x e 、 d i s m . e x e 运 行 机 制 加 c o m 功 能 替 换 系 统 掉 d i s m c o r e . d l l 文 件 提 升 自 身 程 序 权 限 后 ， 恶 意 软 件 会 使 用 p o w e r s h e l l 命 令 从 W i n d o w s   D e f e n d e r 中 排 除 整 个 C 驱 动 器 。 执 行 的 命 令 ： p o w e r s h e l l   A d d - M p P r e f e r e n c e   - E x c l u s i o n P a t h C : 。 然 后 释 放 p r o g r a m s . b a t 文 件 至 目 录 C : U s e r s x x x x A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p （ 属 于 开 始 启 动 菜 单 ） 下 ， 后 续 重 启 后 再 次 执 行 ， p r o g r a m s . b a t 文 件 内 容 如 下 ： f o r   / F   “ u s e b a c k q   t o k e n s = * ”   % % A   i n   ( “ C : U s e r s x x x x A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p p r o g r a m s . b a t : s t a r t ” )   d o   % % A 在 隐 蔽 性 方 面 ， p r o g r a m s . b a t : s t a r t 文 件 是 母 体 为 上 述 p r o g r a m s . b a t 采 用 A D S 数 据 流 生 成 的 文 件 ， 接 着 执 行 后 会 通 过 w m i c 命 令 创 建 R o a m i n g : A p p l i c a t i o n D a t a 进 程 ， 而 R o a m i n g : A p p l i c a t i o n D a t a 同 样 是 自 身 母 体 程 序 通 过 A D S 数 据 流 产 生 的 文 件 ， 实 际 内 容 如 下 ： w m i c   p r o c e s s   c a l l   c r e a t e   ‘ “ C : U s e r s x x x x A p p D a t a R o a m i n g : A p p l i c a t i o n D a t a ” ‘ 最 终 发 现 u p d a t e . e x e 会 在 内 存 解 密 释 放 出 A v e   M a r i a 远 控 木 马 ， 也 被 称 为 W a r z o n e   R A T 。 经 过 分 析 为 W a r z o n e 1 6 0 版 本 的 R A T ， W a r z o n e   R A T 是 一 款 以 恶 意 软 件 即 服 务 （ M a a S ） 作 为 商 业 模 式 的 远 控 工 具 ， 有 多 次 已 公 开 的 进 行 攻 击 活 动 的 记 录 。 黑 客 使 用 它 来 远 程 控 制 受 害 者 的 P C ， 并 从 受 感 染 的 计 算 机 中 窃 取 信 息 ， 经 过 分 析 C & C 地 址 为 s y n c r o n i z e . 3 u t i l i t i e s . c o m （ 4 5 . 1 4 7 . 2 3 1 . 2 3 2 ） 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理