搜索

[12555] 2018-04-06_“白象”APT组织近期动态

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-04-06_“白象”APT组织近期动态 “ 白 象 ” A P T 组 织 近 期 动 态 金 睛   F r e e B u f   2 0 1 8 - 0 4 - 0 6 一 一   事 件 背 景 事 件 背 景 “ 白 象 白 象 ” 又 名 又 名 “ P a t c h w o r k ” ， ， “ 摩 诃 草 摩 诃 草 ” ， 疑 似 来 自 南 亚 某 国 ， 自 ， 疑 似 来 自 南 亚 某 国 ， 自 2 0 1 2 年 以 来 持 续 针 对 中 国 、 巴 基 斯 坦 等 国 进 行 网 年 以 来 持 续 针 对 中 国 、 巴 基 斯 坦 等 国 进 行 网 络 攻 击 ， 长 期 窃 取 目 标 国 家 的 科 研 、 军 事 资 料 。 与 其 他 组 织 不 同 的 是 ， 该 组 织 非 常 擅 长 根 据 不 同 的 攻 击 目 标 伪 络 攻 击 ， 长 期 窃 取 目 标 国 家 的 科 研 、 军 事 资 料 。 与 其 他 组 织 不 同 的 是 ， 该 组 织 非 常 擅 长 根 据 不 同 的 攻 击 目 标 伪 造 不 同 版 本 的 相 关 军 事 、 政 治 信 息 ， 以 进 行 下 一 步 的 攻 击 渗 透 。 造 不 同 版 本 的 相 关 军 事 、 政 治 信 息 ， 以 进 行 下 一 步 的 攻 击 渗 透 。 2 0 1 7 年 下 半 年 以 来 ， 我 们 发 现 了 多 起 与 白 象 组 织 相 关 的 最 新 攻 击 事 件 。 该 组 织 通 过 鱼 叉 式 钓 鱼 邮 件 ， 并 配 合 社 会 工 程 学 手 段 在 邮 件 中 发 送 带 有 格 式 漏 洞 文 档 的 链 接 ， 诱 导 受 害 人 点 击 下 载 并 点 击 ， 漏 洞 触 发 成 功 后 ， 会 下 载 Q u a s a r ， B A D N E W S 等 变 种 远 控 木 马 。 二 二   攻 击 事 件 分 析 攻 击 事 件 分 析 2 . 1   攻 击 事 件 攻 击 事 件 A 第 一 次 集 中 攻 击 事 件 发 生 在 2 0 1 7 年 1 1 月 份 左 右 ， 我 们 监 控 到 该 组 织 发 起 了 多 次 鱼 叉 邮 件 攻 击 。 相 关 案 例 如 下 ： 1 .   使 用 邮 件 投 放 名 为 C h i n a _ S t r a t e g i c _ C h a i n 的 d o c x 文 档 ， 并 在 邮 件 中 文 档 内 容 进 行 阐 述 ， 引 诱 用 户 点 击 打 开 。 2 .   当 用 户 打 开 该 文 档 后 ， 显 示 提 示 在 输 入 栏 输 入 密 码 K E Y ， 再 点 击 左 上 方 的 图 标 即 可 完 成 解 锁 。 实 际 上 该 输 入 栏 为 文 本 框 ， 且 图 标 为 内 嵌 的 O L E 对 象 ， 该 对 象 在 点 击 后 便 会 触 发 。
3 .   通 过 提 取 内 嵌 的 O L E 对 象 内 容 ， 发 现 其 是 一 个 名 为 S t a r t _ c h a i n _ 1 的 p p s x 格 式 的 p p t 文 档 ， 点 击 即 可 自 动 播 放 p p t 。 4 .   该 p p s x 文 档 利 用 了 C V E - 2 0 1 7 - 0 1 9 9 的 漏 洞 ， 自 动 播 放 p p t 后 即 可 触 发 ， 并 下 载 运 行 一 个 s c t 脚 本 。 5 .   s c t 脚 本 解 密 后 会 调 用 P o w e r s h e l l 下 载 并 运 行 p u t t y . e x e 和 自 动 加 载 S t r a t e g i c _ C h a i n . p d f ， 让 用 户 误 以 为 已 经 打 开 相 关 文 档 成 功 。 6 .   除 上 述 事 件 之 外 ， 该 组 织 通 过 邮 件 还 发 送 一 封 名 为 E n t a n g l e m e n t 的 p p s x 的 文 档 ， 文 档 同 样 使 用 了 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 ， 利 用 手 法 与 第 一 起 攻 击 事 件 类 似 。
7 .   与 其 他 攻 击 事 件 不 同 的 是 ， 用 户 打 开 该 p p s x 文 档 并 触 发 漏 洞 后 ， 会 通 过 P o w e r s h e l l 下 载 一 份 名 为 d e c o y 的 p p t 并 被 P o w e r p o i n t 加 载 起 来 ， 下 载 的 p p t 同 样 具 有 敏 感 性 。 2 . 2   攻 击 事 件 攻 击 事 件 B 第 二 次 集 中 攻 击 事 件 发 生 在 2 0 1 8 年 3 月 ， 投 放 的 文 档 主 要 利 用 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 进 行 攻 击 ， 文 档 内 容 也 大 多 和 社 会 政 治 生 活 相 关 。
上 述 攻 击 文 档 所 使 用 的 攻 击 手 法 完 全 相 同 ， 都 包 含 2 个 P a c k a g e 类 型 的 O L E 对 象 和 1 个 结 构 化 存 储 类 型 的 O L E 对 象 。 前 两 个 P a c k a g e 类 型 的 O L E 对 象 利 用 P a c k a g e r . d l l 的 机 制 ， 负 责 把 内 部 嵌 入 的 文 件 释 放 到 % T M P % 目 录 下 。
最 后 一 个 O L E 对 象 利 用 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 ， 通 过 S c r i p t l e t   M o n i k e r 从 而 加 载 s c t 文 件 中 的 内 容 。 漏 洞 触 发 成 功 后 ， 最 终 都 会 释 放 并 启 动 一 个 名 为 q r a t 的 程 序 。
2 . 3   攻 击 事 件 攻 击 事 件 C 在 几 乎 同 期 ， 白 象 组 织 还 发 起 了 另 外 几 起 攻 击 事 件 ， 这 些 攻 击 事 件 主 要 利 用 了 C V E - 2 0 1 5 - 2 5 4 5 和 C V E - 2 0 1 7 - 0 2 6 1 漏 洞 文 档 进 行 钓 鱼 邮 件 攻 击 。 投 放 的 漏 洞 文 件 种 涉 及 若 干 主 题 ， 其 中 包 括 巴 基 斯 坦 陆 军 最 近 的 军 事 促 进 活 动 ， 与 巴 基 斯 坦 原 子 能 委 员 会 有 关 的 信 息 等 。 相 关 漏 洞 文 档 触 发 后 会 释 放 新 版 本 的 B A D N E W S 系 列 木 马 。 三 三   木 马 分 析 木 马 分 析 在 上 述 几 起 攻 击 事 件 中 ， 下 载 （ 释 放 ） 的 木 马 主 要 有 Q u a s a r R A T 和 B A D N E W S 两 种 。 3 . 1   Q u a s a r R A T 木 马 木 马 在 攻 击 事 件 A 和 攻 击 事 件 B 中 ， 下 载 （ 释 放 ） 的 木 马 为 Q u a s a r R A T 。 1 .   释 放 的 木 马 版 本 信 息 伪 造 成 微 软 或 Q i h o   3 6 0 等 。
2 .   Q u a s a r R A T 木 马 采 用 C # 编 写 ， 但 最 新 发 现 的 木 马 外 层 添 加 了 一 段 L o a d e r 代 码 。 L o a d e r 代 码 的 主 要 功 能 是 反 检 测 反 沙 箱 功 能 ， 并 在 最 后 加 载 原 始 Q u a s a r R A T 木 马 。 Q u a s a r R A T 木 马 采 用 高 强 度 混 淆 处 理 。 3 .   其 主 要 功 能 有 以 下 几 个 部 分 ： 4 .   收 集 系 统 信 息 。
5 .   样 本 在 收 集 完 信 息 后 ，   会 尝 试 连 接 C & C 服 务 器 。 6 .   最 后 将 收 集 到 的 虚 拟 环 境 ， 反 病 毒 软 件 ， 主 机 ， 用 户 名 等 信 息 发 送 到 C & C 服 务 器 。 3 . 2   B A D N E W S 木 马 木 马 在 攻 击 事 件 C 中 ， 释 放 的 木 马 为 B A D N E W S 木 马 。 1 .   相 关 文 档 触 发 漏 洞 后 会 释 放 三 个 文 件 ：
其 中 V M w a r e C p l L a u n c h e r . e x e 为 具 有 合 法 数 字 签 名 的 文 件 ， v m t o o l s . d l l 为 经 过 篡 改 的 d l l ， 用 于 最 终 加 载 B A D N E W S 的 最 新 变 种 M S B u i l d . e x e 。 2 .   V M w a r e C p l L a u n c h e r . e x e 运 行 后 ， 会 自 动 加 载 v m t o o l s . d l l ， v m t o o l s . d l l 执 行 后 会 创 建 一 个 名 为 B a i d u U p d a t e T a s k 1 的 任 务 计 划 ， 该 任 务 计 划 每 隔 一 分 钟 会 执 行 一 次 M S B u i l d . e x e 。 3 .   M S B u i l d . e x e 执 行 后 ， 会 下 载 取 出 “ [ [ ” 和 “ ] ] ” 中 间 的 B a s e 6 4 字 符 串 ， 经 过 两 次 b a s e 6 4 解 码 和 数 次 解 密 后 得 到 样 本 需 要 连 接 的 C & C 地 址 。 4 .   拼 凑 主 机 上 线 信 息 发 送 到 C & C 服 务 器 硬 编 码 地 址 。 主 机 上 线 信 息 格 式 如 下 ： u u i d = [ U U I D ]   # u n = [ 登 录 名 ] # c n = [ 计 算 机 名 ] # o n = [ 操 作 系 统 版 本 ]   # l a n = [ I P 地 址 ] # n o p = # v e r = 1 . 0 。 并 使 用 A E S 加 密 算 法 （ 密 钥 ： D D 1 8 7 6 8 4 8 2 0 3 D 9 E 1 0 A B C E E C 0 7 2 8 2 F F 3 7 ） + b a s e 6 4 编 码 发 送 到 / / e 3 e 7 e 7 1 a 0 b 2 8 b 5 e 9 6 c c 4 9 2 e 6 3 6 7 2 2 f 7 3 / / 4 s V K A O v u 3 D / / A B D Y o t 0 N x y G . p h p 5 .   在 使 用 b a s e 6 4 编 码 后 还 对 编 码 后 的 数 据 的 固 定 偏 移 位 置 的 插 入 ” = ” 和 ” & ” 字 符 。 6 .   搜 集 客 户 端 非 移 动 磁 盘 的 敏 感 文 件 列 表 （ . x l s ， . x l s x ， . d o c ， . d o c x ， . p p t ， . p p t x ， . p d f 等 ） ， 并 保 存 为 临 时 目 录 下 的 e d g 4 9 9 . d a t 。 % P R O G R A M D A T A % M i c r o s o f t D e v i c e S y n c V M w a r e C p l L a u n c h e r . e x e % P R O G R A M D A T A % M i c r o s o f t D e v i c e S y n c v m t o o l s . d l l % P R O G R A M D A T A % M i c r o s o f t D e v i c e S y n c M S B u i l d . e x e h x x p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / h u s n g i l g i t / h u s n a h a z r t / m a s t e r / x m l . x m l
7 .   创 建 线 程 ， 将 键 盘 记 录 信 息 ， 窗 口 信 息 等 保 存 为 临 时 目 录 下 的 T P X 4 9 8 . d a t 。 8 .   上 述 保 存 为 d a t 文 件 的 数 据 ， 同 样 使 用 上 述 A E S 加 密 算 法 + b a s e 6 4 编 码 发 送 。 但 发 送 的 硬 编 码 地 址 变 为 e 3 e 7 e 7 1 a 0 b 2 8 b 5 e 9 6 c c 4 9 2 e 6 3 6 7 2 2 f 7 3 4 s V K A O v u 3 D U Y E f g E p X A O E . p h p 四 四   总 结 总 结 白 象 组 织 目 前 主 要 威 胁 目 标 为 巴 基 斯 坦 和 中 国 的 大 面 积 目 标 ， 包 括 教 育 、 军 事 、 科 研 、 媒 体 等 各 种 目 标 。 其 先 导 攻 击 手 段 多 为 鱼 叉 式 钓 鱼 邮 件 ， 发 送 带 有 格 式 漏 洞 文 档 的 链 接 ， 并 且 擅 长 伪 造 相 关 军 事 、 政 治 信 息 ， 较 为 精 细 。 目 前 该 组 织 已 经 成 长 为 有 较 高 攻 击 能 力 的 小 分 队 ， 且 使 用 的 漏 洞 的 手 法 也 比 较 新 颖 ， 对 社 会 工 程 学 的 把 捏 相 当 的 精 妙 ， 这 从 近 期 多 起 攻 击 事 件 中 就 可 以 看 出 。   对 于 类 似 白 象 的 攻 击 组 织 ， 由 于 历 来 更 多 依 赖 类 似 电 子 邮 件 这 样 的 互 联 网 入 口 ， 其 实 本 可 以 很 好 的 做 到 防 御 ， 但 通 过 诱 导 性 的 语 言 却 可 以 把 这 些 防 御 措 施 无 效 化 。 因 此 ， 加 强 对 人 员 的 安 全 思 想 教 育 ， 可 以 很 好 的 避 免 类 似 安 全 事 件 的 发 生 。 * 本 文 作 者 ： 金 睛 ， 转 载 请 注 明 来 自 本 文 作 者 ： 金 睛 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理