搜索

[16701] 2021-04-23_APT组织分析：网络间谍组织Bahamut

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-04-23_APT组织分析：网络间谍组织Bahamut A P T 组 织 分 析 ： 网 络 间 谍 组 织 B a h a m u t A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 4 - 2 3 概 述 概 述 根 据 2 0 2 1 年 2 月 中 旬 的 一 项 发 现 ， A n o m a l i 威 胁 研 究 公 司 （ A n o m a l i   T h r e a t   R e s e a r c h ） 评 估 称 ， 至 少 自 2 0 2 0 年 6 月 4 日 以 来 ， A P T 网 络 间 谍 组 织 B a h a m u t 一 直 在 对 多 个 目 标 进 行 恶 意 攻 击 活 动 。 在 研 究 恶 意 文 件 时 ， 来 自 A n o m a l i 的 研 究 人 员 分 析 了 一 个 . d o c x 文 件 （ L i s t 1 . d o c x ） ， 该 文 件 包 含 一 个 与 另 一 个 . d o c x 文 件 共 享 的 捆 绑 组 件 ， 该 文 件 可 以 通 过 模 板 注 入 来 与 l o b e r t i c a . i n f o 域 名 进 行 通 信 ， 这 个 域 名 之 前 归 属 于 B a h a m u t 。 接 下 来 ， 我 们 会 对 这 个 文 件 以 及 后 续 的 感 染 链 进 行 深 入 分 析 。 模 板 注 入 域 名 （ l o b e r t i c a . i n f o / f e f u s / t e m p l a t e . d o t ） 的 H e a d e r 日 期 表 明 恶 意 活 动 至 少 可 以 追 溯 到 2 0 2 0 年 6 月 4 日 。 该 文 件 的 标 题 显 示 其 跟 巴 基 斯 坦 国 家 反 恐 局 （ N A C T A ） 有 关 ， 这 也 跟 B a h a m u t 之 前 的 目 标 和 地 理 位 置 一 致 。 6 月 这 个 时 间 节 点 也 跟 2 0 2 0 年 6 月 2 4 日 巴 基 斯 坦 与 金 融 行 动 特 别 工 作 组 （ 金 融 行 动 小 组 ） 举 行 的 虚 拟 会 议 时 间 相 符 合 ， 这 也 导 致 巴 基 斯 坦 被 列 入 资 助 恐 怖 主 义 的 灰 色 名 单 之 中 。 除 此 之 外 ， 在 2 0 2 0 年 6 月 9 日 至 1 5 日 之 间 ， 阿 联 酋 和 巴 基 斯 坦 为 在 阿 联 酋 的 巴 基 斯 坦 国 民 还 专 门 安 排 了 遣 返 航 班 。 而 且 ， 截 至 6 月 2 9 日 ， 阿 联 酋 已 经 禁 止 了 来 自 巴 基 斯 坦 的 乘 客 入 境 。 尽 管 在 时 间 上 可 能 只 是 巧 合 ， 但 众 所 周 知 ， B a h a m u t 等 A P T 组 织 一 直 都 在 进 行 有 针 对 性 的 网 络 攻 击 活 动 。 据 报 道 ， 2 0 1 6 年 1 2 月 ， B a h a m u t 曾 以 中 东 地 区 的 人 权 活 动 人 士 作 为 主 要 攻 击 目 标 ， 并 通 过 网 络 钓 鱼 攻 击 来 传 播 基 于 A n d r o i d 的 恶 意 软 件 ， 而 这 种 情 况 也 一 直 持 续 到 了 2 0 1 8 年 ， 当 时 的 主 要 目 标 是 埃 及 、 伊 朗 、 印 度 、 巴 基 斯 坦 、 巴 勒 斯 坦 、 卡 塔 尔 、 突 尼 斯 和 阿 联 酋 的 实 体 和 个 人 。 细 节 分 析 细 节 分 析 A n o m a l i 的 研 究 人 员 对 恶 意 . d o c x 文 件 （ 该 文 件 可 以 利 用 远 程 代 码 执 行 漏 洞 C V E - 2 0 1 7 - 8 5 7 0 ） 进 行 了 分 析 ， 研 究 表 明 ， 这 项 活 动 显 然 始 于 2 0 2 0 年 6 月 ， 并 至 少 持 续 到 了 2 0 2 1 年 2 月 中 旬 。 攻 击 者 使 用 了 至 少 三 个 具 有 通 用 名 称 的 文 件 ： L i s t 1 . d o c x 、 L i s t   f o r   A p p r o v a l . d o c x 和 r e p o r t . d o c ， 其 中 一 个 还 以 N A C T A 为 主 题 。 攻 击 感 染 链 如 下 图 所 示 ：
技 术 分 析 技 术 分 析 攻 击 者 使 用 的 恶 意 . d o c x 文 件 其 目 的 是 为 了 投 放 一 个 R T F 文 件 ， 并 启 动 其 他 恶 意 活 动 的 感 染 过 程 。 下 图 显 示 了 恶 意 软 件 与 基 础 设 施 之 间 的 关 联 。 顶 部 的 . x m l 文 件 为 包 含 在 其 他 . d o c x 文 件 中 的 捆 绑 组 件 。 . d o c x 文 件 会 使 用 模 板 注 入 从 恶 意 域 名 下 载 一 个 文 件 ， 接 下 来 一 个 . r t f 文 件 会 被 删 除 ， 其 中 包 含 了 多 个 文 件 ， 主 要 目 的 是 为 了 删 除 V B 可 执 行 文 件 。 图 表 的 最 后 一 层 显 示 了 我 们 观 察 到 的 与 恶 意 文 件 通 信 的 I P 地 址 ： 下 图 显 示 的 是 1 8 5 . 1 7 5 . 1 5 8 . 2 2 7 的 自 签 名 证 书 ， 这 也 是 B a h a m u t 在 以 前 的 活 动 中 经 常 使 用 的 方 法 。 据 报 道 ， B a h a m u t 还 倾 向 于 使 用 营 销 电 子 邮 件 服 务 M a i l K i n g 。 这 些 数 据 点 的 一 致 性 虽 然 不 是 决 定 性 的 ， 但 进 一 步 支 持 了 该 活 动 可 能 与 B a h a m u t 有 关 。
D O C X 文 件 分 析 文 件 分 析 分 析 文 件 ： 分 析 文 件 ： L i s t 1 . d o c x M D 5 ： ： 3 d f 1 8 e c d 5 5 f 8 e 2 6 7 b e 3 9 f 6 f 7 5 7 b c d 5 f 0 详 情 ： 详 情 ： 分 析 的 文 档 为 . d o c x 文 件 ， 其 中 包 含 一 个 来 自 于 m e m o a d v i c r . c o m / k o d e c / r e p o r t . d o c 的 嵌 入 式 R T F 对 象 。 外 部 对 象 存 放 在 ‘ w e b S e t t i n g s . x m l . r e l s ’ 文 件 中 ， 它 将 下 载 R T F 文 件 。 如 下 图 所 示 ， 投 放 的 文 件 名 为 r e p o r t . d o c ： R T F 文 件 分 析 文 件 分 析 分 析 文 件 ： 分 析 文 件 ： r e p o r t . d o c M D 5 ： ： 9 d c 1 c d b a 6 d 5 8 3 8 f 7 9 8 4 d e 8 9 5 2 1 f 1 8 a e 8 详 情 ： 详 情 ： 分 析 的 文 档 为 R T F 文 件 ， 该 文 件 是 从 . d o c x 文 件 中 包 含 的 一 个 . s c t 文 件 那 里 下 载 过 来 的 ， 该 文 件 经 过 混 淆 处 理 ， 可 以 利 用 远 程 代 码 执 行 漏 洞 C V E - 2 0 1 7 - 8 5 7 0 。 利 用 该 漏 洞 后 ， 攻 击 者 将 能 够 执 行 . s c t 文 件 ， 并 进 一 步 执 行 R T F 投 放 的 其 他 恶 意 文 件 。 R T F 中 包 含 的 文 件 名 包 括 e i s g h f g h 3 2 1 . t m p 、 d . t m p 和 E . s c t 。 下 图 显 示 的 是 . t m p 文 件 的 O L E 包 文 件 信 息 ：
下 图 显 示 的 是 . s c t 文 件 的 O L E 包 文 件 信 息 ： 经 过 混 淆 处 理 的 . s c t 文 件 内 容 使 用 了 大 量 注 释 和 混 淆 变 量 名 来 防 止 静 态 分 析 。 但 是 ， 经 过 反 混 淆 处 理 之 后 我 们 就 可 以 构 建 出 更 加 清 晰 的 . s c t 文 件 信 息 了 。 下 图 显 示 的 是 经 过 混 淆 处 理 的 . s c t 文 件 内 容 ：
下 图 显 示 的 是 经 过 反 混 淆 处 理 的 . s c t 文 件 内 容 ： 接 下 来 ， 函 数 r e a d B i n a r y 会 读 取 读 取 e i s g f g h 3 2 1 . t m p 中 的 数 据 ， 脚 本 用 M Z 替 换 前 两 个 字 节 和 最 后 两 个 零 字 节 ， 直 到 e i s g f g h 3 2 1 . t m p 被 转 换 成 d w m m . e x e 文 件 。 然 后 ， 这 个 可 执 行 文 件 将 会 被 存 放 到 受 感 染 设 备 的 % P U B L I C % 目 录 中 。 然 后 ， 脚 本 会 再 次 检 查 % P U B L I C % 文 件 夹 中 是 否 存 在 这 个 恶 意 可 执 行 文 件 ， 如 果 存 在 ， 则 会 终 止 w i n w o r d . e x e 进 程 以 关 闭 最 初 打 开 的 诱 饵 文 档 。 最 后 ， 攻 击 者 会 使 用 V B 编 写 的 可 执 行 文 件 在 受 感 染 的 机 器 上 充 当 后 门 的 角 色 。 在 对 代 码 进 行 反 编 译 之 后 ， 我 们 发 现 P O S T   P a y l o a d 和 d w m m . e x e 是 攻 击 者 在 通 过 P O S T 请 求 跟 C 2 服 务 器 交 互 时 动 态 生 成 的 ：
总 结 总 结 B a h a m u t 是 一 个 复 杂 的 A P T 组 织 ， 它 利 用 了 反 分 析 技 术 和 多 阶 段 感 染 技 术 。 除 此 之 外 ， 跟 许 多 其 他 A P T 组 织 一 样 ， 他 们 也 会 通 过 网 络 钓 鱼 电 子 邮 件 和 消 息 ， 并 利 用 社 会 工 程 学 技 术 和 用 户 交 互 来 实 现 初 步 感 染 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 域 名 和 域 名 和 U R L ： ： 可 执 行 程 序 可 执 行 程 序 E X E ： ： 恶 意 文 件 恶 意 文 件 . d o c x ： ： h t t p : / / l o b e r t i c a . i n f o h t t p : / / l o b e r t i c a . i n f o / f e f u s / h t t p : / / l o b e r t i c a . i n f o / f e f u s / r e p o r t . d o c h t t p : / / l o b e r t i c a . i n f o / f e f u s / t e m p l a t e . d o t h t t p : / / l o b e r t i c a . i n f o / m s o l l / i g t x p r e s . z i p h t t p : / / z o v w e l l e . c o m h t t p : / / z o v w e l l e . c o m / o p r e g f t y r o / i j k b f u m n b v c . p h p h t t p : / / m e m o a d v i c r . c o m h t t p : / / m e m o a d v i c r . c o m / k o d e c / r e p o r t . d o c h t t p : / / m e m o a d v i c r . c o m / d v s e c / r e p o r t . d o c h t t p : / / f a s t f i t e r z o n e . c o m / s d j f b j s g d l f v f d / g f d b v g f g g g h . p h p 0 4 e 0 5 0 5 4 e 9 e 4 f 1 c 6 c b a 9 2 9 2 f c a d 9 e 0 6 f 6 1 6 3 9 f 3 0 1 c 4 c d a d f d 6 c 4 a 6 9 6 3 7 5 b d c 9 9
R T F ： ： 代 码 段 ： 代 码 段 ： 捆 绑 组 件 ： 捆 绑 组 件 ： I P 地 址 ： 地 址 ： 精 精 彩 彩 推 推 荐 荐 6 8 d 0 e 3 2 6 e 1 8 b d 7 e c 5 0 d b 0 1 1 f 9 c 1 1 9 e 2 5 d e 1 f 5 c 8 2 2 3 5 0 5 f 7 e 8 c 6 4 a 4 b 8 5 2 6 1 4 b 1 4 3 d f 1 8 e c d 5 5 f 8 e 2 6 7 b e 3 9 f 6 f 7 5 7 b c d 5 f 0 9 d c 1 c d b a 6 d 5 8 3 8 f 7 9 8 4 d e 8 9 5 2 1 f 1 8 a e 8 d 3 e 9 8 9 f 4 4 f e 3 0 6 5 e c 5 0 1 f e 7 f 0 f c 3 3 c 3 e 1 1 e b 5 6 0 d 2 5 6 3 8 3 8 5 9 b 8 1 3 5 c f b b f 9 8 e 3 0 1 8 5 . 1 8 3 . 1 6 1 . 1 2 5 1 8 5 . 1 7 5 . 1 5 8 . 2 2 7 2 0 8 . 9 1 . 1 9 7 . 5 4 1 9 4 . 1 2 0 . 2 4 . 1 1 6 9 3 . 1 8 4 . 2 2 0 . 2 9 1 9 4 . 6 7 . 9 3 . 1 7
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理