搜索

[14967] 2020-02-02_疑似南亚地区新APT组织GroupA21相关攻击活动分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-02-02_疑似南亚地区新APT组织GroupA21相关攻击活动分析 疑 似 南 亚 地 区 新 A P T 组 织 G r o u p A 2 1 相 关 攻 击 活 动 分 析 微 步 情 报 局   F r e e B u f   2 0 2 0 - 0 2 - 0 2 T A G ： 高 级 可 持 续 攻 击 、 A P T 、 南 亚 地 区 、 印 度 、 巴 基 斯 坦 、 军 队 、 政 府 、 国 防 、 情 报 机 构 、 原 子 能 T L P ： 白 （ 报 告 转 发 及 使 用 不 受 限 制 ） 日 期 ： 2 0 1 9 - 1 0 - 3 0 概 要 概 要 在 持 续 跟 踪 全 球 主 流 黑 客 组 织 的 过 程 中 ， 微 步 在 线 发 现 了 一 个 至 少 自 在 持 续 跟 踪 全 球 主 流 黑 客 组 织 的 过 程 中 ， 微 步 在 线 发 现 了 一 个 至 少 自 2 0 1 7 年 开 始 活 动 ， 主 要 针 对 南 亚 地 区 各 国 年 开 始 活 动 ， 主 要 针 对 南 亚 地 区 各 国 开 展 网 络 间 谍 活 动 的 新 开 展 网 络 间 谍 活 动 的 新 A P T 组 织 。 该 组 织 的 攻 击 手 法 与 印 度 背 景 的 组 织 。 该 组 织 的 攻 击 手 法 与 印 度 背 景 的 S i d e W i n d e r 和 和 B i t t e r 组 织 存 在 些 许 相 似 ， 但 组 织 存 在 些 许 相 似 ， 但 在 攻 击 细 节 和 所 用 木 马 方 面 存 在 本 质 的 区 别 ， 为 方 便 进 行 跟 踪 ， 微 步 在 线 内 部 将 之 命 名 为 在 攻 击 细 节 和 所 用 木 马 方 面 存 在 本 质 的 区 别 ， 为 方 便 进 行 跟 踪 ， 微 步 在 线 内 部 将 之 命 名 为 G r o u p A 2 1 。 。 对 该 组 织 相 关 活 动 进 行 分 析 ， 有 如 下 发 现 ： 该 组 织 疑 似 具 备 印 度 背 景 ， 主 要 针 对 南 亚 地 区 的 巴 基 斯 坦 、 斯 里 兰 卡 、 马 尔 代 夫 和 孟 加 拉 等 国 的 政 府 、 军 事 、 外 交 、 情 报 、 原 子 能 和 高 校 等 行 业 和 机 构 开 展 网 络 间 谍 活 动 。 根 据 I O C 和 木 马 指 纹 关 联 溯 源 发 现 ， 该 组 织 至 少 自 2 0 1 7 年 开 始 活 跃 。 其 攻 击 木 马 使 用 P y t h o n 、 C 、 C + + 、 G o 等 进 行 开 发 ， 具 备 回 传 系 统 配 置 信 息 、 S h e l l 、 获 取 目 录 、 传 输 文 件 、 发 送 邮 件 和 远 程 文 件 执 行 等 功 能 。 在 鱼 叉 式 网 络 钓 鱼 攻 击 中 ， 该 组 织 善 利 用 时 政 和 军 事 等 目 标 相 关 信 息 制 作 钓 鱼 邮 件 和 诱 饵 文 档 ， 使 用 伪 装 成 P D F 文 档 的 S F X 文 件 、 伪 装 的 L N K 文 件 作 为 木 马 投 递 载 体 ， 早 期 也 曾 利 用 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 传 播 木 马 。 微 步 在 线 通 过 对 相 关 样 本 、 I P 和 域 名 的 溯 源 分 析 ， 共 提 取 2 4 条 相 关 I O C ， 可 用 于 威 胁 情 报 检 测 。 微 步 在 线 威 胁 检 测 平 台 （ T D P ） 、 威 胁 情 报 管 理 平 台 （ T I P ） 、 D N S 防 火 墙 （ O n e D N S ） 、 威 胁 情 报 云 A P I 均 已 支 持 该 组 织 最 新 攻 击 的 检 测 。 详 情 详 情 基 于 狩 猎 和 黑 客 画 像 系 统 ， 微 步 在 线 持 续 跟 踪 着 全 球 主 流 的 黑 客 组 织 。 在 跟 踪 的 过 程 中 ， 我 们 发 现 一 个 至 少 自 2 0 1 7 年 开 始 活 跃 ， 持 续 针 对 南 亚 地 区 的 巴 基 斯 坦 、 斯 里 兰 卡 、 马 尔 代 夫 和 孟 加 拉 等 国 的 政 府 、 军 事 、 外 交 、 情 报 、 原 子 能 和 高 校 等 行 业 和 机 构 开 展 网 络 间 谍 活 动 的 新 A P T 组 织 ， 微 步 在 线 内 部 命 名 为 G r o u p A 2 1 。 在 攻 击 时 ， 该 组 织 多 利 用 时 政 和 军 事 等 目 标 相 关 信 息 制 作 钓 鱼 邮 件 和 诱 饵 文 档 ， 使 用 伪 装 成 P D F 文 档 的 S F X 文 件 、 伪 装 的 L N K 文 件 作 为 木 马 投 递 载 体 ， 早 期 也 曾 利 用 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 传 播 木 马 。 该 组 织 部 分 攻 击 活 动 的 攻 击 时 间 线 如 下 ：
下 面 对 相 关 攻 击 活 动 进 行 分 析 ： 2 0 1 9 年 1 0 月 ， 以 “ 为 什 么 选 择 空 军 大 学 ” 为 主 题 向 空 军 和 教 育 等 相 关 目 标 发 起 钓 鱼 攻 击 。 诱 饵 如 下 ：
2 0 1 9 年 5 月 ， 伪 装 P a k i s t a n C o m p u t e r   E m e r g e n c y   R e s p o n s e   T e a m   ( P a k C E R T ) 疑 似 向 巴 基 斯 坦 海 军 参 谋 长 等 相 关 目 标 发 起 钓 鱼 攻 击 ， 主 题 为 “ C N S _ G u i d e l i n e s _ 2 0 1 9 ” 。 诱 饵 如 下 ： 2 0 1 9 年 3 月 ， 以 “ 土 耳 其 对 巴 基 斯 坦 三 军 情 报 局 I S I 提 供 帮 助 的 回 应 ” 为 主 题 ， 内 容 与 土 耳 其 向 巴 基 斯 坦 军 官 进 行 培 训 和 提 供 军 事 援 助 有 关 ， 向 巴 基 斯 坦 国 防 和 情 报 等 有 关 部 门 发 起 钓 鱼 攻 击 ， C 2 伪 装 成 巴 基 斯 坦 国 家 信 息 委 员 会 相 关 网 站 。 诱 饵 如 下 ：
2 0 1 9 年 1 月 ， 以 “ 中 国 对 巴 基 斯 坦 的 战 略 背 叛 ” 为 主 题 ， 内 容 与 克 什 米 尔 冲 突 相 关 ， 向 巴 基 斯 坦 国 防 等 相 关 部 门 发 起 钓 鱼 攻 击 ， C 2 伪 装 成 巴 基 斯 坦 空 军 和 国 防 与 新 闻 分 析 小 组 相 关 。 诱 饵 如 下 ：
2 0 1 8 年 1 2 月 ， 以 “ I S I 在 中 巴 核 协 议 中 的 角 色 ” 为 主 题 ， 疑 似 向 巴 基 斯 坦 军 事 、 原 子 能 和 情 报 等 相 关 部 门 发 起 钓 鱼 攻 击 。 诱 饵 如 下 ：
2 0 1 8 年 7 月 ， 以 “ R E Q U E S T   F O R   C A R   S T I C K E R   F O R   T H E   Y E A R   2 0 1 8 ” 为 主 题 向 巴 基 斯 坦 空 军 人 员 发 起 钓 鱼 攻 击 。 诱 饵 如 下 ：
2 0 1 8 年 2 月 ， 以 在 印 度 举 办 的 第 八 届 亚 太 地 区 3 R 论 坛 ， 疑 似 向 马 尔 代 夫 环 境 和 发 展 相 关 部 门 发 起 钓 鱼 攻 击 。 此 次 论 坛 主 题 为 “ 通 过 3 R 和 资 源 效 率 实 现 清 洁 水 ， 清 洁 土 地 和 清 洁 空 气 - 亚 太 社 区 2 1 世 纪 愿 景 ” 。 诱 饵 如 下 ：
2 0 1 7 年 7 月 ， 以 “ 海 军 上 将 阿 瑟 · 穆 赫 塔 尔 （ A t h e r   M u k h t a r ） 接 任 K G C 主 席 ” 为 主 题 向 巴 基 斯 坦 有 关 人 员 发 起 钓 鱼 攻 击 。 诱 饵 如 下 ：
样 本 分 析 样 本 分 析 自 发 现 至 今 ， 该 A P T 组 织 的 攻 击 手 法 主 要 经 过 三 次 变 动 ： 2 0 1 7 年 至 2 0 1 8 年 上 半 年 期 间 投 递 的 诱 饵 样 本 主 要 以 伪 装 的 S F X 为 主 ， 最 终 释 放 P y t h o n 开 发 的 后 门 ， 具 备 回 传 系 统 配 置 信 息 、 S h e l l 、 获 取 目 录 、 传 输 文 件 、 发 送 邮 件 和 远 程 文 件 执 行 等 功 能 ； 2 0 1 8 年 下 半 年 至 2 0 1 9 年 上 半 年 ， 投 递 的 诱 饵 文 件 主 要 由 C 、 C + + 开 发 ， 具 备 反 弹 S h e l l 的 功 能 ， 释 放 具 有 诱 饵 内 容 的 b m p 文 件 ； 2 0 1 9 年 5 月 份 至 今 ， 则 主 要 投 递 携 带 恶 意 命 令 行 的 L N K 文 件 ， 远 程 下 载 H T A 文 件 ， 最 终 加 载 G o 语 言 开 发 的 后 门 木 马 或 E m p i r e 框 架 生 成 的 P a y l o a d 。 该 组 织 攻 击 手 法 演 变 ， 以 及 部 分 活 动 中 的 攻 击 流 程 如 下 ：
下 面 分 别 对 这 几 类 攻 击 样 本 进 行 分 析 。 R e g i s t r a t i o n _ D e t a i l s . z i p 此 类 样 本 通 过 L N K 文 件 下 载 H T A 文 件 执 行 ， 最 终 加 载 G o 语 言 开 发 的 反 弹 S h e l l 后 门 木 马 。 S H A 2 5 6 f 5 0 2 6 9 9 9 2 0 7 6 0 0 e b 4 c 6 3 c 0 3 c 2 6 7 9 d 4 6 e 1 a 3 e c 8 e 2 5 6 9 6 8 1 0 d 9 c 7 f 7 4 7 2 1 f 4 d 5 9 e b 文 件 格 式 Z I P C 2 a u n i v e r s i t y . m y f t p . o r g 1 9 4 . 3 2 . 7 6 . 1 2 4 文 件 名 称 R e g i s t r a t i o n _ D e t a i l s . z i p 攻 击 时 间 2 0 1 9 . 1 0 诱 饵 主 题 为 什 么 选 择 空 军 大 学 1 . Z I P 文 件 包 含 三 个 文 件 ， 其 中 一 个 P D F 诱 饵 文 件 ， 其 他 两 个 均 为 L N K 文 件 ， 执 行 后 会 下 载 H T A 文 件 运 行 ， 相 关 截 图 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理