Donot(APT-C-35)組織對在華巴基斯坦商務人士的定向攻擊活動分析

2021-02-21 奇安信威脅情報中心

背景

近期，360威脅情報中心協助用戶處理了多起非常有針對性的郵件釣魚攻擊事件，被攻擊目標包括中國境內的巴基斯坦重要商務人士，該輪攻擊活動最早發生在2018年5月，攻擊者對目標機器進行了長時間的控制。360威脅情報中心在本文中對本次的釣魚攻擊活動的過程與技術細節進行揭露，希望相關組織和個人能夠引起足夠重視並採取必要的應對措施。

 

2017年，360公司發現並披露了主要針對巴基斯坦等南亞地區國家進行網絡間諜活動的組織[1]，內部跟蹤代號為APT-C-35，其後網絡安全廠商Arbor公開了該組織的活動並命名為Donot[2]。此APT組織主要針對政府機構等領域進行攻擊，以竊取敏感信息為主要目的。從2017年至今，該組織針對巴基斯坦至少發動了4波攻擊行動，攻擊過程主要是以攜帶Office漏洞或者惡意宏的魚叉郵件進行惡意代碼的傳播，並先後使用了兩套獨有的惡意代碼框架：EHDevel和yty。而在這一波攻擊中，Donot團夥瞄準了在我國境內的巴基斯坦商務人士。


釣魚攻擊過程

攻擊者針對目標的整個攻擊過程如下：


惡意代碼分析

360威脅情報中心對整個攻擊過程進行了詳細分析，過程如下。


Dropper - Excel Macros

攻擊者通過向目標郵箱發送帶有惡意宏的Excel誘餌文檔誘騙目標執行，宏代碼成功執行後會在C:\micro釋放office_update.exe，並執行該EXE文件。誘餌文檔內容為寶馬汽車促銷的相關信息，這和受害者所從事的商務活動密切相關，極易取得受害者的信任：


Downloader - office_update.exe

文件名

office_update.exe

MD5

2320ca79f627232979314c974e602d3a

 

office_updata.exe則是一個下載者，其會通過http://bigdata.akamaihub.stream/pushBatch下載一個BAT文件並執行：

該BAT文件主要功能為設置自啟動項實現持久化、創建隱藏的文件目錄等，office_updata.exe還會從http://bigdata.akamaihub.stream/pushAgent下載文件保存到%USERPROFILE%\BackConfig\BackUp目錄下，並命名為wlidsvcc.exe：

office_updata.exe最後會實現自刪除：


Plugin-Downloader - wlidsvcc.exe

文件名

wlidsvcc.exe

MD5

68e8c2314c2b1c43709269acd7c8726c

 

wlidsvcc.exe也是一個下載者，wlidsvcc.exe會與C2通信下載後續需要執行的插件：wuaupdt.exe、kylgr.exe、svchots.exe等等，並啟動wuaupdt.exe。樣本運行後通過創建互斥量「wlidsvcc」以保證只有一個實例運行：

隨後判斷當前進程路徑是否為%USERPROFILE%BackConfig\BackUp\wlidsvcc.exe：

若路徑滿足條件後，以POST方式與C2：bigdata.akamaihub.stream進行通信，並獲取後續的控制指令：

通過判斷C2返回數據，根據不同指令執行不同操作，當指令為「no」時，則Sleep 90秒後再與C2繼續通信：

當命令為「cmdline」時，則啟動插件執行器：%USERPROFILE%\BackConfig\BackUp\wuaupdt.exe，並繼續與C2通信：

當指令不是上述兩條指令，則從http://bigdata.akamaihub.stream/orderMe下載文件保存到路徑C:\Users\%s\BackConfig\BigData，之後繼續與C2通信獲取需要執行的指令：


Plugin executor - wuaupdt.exe

文件名

Wuaupdt.exe

MD5

35ec92dbd07f1ca38ec2ed4c4893f7ed

 

wuaupdt.exe本身的功能是一個CMD後門，其會與C2通信執行一些CMD命令。並且還會通過攻擊者下發的指令執行其他的插件，所有後門插件的分析見下節。

通過C2獲取指令執行：


Backdoor – Plugins

wuaupdt.exe會根據攻擊者下發的指令執行對應的插件，相關插件分析如下。

Keylogger - Kylgr.exe

文件名

Kylgr.exe

MD5

88f244356fdaddd5087475968d9ac9bf

PDB路徑

c:\users\user\documents\visualstudio2010\Projects\newkeylogger\Release\new  keylogger.pdb

 

該插件的主要功能為鍵盤記錄，其首先會在當前目錄創建文件inc3++.txt，並檢索%USERPROFILE%\Printers\Neighbourhood目錄下是否已有歷史鍵盤記錄文件存在，若有則將文件名與最後修改時間保存到inc3++.txt：

如果%USERPROFILE%\Printers\Neighbourhood路徑下有歷史鍵盤記錄文件，則將歷史鍵盤記錄文件移動到%USERPROFILE%\Printers\Neighbourhood\Spools目錄下：

之後在%USERPROFILE%\Printers\Neighbourhood下創建格式為「用戶名_年_月_日(時_分_秒)」的文本文件，用於記錄當前的鍵盤記錄，最後循環獲取是否有鍵盤滑鼠操作：

如果獲取到窗口名，將窗口名和按鍵信息保存到創建的文本文件中：

file-listing - svchots.exe

文件名

svchots.exe

MD5

14eda0837105510da8beba4430615bce

 

文件搜集插件首先會遍歷C、D、E、F、G、H盤：

並排除以下目錄：

然後獲取以下擴展名的文件：

當找到有以上擴展名的文件後，將文件名與最後的修改日期寫入當前目錄下的test.txt文件中，並將搜集到的文件加上txt後綴後複製到%USERPROFILE%\Printers\Neighbourhood\Spools目錄下：

Systeminfo - spsvc.exe

文件名

spsvc.exe

MD5

2565215d2bd8b76b4bff00cd52ca81be

 

系統信息搜集插件使用UPX加殼，脫殼後根據字符串相關信息可以知道是go語言編寫的程序。該插件會創建多個CMD進程執行命令，獲取系統相關信息，並將獲取的信息保存到目錄%USERPROFILE%\Printers\Neighbourhood\Spools：

Uploader - lssm.exe

文件名

lssm.exe

Md5

23386af8fd04c25dcc4fdbbeed68f8d4

 

文件上傳插件主要用於將%USERPROFILE%Printers\Neighbourhood\Spools目錄下，由木馬收集的敏感信息和文件上傳到C2：bigdata.akamaihub.stream

Uploader - lssmp.exe

文件名

lssmp.exe

MD5

b47386657563c4be9cec0c2f2c5f2f55

數字籤名

COMODO CA Limited

 

和lssm.exe功能類似的另外一個文件上傳插件為lssmp.exe，該樣本包含數字籤名：

插件執行後會從當前進程列表中找到explorer.exe進程：

然後獲取插件的資源節，並解密出一個PE文件：

將解密的PE文件注入到explorer.exe執行：

注入的PE文件在功能與lssm.exe插件一致，上傳其他插件收集的鍵盤信息到C2：

關聯樣本分析

360威脅情報中心通過內部大數據關聯到此次的攻擊團夥使用的其它一些誘餌文檔和插件，相關分析如下。

CSD_Promotion_Scheme_2018.xls

文件名

CSD_Promotion_Scheme_2018.xls

MD5

82a5b24fddc40006396f5e1e453dc256

 

該誘餌文檔同樣是利用惡意宏的Excel樣本，打開文檔後會提示啟用宏：

惡意宏代碼的主要功能為在%APPDATA%目錄下釋放Skype.exe，在C:\Skype目錄下釋放Skype.bat，並執行Skype.bat文件：

宏代碼執行後同樣會顯示一個寶馬汽車促銷的相關圖片：

Skyep.bat

Skyep.bat會重新創建%USERPROFILE%Printers\Neighbourhood\Spools、%USERPROFILE%\BackConfig\BackUp和%USERPROFILE%\BackConfig\BigData文件夾，並將這些文件夾屬性設置為隱藏：

該BAT文件還會獲取計算機名，將獲取到的計算機名和5位隨機數字組成字符串保存到%USERPROFILE%\BackConfig\Backup\pcap.txt中：

並創建多個自啟動項，為後續下載執行的插件設置持久化。最後啟動Skyep.exe，並刪除自身：

Skyep.exe

文件名

Skyep.exe

MD5

f67595d5176de241538c03be83d8d9a1

PDB

C:\Users\spartan\Documents\Visual Studio  2010\Projects\downloader new 22 jun use\downloader\Release\downloader.pdb

 

Skyep.exe的主要功能為下載執行，文件名則偽裝成語音軟體Skype，其會從http://databig.akamaihub.stream/pushBatch（還存活）下載文件保存到\BackConfig\BackUp\csrsses.exe並執行，且Skyep.bat文件中已經把該文件寫入到自啟動項：

Csrsses.exe

文件名

Csrsses.exe

MD5

e0c0148ca11f988f292f527733e54fca

 

該樣本與前面分析的wlidsvcc.exe功能類似，都是與C2通信獲取後續插件執行。

樣本主要功能是與C2通信獲取後續插件執行，首先從\\BackConfig\\BackUp\\pcap.txt讀取出計算機名：

然後將計算機名封裝成字符串：「orderme/計算機名-隨機數」，以POST方式與C2：databig.akamaihub.stream進行通信，獲取後續命令執行：

之後通過判斷返回網絡數據中的Content-Type進行後續操作：如果是「application」，則從C2獲取文件保存到\\BackConfig\\BigData\\目錄下：

如果是「cmdline」，則執行\\BackConfig\\BigData\\wuaupdt.exe，並繼續與C2通信：

當等於「batcmd」時，則啟動\\BackConfig\\BigData\\test.bat，並且繼續與C2通信：


溯源 – Donot（APT-C-35）

360威脅情報中心通過對此次攻擊中使用的宏代碼、插件、域名/IP關聯分析，以及使用360威脅情報中心分析平臺對相關樣本和網絡基礎設施進行拓展，我們確認此次攻擊的幕後團夥為Donot APT組織（APT-C-35）。


宏代碼相似

2018年3月ASERT曝光的DONOT APT組織[2]的宏利用樣本和本次攻擊活動中使用的宏利用樣本相似度極高，並且都是執行完宏後彈出一個誘餌圖片。


插件相似度

和之前的Donot樣本一致，這次的樣本也是通過重C&C獲取插件執行的插件式木馬。其中都有UPX加殼的go語言木馬，且代碼邏輯高度一致：

本次攻擊活動中的wuaupdt.exe在之前的Donot攻擊活動中[1]也曾出現，且C2地址一致。


總結

從本次捕獲到的Donot APT攻擊活動來看，該APT團夥依然以巴基斯坦相關人士作為首要攻擊目標，甚至將攻擊範圍擴大到包括在華的巴基斯坦人員和機構。種種跡象表明，Donot APT組織（APT-C-35）從未停止自己的攻擊活動，或許近期會再次發動新的網絡間諜攻擊。

360威脅情報中心再次提醒各企業用戶，加強員工的安全意識培訓是企業信息安全建設中最重要的一環，如有需要，企業用戶可以建設態勢感知，完善資產管理及持續監控能力，並積極引入威脅情報，以儘可能防禦此類攻擊。

目前，基於360威脅情報中心的威脅情報數據的全線產品，包括360威脅情報平臺（TIP）、天眼高級威脅檢測系統、360 NGSOC等，都已經支持對此APT攻擊團夥攻擊活動的檢測。


IOC

MD5

82a5b24fddc40006396f5e1e453dc256

f67595d5176de241538c03be83d8d9a1

e0c0148ca11f988f292f527733e54fca

2320ca79f627232979314c974e602d3a

68e8c2314c2b1c43709269acd7c8726c

35ec92dbd07f1ca38ec2ed4c4893f7ed

88f244356fdaddd5087475968d9ac9bf

14eda0837105510da8beba4430615bce

2565215d2bd8b76b4bff00cd52ca81be

23386af8fd04c25dcc4fdbbeed68f8d4

b47386657563c4be9cec0c2f2c5f2f55

C&C

databig.akamaihub.stream

bigdata.akamaihub.stream

185.236.203.236

unique.fontsupdate.com

PDB路徑

C:\Users\spartan\Documents\Visual Studio  2010\Projects\downloader new 22 jun use\downloader\Release\downloader.pdb

C:\users\user\documents\visualstudio2010\Projects\newkeylogger\Release\new  keylogger.pdb


參考

[1].    https://ti.360.net/blog/articles/latest-activity-of-apt-c-35/

[2].    https://asert.arbornetworks.com/donot-team-leverages-new-modular-malware-framework-south-asia/

相關焦點

  • ​Donot APT團夥使用升級版數字武器針對周邊地區的攻擊活動分析
    概述Donot「肚腦蟲」（APT-C-35）是疑似具有南亞背景的APT組織，其主要以周邊國家的政府機構為目標進行網絡攻擊活動
  • MMCore針對南亞地區的APT攻擊活動分析
    此外Forcepoint也在2017年初曝光過而惡意文件的一些攻擊活動。該惡意文件的活動，主要活躍在亞洲地區，包括中國、巴基斯坦、阿富汗、尼泊爾等。不過Forcepoint也提到該攻擊活動也包含非洲和美國。攻擊的目標主要為軍事目標、媒體、大學等。該攻擊活動可以追溯到2013年，直到2020年，依然存在。
  • Donot團夥(APT-C-35)移動端新攻擊框架工具分析
    -35)，由奇安信高級威脅研究團隊持續跟蹤發現並命名，其主要針對巴基斯坦等南亞地區國家進行網絡間諜活動的組織。該組織主要針對政府機構等領域進行攻擊，其中以竊取敏感信息為主。自第一次發現該組織的攻擊活動以來，奇安信威脅情報中心對該組織一直保持著持續跟蹤，近期發現了其包名為com.tencent.mm(微信包名)最新的移動樣本，相比於之前發現的Donot(肚腦蟲)移動端程序，此次發現的程序對其代碼結構進行了調整，但其C&C和功能方面依然保持了之前Donot(肚腦蟲)的風格。
  • DarkHotel APT組織揭秘:針對高端商務人士、政要人物的精準攻擊已持續8年
    」）是一個被認為來自韓國的APT組織（亦有研究團隊認為與朝鮮有關），該組織最早被卡巴斯基在2014年曝光，但是最早的活動可以追溯到2010年，騰訊御見威脅情報中心最早跟蹤到的該組織的攻擊活動發生在2011年。
  • 疑似白象APT組織最新攻擊武器分析
    白象組織最早是由Norman公司在2013年曝光，之後，又有其他安全廠商持續追蹤並相繼披露了該組織的最新活動，不過該組織的相關攻擊活動並未由曝光而停止，反而自2015年開始更頻繁。Bozok RAT是一款輕量級又功能繁多的遠控木馬，而且客戶端支持多種地區語言，此木馬歷來被多個APT組織用在對金融、政府方向的定向攻擊活動中。值得一提的是，在已被披露的印度背景APT組織歷史攻擊活動中，這是他們首次使用Bozok木馬。
  • 疑似DarkHotel APT組織針對中國貿易行業高管的定向攻擊披露
    長按二維碼關注御見威脅情報中心一、背景騰訊御見威脅情報中心在2018年4月份監測到針對中國貿易行業高管的定向攻擊活動而從該次攻擊的手法、技術特點、攻擊對象等來看，跟DarkHotel組織高度相似。不過暫未發現確鑿的關聯證據，我們也希望安全同行能跟我們一起來完善攻擊者拼圖。DarkHotel（編號：T-APT-02，中文名「黑店」）是一個被認為來自韓國的APT組織（亦有研究團隊認為與朝鮮有關）。騰訊御見威脅情報中心最早跟蹤到的該組織的攻擊活動發生在2011年。
  • APT界勞模:東歐黑客組織使用魚叉郵件定向攻擊烏克蘭活動總結
    概述Gamaredon APT組織是疑似具有東歐背景的APT團夥，該組織攻擊活動最早可追溯到2013年，其主要針對烏克蘭政府機構官員
  • 近期雙尾蠍APT組織利用偽造社交軟體等針對多平臺的攻擊活動分析
    該組織長期針對中東地區，最早於2017年被披露，至少從2016年5月起，持續針對巴勒斯坦軍事機構、教育機構等重要領域開展了有組織，有計劃，有針對性的攻擊。近期，國內有關安全研究團隊在日常的威脅狩獵中捕獲了該組織多起攻擊樣本，涉及Windows和Android雙平臺。
  • 蔓靈花(BITTER)APT組織使用InPage軟體漏洞針對巴基斯坦的攻擊及團夥關聯分析
    通過對這批InPage漏洞利用文檔及相關攻擊活動的分析，我們關聯到幕後的團夥正是360公司在2016年披露的「蔓靈花」APT組織[5]，並且經過進一步分析，攻擊活動中的多個樣本還與「摩訶草」、Bahamut和Confucius等APT組織有很強的關聯性，這不禁讓人對這些南亞來源的APT組織的同源性產生更多的聯想。
  • 2018年全球十大APT攻擊事件盤點
    這些攻擊的攻擊媒介都是通過魚叉式網絡釣魚，使用註冊到免費電子郵件提供商Seznam的電子郵件帳戶，Seznam是一家位於捷克共和國的熱門網絡服務提供商，並且該攻擊大部分文檔都包含作者名Joohn。在2018年9月，ESET還發現APT28組織使用UEFI rootkit針對巴爾幹半島及中歐和東歐的政府組織進行定向攻擊的活動。
  • 季風行動 - 蔓靈花(APT-C-08)組織大規模釣魚攻擊活動披露
    從7月開始，360安全大腦遙測發現蔓靈花組織針對南亞地區發起了大規模的釣魚竊密攻擊活動，通過360高級威脅研究院的追蹤溯源，發現此次攻擊行動的目標涉及包括我國和巴基斯坦在內的多個單位組織、政府機構，攻擊活動一直持續活躍至今，本次攻擊中繼續沿用了之前仿冒目標郵箱系統釣魚攻擊的技戰術，但其攻擊規模和頻次較之前大幅度增加，進一步針對部分重點目標還會以偽裝會議文件或軟體進行惡意載荷投遞。
  • 肚腦蟲(Donot)組織和C-Major組織的鉤沉拾遺
    近期，安恆安全研究院獵影威脅分析團隊對肚腦蟲(donot)組織進行了一些梳理，在梳理過程中，又發現了一些和C-Major組織的關聯項。於是對這兩個組織做了對比分析。關於Donot組織Donot「肚腦蟲」（APT-C-35）是一個疑似具有印度背景，主要針對巴基斯坦和克什米爾地區國家機構等領域進行網絡間諜活動，以竊取機密信息為目的的組織。
  • 北非狐(APT-C-44)攻擊活動揭露
    監測發現該攻擊活動起始於2017年10月，持續至今，攻擊平臺主要為Windows和Android。通過詳細數據分析，我們發現此次攻擊活動來自非洲北部的阿爾及利亞，主要利用第三方文件託管網站和釣魚網站進行載荷投遞，並利用網絡社交媒體進行傳播，受害者主要分布在阿拉伯語地區，其中包含疑似具有軍事背景的相關人員。分析該攻擊活動中的偽裝對象和攻擊目標，我們認為該組織長期攻擊活動的主要目的是獲取情報先機。
  • Hermit(隱士)APT組織2020年最新攻擊活動分析
    ，並且根據關聯分析確定跟KONNI為同一組織所為。該組織的攻擊對象包括與朝鮮半島相關的非政府組織、政府部門、貿易公司、新聞媒體等。SYSCON/SANNY木馬是一個非常有特色的遠程控制木馬，通過ftp協議來進行C&C控制，該後門的主要攻擊目標為朝鮮半島相關的重要政治人物或者要害部門，偶爾也會針對東南亞等國進行攻擊。該活動自2017年下半年開始活躍，並且對多個目標進行了攻擊活動。被曝光後，該組織活動沒有任何減弱的跡象。
  • 警惕來自節假日的祝福:APT攻擊組織＂黑格莎(Higaisa)＂攻擊活動披露
    根據對該組織活動中所使用的攻擊技術、被攻擊人員背景等分析研判，我們認為該攻擊組織為來自朝鮮半島的一個具有政府背景的APT攻擊組織。根據騰訊安全御見威脅情報中心的大數據分析發現，該組織的攻擊活動至少可以追溯到2016年，而一直持續活躍到現在。該組織常利用節假日、朝鮮國慶等朝鮮重要時間節點來進行釣魚活動，誘餌內容包括新年祝福、元宵祝福、朝鮮國慶祝福，以及重要新聞、海外人員聯繫錄等等。
  • 南亞APT組織＂蔓靈花＂歷史攻擊活動分析
    該組織最早在2016由美國安全公司Forcepoint進行了披露，並且命名為「BITTER」，同年360也跟進發布了分析報告，命名為「蔓靈花」。由於該組織早期特馬數據包頭部以"BITTER"作為標識，因此國外廠商將其命名為BITTER，但是值得注意的是，自從該活動被曝光後，該組織就修改了數據包結構，不再以"BITTER"作為數據包的標識，改為五字節的隨機字符進行代替。
  • 美人魚(Infy)APT組織的歸來——使用最新的Foudre後門進行攻擊活動的分析
    ，相關情報顯示其攻擊活動主要針對政府機構，由國內外安全相關情報中心於2016年5月進行披露，該組織最早的攻擊活動可以追溯到2010年，並且期間一直沒有長期間斷過。該組織來源為中東地區，使用的後門由於其C2的請求中帶有infy的路徑，因此被名為infy後門。2017年，國外安全相關機構發布報告披露了其使用了新版本的後門，命名為Foudre。在2018年，則被披露了關於Foudre後門的第八版本。在本次攻擊活動中，我們發現了該組織使用的第21版本與第22版本。
  • 疑似Donot APT組織使用最新域名資產進行攻擊活動分析
    安恆威脅情報中心疑似Donot APT組織使用最新域名資產進行攻擊活動分析近期，安恆威脅情報中心在日常威脅狩獵中捕獲到多個Donot APT組織的攻擊活動樣本。該批樣本保持了Donot組織一段時間以來的攻擊作戰風格，在本次攻擊活動中我們發現了屬於該組織的新的域名資產，同時安恆威脅情報中心TI平臺等相關產品已全面支持對該威脅進行精準檢測。
  • APT分析|汙水(MuddyWater)組織洩露武器MuddyC3分析報告
    MuddyC3工具代碼和關聯事件進行了詳細分析，4月份趨勢科技發布了一份關於伊朗APT黑客組織MuddyWater的報告，稱他們在Telegram監控到了MuddyWater組織的行動細節，並稱該組織在Telegram上洩露了C&C服務端、原始碼，以及一些受害者的相關信息。
  • 【黑客攻擊】俄羅斯黑客組織Gamaredon的攻擊活動分析
    ，與其他APT組織的定向攻擊不同，該組織的目標範圍是全球性的。研究人員還在2021年2月，觀察到該組織的一些新活動，這意味著該組織的攻擊規模雖然不大但非常頻繁。結合該組織擁有的龐大的設施，這意味該組織需要擁有專門的開發團隊，以允許其在持續的攻擊活動中添加新功能和特性的同時，還能管理基礎設施以支撐活動。如上文所分析的，Gamaredon並不同於常規的APT組織，該組織極具侵略性，一直處於活躍狀態，攻擊活動有增無減。