搜索

[15316] 2020-04-30_疑似响尾蛇APT组织利用冠状病毒相关信息传播恶意lnk文件

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2020-04-30_疑似响尾蛇APT组织利用冠状病毒相关信息传播恶意lnk文件 疑 似 响 尾 蛇 A P T 组 织 利 用 冠 状 病 毒 相 关 信 息 传 播 恶 意 l n k 文 件 原 创   f u c k g o d   F r e e B u f   2 0 2 0 - 0 4 - 3 0 概 述 概 述 响 尾 蛇 （ 响 尾 蛇 （ S i d e W i n d e r ） 组 织 是 据 称 具 有 南 亚 背 景 的 ） 组 织 是 据 称 具 有 南 亚 背 景 的 A P T 团 伙 ， 其 主 要 针 对 周 边 国 家 政 府 机 构 等 重 要 组 织 开 展 攻 团 伙 ， 其 主 要 针 对 周 边 国 家 政 府 机 构 等 重 要 组 织 开 展 攻 击 活 动 ， 窃 取 敏 感 信 息 。 击 活 动 ， 窃 取 敏 感 信 息 。 在 之 前 的 文 章 中 提 到 在 线 沙 箱 a n y . r u n 是 学 生 党 获 得 样 本 分 析 的 好 地 方 ， 而 关 注 一 些 安 全 研 究 员 的 社 交 账 号 则 是 获 取 A P T 样 本 信 息 的 有 效 渠 道 。 近 日 ， 安 全 研 究 员 公 开 披 露 了 几 起 响 尾 蛇 的 攻 击 样 本 搜 索 样 本 搜 索 样 本 因 看 到 其 中 有 新 冠 病 毒 相 关 的 信 息 ， 遂 想 找 到 样 本 分 析 ， 遗 憾 的 是 ， 在 a n y r u n 搜 索 发 现 ， 只 有 一 个 样 本 存 在 ， 其 他 样 本 均 没 有 在 a n y r u n 沙 箱 。 通 过 沙 箱 可 发 现 ， 该 样 本 是 l n k 文 件 ， 运 行 后 将 从 远 程 下 载 h t a 文 件 执 行 可 惜 的 是 远 程 连 接 已 经 4 0 4 了 ， 没 法 继 续 分 析 后 续 。 通 过 a n y r u n 直 接 找 样 本 分 析 的 路 子 断 了 ， 再 次 尝 试 从 V T 获 取 一 些
样 本 信 息 。 通 过 V T   搜 索 发 现 利 用 冠 状 病 毒 相 关 信 息 的 样 本 也 是 l n k , 运 行 后 将 会 连 接 h t t p : / / w w w [ . ] d 0 1 f a [ . ] n e t / c g i / 8 e e 4 d 3 6 8 6 6 / 1 6 3 6 4 / 1 1 5 4 2 / 5 8 a 3 a 0 4 b / f i l e . h t a 下 载 后 续 执 行 。 但 是 该 连 接 也 失 效 了 ， 幸 运 的 是 ， 在 该 样 本 的 评 论 初 ， 发 现 一 个 评 论 且 该 评 论 带 有 一 个 a n y r u n 连 接 进 入 a n y r u n 可 见 该 样 本 是 一 个 h t a 文 件 ， 且 其 标 题 与 l n k 文 件 相 同 ， 且 其 网 络 行 为 中 的 域 名 也 与 l n k 文 件 后 续 域 名 相 同 。 因 此 可 判 定 该 样 本 即 为 l n k 文 件 后 续 至 此 ， 可 以 整 理 出 该 样 本 的 相 关 信 息 如 下
文 件 名 文 件 名 P a k _ A r m y _ D e p l o y e d _ i n _ C o u n t r y _ i n _ F i g h t _ A g a i n s t _ C o r o n a v i r u s . p d f . l n k M d 5 3 c 9 f 6 4 7 6 3 a 2 4 2 7 8 a 6 f 9 4 1 e 8 8 0 7 7 2 5 3 6 9 后 续 链 接 h t t p : / / w w w . d 0 1 f a . n e t / c g i / 8 e e 4 d 3 6 8 6 6 / 1 6 3 6 4 / 1 1 5 4 2 / 5 8 a 3 a 0 4 b / f i l e . h t a 后 续 m d 5 7 a 4 f 9 c 2 e 5 a 6 0 e c 4 9 8 c 6 6 d 8 5 d 2 d f 3 5 1 e 8 样 本 分 析 样 本 分 析 样 本 以 巴 基 斯 坦 军 队 抗 击 冠 状 病 毒 为 诱 饵 ， 并 假 装 是 p d f 快 捷 链 接 ， 诱 导 受 害 者 点 击 执 行 ， 一 旦 受 害 者 执 行 ， 该 l n k 文 件 将 会 从 h t t p : / / w w w [ . ] d 0 1 f a [ . ] n e t / c g i / 8 e e 4 d 3 6 8 6 6 / 1 6 3 6 4 / 1 1 5 4 2 / 5 8 a 3 a 0 4 b / f i l e . h t a 下 载 后 续 H t a 执 行 。 H t a 文 件 内 容 如 下 该 h t a 主 要 功 能 为 解 密 加 载 一 个 . n e t d l l . 解 密 出 d l l 后 ， 获 取 杀 软 信 息
加 载 d l l , 传 入 四 个 参 数 ， 分 别 是 后 续 h t a 地 址 ， 传 杀 软 信 息 的 u r + 杀 软 信 息 ， 诱 饵 p d f 的 内 容 ， 诱 饵 p d f 的 文 件 名 之 后 该 d l l 将 释 放 诱 饵 文 件 ， 诱 饵 内 容 与 巴 基 斯 坦 军 队 抗 击 疫 情 相 关 ‘ 将 再 次 从 远 程 下 载 一 个 h t a 文 件 执 行 ， 但 该 链 接 目 前 又 失 效 了 ， 继 续 a n y r u n 大 法 下 载 。
下 载 回 来 的 h t a 与 之 前 的 类 似 ， 仍 是 解 密 加 载 一 个 d l l 文 件 。 加 载 后 调 用 d l l 的 w o r k 函 数 该 d l l 主 要 将 在 P r o g r a m D a t a f o n t F i l e s 目 录 下 释 放 四 个 文 件 ， 并 将 白 文 件 加 入 自 启 动 ， 通 过 白 文 件 加 载 该 目 录 下 的 恶 意 D u s e r . d l l D u s e r . d l l 加 载 起 来 后 ， 将 读 取 所 在 目 录 下 的 t m p 文 件 ， 并 解 密 加 载 该 文 件 由 于 d n s p y 不 能 直 接 调 试 d l l , 所 以 可 将 该 解 密 算 法 直 接 拷 贝 到 v s 里 ， 解 密 文 件 写 入 即 可
解 密 加 载 后 的 文 件 即 为 最 终 的 恶 意 木 马 ， 该 木 马 主 要 用 于 窃 取 信 息 以 及 接 受 远 程 命 令 执 行 ， 运 行 后 ， 首 先 从 资 源 解 密 配 置 解 密 的 配 置 信 息 如 下 ， 信 息 内 容 包 括 收 集 保 存 文 件 目 录 以 及 感 兴 趣 的 文 件 类 型 等 之 后 创 建 两 个 定 时 器 函 数 执 行 G e t T i m e r C a l l b a c k 用 于 与 c 2 通 信 ， 获 取 命 令 执 行 ， 根 据 不 同 命 令 执 行 相 应 功 能
支 持 的 功 能 如 下 1 . 获 取 系 统 信 息 保 存 到 % p r o g r a m d a t a % f o n t F i l e s f o n t 目 录 下 的 随 机 名 . s i r 中 获 取 系 统 信 息 如 下 2 . 收 集 所 有 目 录 信 息 的 信 息 保 存 到 % p r o g r a m d a t a % f o n t F i l e s f o n t 目 录 下 的 随 机 名 . f l c 中
3 ．   收 集 特 定 文 件 类 型 的 信 息 保 存 到 % p r o g r a m d a t a % f o n t F i l e s f o n t 目 录 下 的 随 机 名 . f l s 中 4 . 获 取 文 件 保 存 5 . 更 新 c 2 地 址 6 . 更 新 是 否 上 传 指 定 文 件 参 数
7 . 重 置 想 获 取 的 特 殊 文 件 类 型 8 . 设 置 文 件 大 小 限 制 9 . 指 定 上 传 文 件 另 一 个 定 时 函 数 P o s t T i m e r C a l l b a c k 用 于 上 传 文 件 关 联 关 联 此 次 样 本 与 之 前 披 露 的 过 的 响 尾 蛇 样 本 基 本 一 致
且 其 c 2 :   c l o u d - a p t . n e t 在 各 威 胁 平 台 上 都 有 响 尾 蛇 的 t a g I o c P a k _ A r m y _ D e p l o y e d _ i n _ C o u n t r y _ i n _ F i g h t _ A g a i n s t _ C o r o n a v i r u s . p d f . l n k 3 c 9 f 6 4 7 6 3 a 2 4 2 7 8 a 6 f 9 4 1 e 8 8 0 7 7 2 5 3 6 9 h t t p : / / w w w . d 0 1 f a . n e t / c g i / 8 e e 4 d 3 6 8 6 6 / 1 6 3 6 4 / 1 1 5 4 2 / 5 8 a 3 a 0 4 b / f i l e . h t a 7 a 4 f 9 c 2 e 5 a 6 0 e c 4 9 8 c 6 6 d 8 5 d 2 d f 3 5 1 e 8 h t t p s : / / c l o u d - a p t . n e t / 2 0 2 / X l h X f u D r s N N x G U P C s Y P O d Q 7 8 W m w u L R M Z 2 Y C X v G W y / 1 6 3 6 4 / 1 1 5 4 2 / 2 c 7 c 9 5 c 9 * 本 文 作 者 ： 本 文 作 者 ： f u c k g o d ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理