軍刀獅組織(APT-C-38)攻擊活動揭露

2021-02-14 360威脅情報中心

從2015年7月起至今，軍刀獅組織（APT-C-38）在中東地區展開了有組織、有計劃、針對性的不間斷攻擊。其攻擊平臺為Windows和Android，截止目前360烽火實驗室（360 Beaconlab）一共捕獲了Android平臺攻擊樣本25個，Windows平臺攻擊樣本4個，涉及的C2域名16個。

2018年5月，Kaspersky安全廠商發表報告《Who’s who in the Zoo》，首次批露該組織為一個未歸屬的專注於中東目標的間諜活動組織，並命名ZooPark，涉及的攻擊武器共包含四個迭代版本的Android端RAT，載荷投遞方式包括水坑和Telegram頻道。

2019年，360烽火實驗室捕獲到軍刀獅組織的最新攻擊活動，除發現Android端攻擊外還發現該組織帶有Windows端攻擊，其中Android端RAT仍屬於第四代。我們結合APT攻擊的地緣政治因素、攻擊組織使用的語言以及該組織發起的歷史攻擊活動，分析後認為該組織是位於西亞的中東某國家背景的APT組織。另在此感謝我們的兄弟團隊----360高級威脅應對團隊對本報告Windows端RAT內容的完成。

由於軍刀獅組織的攻擊目標有一個主要的特色目標是西亞中東某國的庫德人，另Windows端RAT包含的PDB路徑下出現多次的「Saber」，而亞洲獅為該中東國家的代表動物，結合該組織的一些其它特點以及360對 APT 組織的命名規則，我們將該組織命名為軍刀獅（APT-C-38）。

圖1.1 軍刀獅關鍵攻擊活動時間事件點

軍刀獅組織載荷投遞的方式主要為水坑攻擊和Telegram頻道。需要注意的是該組織在2018年5月初被首次披漏後，攻擊組織在當月月底使用了新一批的網絡基礎設施。

目前已發現有兩家在中東地區流行的阿拉伯新聞報紙網站（科威特Annahar和埃及Al-Nahar）曾被該組織用來水坑攻擊。

圖2.1 埃及Al-Nahar網站

除了上面兩個針對指定中東地區阿拉伯國家的水坑攻擊外，我們還發現到該組織在攻擊其主要的攻擊目標中東某國的庫德人時多採用Telegram頻道傳播（如伊斯蘭議會前對庫德斯坦省選舉攻擊和庫德斯坦省馬裡萬薩南達季的抗議活動攻擊等）。

圖2.2 伊斯蘭議會前對庫德斯坦省選舉攻擊的Telegram頻道

至今軍刀獅組織已經使用了多個網絡基礎設施。

表1 軍刀獅組織使用的網絡基礎設施

需要注意的是其在2018年5月23日新申請了一批網絡基礎設施，最新的移動端攻擊載荷於2019年3月部署在其中的一個伺服器，這批中間伺服器共有4個，有3個至今仍存活且解析後實對應同一IP，這批伺服器充當著PC端和移動端RAT的中間伺服器角色。

圖2.3 被披露後軍刀獅組織當月新部署的一批網絡基礎設施

為更好的躲避被察覺到，除了對文件圖標進行偽裝外，還會在RAT啟動時顯示出正常的APP界面，目前四個迭代版本的Android端RAT，運行後均會展示出正常界面，但在運行時或者接收到指定廣播時，便開啟在後臺進行的間諜活動。

圖3.1 第二代和第四代的Android端RAT運行後展示舉例

圖3.2 偽裝的應用軟體圖標

截至目前，軍刀獅組織已使用到針對Android和Windows平臺的不同RAT，經過分析，我們認為最新的Android端RAT和PC端RAT應該購買自同一個商業開發組織，其中一名開發者暱稱為「Apasec」。

Android端共使用到四個迭代的RAT，本報告中我們僅介紹最新攻擊活動使用的第四代RAT，我們命為UnitMM，該RAT目前僅在軍刀獅組織中出現，其它版本RAT的信息可參考本報告前面提到的Kaspersky安全廠商報告。

UnitMM

軍刀獅組織的第四代RAT。根據該RAT包含的類名和使用到的資料庫名等，我們命名為UnitMM。最新版本的UnitMM通過默認的數十個功能配置，進行控制竊取簡訊、通訊錄、地理位置、瀏覽器書籤和搜索歷史記錄、剪切板信息、外部指定的應用程式數據、捕捉照片/視頻/音頻等多種惡意行為。

此外UnitMM還能響應來自C2的指定指令進行交互。

表2 C2指令與功能對應表

指令功能2更新惡意功能配置4執行shell命令6將指定的文件/文件夾壓縮並保存到預設目錄8將任務內容寫入臨時zip文件，從中提取所有內容並將其刪除10將指定的文件/文件夾複製到指定的目錄12將指定的文件/文件夾移動到指定的目錄14重命名指定的文件/文件夾16刪除指定的文件/文件夾18創建指定的目錄20靜默發送指定的內容簡訊到指定的號碼22撥打指定號碼電話24獲取指定路徑下的文件列表信息並將其保存到預設目錄26更新中間伺服器(C2隱寫圖片)列表

Windows端目前發現到一種RAT，我們命為SpecialSaber，該RAT目前僅在軍刀獅組織中出現，共有4個。

SpecialSaber

這是一個之前未被曝光的RAT。根據最新版PDB路徑下的目錄名，我們命為SpecialSaber。其具有檢測殺軟（包括Bitdefender、Kaspersky、Avira、Avast、AVG、ClamWin、ESET、Norton、McAfee、Panda、Symantec），竊取多種瀏覽器信息、多種郵箱信息、用戶帳戶信息、磁碟文件信息等，並帶有鍵盤記錄及截屏等多種惡意行為。竊取後的各種信息後會以文件的形式保存在自身的工作目錄中，文件名為隨機生成的字符串，文件統一用指定的格式進行存儲。

圖4.1 用統一格式存儲的截圖文件舉例

表3 部分文件類型數值與文件含義對應表

文件類型數值對應的文件含義1屏幕截圖，jpeg格式2每個驅動器所有文件列表，包括目錄、文件名、文件大小信息3鍵盤記錄4FireFox、Chrome、IE、Opera、Safari、Thunderbird、Outlook的帳號密碼信息5FireFox、Chrome、IE、Opera、Safari瀏覽器的歷史記錄6FireFox、Chrome、IE、Opera、Safari瀏覽器的書籤信息7Yahoo Messenger帳號密碼信息8用戶帳戶列表和每個帳戶的詳細信息9邏輯驅動器的大小，剩餘空間和驅動器號10所有適配器的完整TCP/IP配置14Zip壓縮的文件24作業系統的詳細配置信息，包括殺軟信息、產品ID和硬體屬性等

此外SpecialSaber還能響應來自C2的指定指令進行交互。

表4 部分C2指令與功能對應表

指令功能3創建指定的目錄4重命名指定的文件/文件夾6文件下載7文件壓縮加密 (Zip、AES)10獲取FireFox、Chrome、IE、Opera、Safari、Thunderbird、Outlook的帳號密碼信息11獲取FireFox、Chrome、IE、Opera、Safari瀏覽器的書籤信息12獲取FireFox、Chrome、IE、Opera、Safari瀏覽器的歷史記錄14獲取卸載程序列表的名稱16獲取邏輯驅動器的大小，剩餘空間和驅動器號17獲取所有適配器的完整TCP/IP配置18獲取用戶帳戶列表和每個帳戶的詳細信息25獲取Yahoo Messenger帳號密碼信息

通過把Android端的UnitMM RAT和Windows端SpecialSaber RAT進行比較，我們看到兩者在C2通信環節採用了相似的手法，且兩者竊取的信息有特殊的共同性，我們認為兩者應該來自同一個商業開發組織。

此外我們在一個PDB的路徑中發現一個名為「Apasec」的開發者，我們發現這個名字曾多次出現在該組織移動端的C2 panels中，這個發現更加驗證了我們的判斷。

截至目前，360烽火實驗室發現此次軍刀獅組織攻擊活動影響到的國家共有7個，其中伊朗受影響最為嚴重，這和我們分析過程中發現到該國家的庫德人受到幾次的針對攻擊活動不無關係。

圖5.1 受攻擊的地區分布情況

基於攻擊者幾次特別的針對攻擊、使用的語言以及APT攻擊的地緣政治因素等，我們總結了該攻擊組織以下的畫像觀點：

熟悉波斯語，阿拉伯語，其中波斯語使用最為頻繁。

主要針對位於西亞的中東某國其某省的庫德人，能實時甚至提前對其某些時刻的活動進行部署相應的攻擊，此外也針對中東數個阿拉伯國家。

APT攻擊大部分基於內部局勢和地緣政治因素（本國或敵對國家）。

從受害者的背景以及攻擊行動的持續時間來看，攻擊者所關注的目標在政治和戰略層面有重大意義，且持續時間較長。

綜上所述，360烽火實驗室認為攻擊者為來自位於西亞的中東某國家背景的APT組織。

近幾年，我們看到APT攻擊隨著時代的發展，PC端不再是獨有的目標，越來越多的攻擊組織同時會把移動端作為攻擊的另一必備目標，甚至頻繁投入於中東和亞太地區部分國家背景支持下的網絡戰爭中。

APT攻擊發展迅速，尤其是移動端攻擊的發展。我們看到前幾年有些攻擊組織能力還比較簡陋，甚至一些安全廠商採用小貓等稱呼進行命名表示對對應攻擊組織攻擊能力的低度尊重。但隨著攻擊獲取到的價值效益，攻擊組織加大投入力度，我們看到攻擊越來越複雜，針對性和實效性越來越強，以前面的小貓為例進行形容的話，猶如年輕的小貓漸成成熟的獅子。此次軍刀獅組織無疑又是APT攻擊發展中的一個典型代表，另基於該組織的特殊背景及其隸屬國家當下的時勢我們認為該組織的攻擊可能會有新一輪的變化。

附錄A：樣本MD5

Android攻擊樣本MD5

0745b0957aab92b6a09645e076b4f339

1874aa71c9b13eec5b587e8ed6a71606

191cc5d165472ae19e665821be71c282

232bd3dde6914db0a3dbfc21ed178887

2d91f7d1eb0d32ece0a8b1715a70b4cd

345c2325dd633099f29b6d7141a4703d

451ff729eaa1cf26943a812cd37eb4ac

4d8ddec9243bc6ac0419c561fe413cfc

519018ecfc50c0cf6cd0c88cc41b2a69

5ad36f6dd060e52771a8e4a1dd90c50c

5efddd7f0fc2125e78a2ca18b68464ec

699a7eedd244f402303bcffdee1f0ed1

6a388edbce88bb0331ae875ceeb2f319

73b0a3cae8510dd2efeca7d22f730706

7b530999847bbf43e7d6cbb76da684ae

7d7ad116e6a42d4e518378e2313e9392

a7d00c8629079f944b61c4dd5c77c8fb

a856f9de281cadad7142828dda3843b4

ac4402e04de0949d7beed975db84e594

b44b91b14f176fbf93d998141931a4aa

b714b092d2f28fcf78ef8d02b46dbf9c

c7e4d75caa8e07847e47eadce229c288

cb67abd070ae188390fc040cbe60e677

e2f62b5acf3795a62e9d54e1301c4e7b

ec5a6f0e743f4b858aba9de96a33fb0c

Windows攻擊樣本MD5

5b0431bbebdc48d2fa37882f7343b011

31edb7591bfeeb72e0652c17781640af

58cc3935fbfdb2990304b99fbb919dad

848193568a48f5742135667e9842890a

附錄B：C&C

rhubarb2.com

rhubarb3.com

androidupdaters.com

dlgmail.com

dlstubes.com

googleupdators.com

adobeactiveupdates.com

adobeseupdater.com

dlstube.com

adobeactiveupdate.com

5.61.27.154

5.61.27.157

5.61.27.173

91.109.23.175

solar64.xp3.biz

entekhab10.xp3.biz

附錄C：PDB

C:\Users\apasec110\Desktop\Saber1\client\Saber1-Develop\Release\Saber1-Dev.pdb

C:\Users\apasec110\Desktop\Saber1\client\editing saber\Saber1-Develop-changed\Release\Saber1-Dev.pdb

C:\Users\M&M\Desktop\Saber1\Special-Saber1-Windows-Client-binder_backup(last stable socket communication)\Release\Saber1-Dev.pdb

C:\Users\M&M\Desktop\Saber1\Special-Saber1-Windows-Client-binder_backup\Release\Saber1-Dev.pdb

附錄D：參考連結

[1] https://en.wikipedia.org/wiki/Entekhab

[2] https://en.wikipedia.org/wiki/Islamic_Consultative_Assembly

[3] https://en.wikipedia.org/wiki/Annahar_(Kuwait)

[4] https://www.alnaharegypt.com/

[5] https://en.wikipedia.org/wiki/2017_Iraqi_Kurdistan_independence_referendum

相關焦點

  • Donot(APT-C-35)組織對在華巴基斯坦商務人士的定向攻擊活動分析
    ，該輪攻擊活動最早發生在2018年5月，攻擊者對目標機器進行了長時間的控制。360威脅情報中心在本文中對本次的釣魚攻擊活動的過程與技術細節進行揭露，希望相關組織和個人能夠引起足夠重視並採取必要的應對措施。 2017年，360公司發現並披露了主要針對巴基斯坦等南亞地區國家進行網絡間諜活動的組織[1]，內部跟蹤代號為APT-C-35，其後網絡安全廠商Arbor公開了該組織的活動並命名為Donot[2]。
  • 北非狐(APT-C-44)攻擊活動揭露
    監測發現該攻擊活動起始於2017年10月，持續至今，攻擊平臺主要為Windows和Android。通過詳細數據分析，我們發現此次攻擊活動來自非洲北部的阿爾及利亞，主要利用第三方文件託管網站和釣魚網站進行載荷投遞，並利用網絡社交媒體進行傳播，受害者主要分布在阿拉伯語地區，其中包含疑似具有軍事背景的相關人員。分析該攻擊活動中的偽裝對象和攻擊目標，我們認為該組織長期攻擊活動的主要目的是獲取情報先機。
  • 毒雲藤(APT-C-01)軍政情報刺探者揭露
    繼「海蓮花」、「藍寶菇」等組織曝光之後，毒雲藤組織（APT-C-01）是又一個針對政府、軍工、海事等領域敏感信息持續發起攻擊的APT組織。該組織是360獨立發現的，並率先披露了該組織的部分相關信息（參見：https://ti.360.net/blog/articles/analysis-of-apt-c-01/，發布時間：2018年4月），符合360對APT組織就行獨立命名的條件。
  • 2018年全球十大APT攻擊事件盤點
    APT38針對全球範圍金融機構的攻擊事件危害程度 ★★★★★ 攻擊頻度 ★★★★ 攻擊技術 ★★★★ 事件時間：最早於2014年，持續活躍至今攻擊組織：APT38受害目標：金融機構，銀行，ATM，SWIFT相關攻擊武器：多種自製惡意程序
  • MMCore針對南亞地區的APT攻擊活動分析
    此外Forcepoint也在2017年初曝光過而惡意文件的一些攻擊活動。該惡意文件的活動，主要活躍在亞洲地區，包括中國、巴基斯坦、阿富汗、尼泊爾等。不過Forcepoint也提到該攻擊活動也包含非洲和美國。攻擊的目標主要為軍事目標、媒體、大學等。該攻擊活動可以追溯到2013年，直到2020年，依然存在。
  • 雙尾蠍(APT-C-23)團夥利用帶有政治主題的Android惡意軟體針對巴勒斯坦的攻擊分析
    2016 年 5 月起至今，雙尾蠍組織（APT-C-23）對巴勒斯坦教育機構、軍事機構等重要領域展開了有組織、有計劃、有針對性的長時間不間斷攻擊。攻擊平臺主要包括 Windows 與 Android。Android惡意程序主要偽裝成兩類應用程式：一類為聊天工具，另一類為軟體升級工具。
  • 「黑鳳梨」最新APT攻擊活動分析
    近期，騰訊御見威脅情報中心抓獲了一例該APT組織的最新攻擊活動，該次攻擊採用office文檔為誘餌進行魚叉攻擊，通過最新的0day漏洞來投遞載荷。載荷為代號為PLEAD的RAT木馬，該木馬主體是可直接執行的二進位代碼（shellcode），精湛短小，非常容易免殺。
  • 季風行動 - 蔓靈花(APT-C-08)組織大規模釣魚攻擊活動披露
    從7月開始，360安全大腦遙測發現蔓靈花組織針對南亞地區發起了大規模的釣魚竊密攻擊活動，通過360高級威脅研究院的追蹤溯源，發現此次攻擊行動的目標涉及包括我國和巴基斯坦在內的多個單位組織、政府機構，攻擊活動一直持續活躍至今，本次攻擊中繼續沿用了之前仿冒目標郵箱系統釣魚攻擊的技戰術，但其攻擊規模和頻次較之前大幅度增加，進一步針對部分重點目標還會以偽裝會議文件或軟體進行惡意載荷投遞。
  • Darkhotel(APT-C-06)組織利用Thinmon後門框架的多起攻擊活動揭秘
    通過對Darkhotel（APT-C-06）組織利用「Thinmon」後門框架實施攻擊活動的追蹤，我們發現該組織最早從2017年就開始利用該後門框架實施了長達三年時間的一系列攻擊活動，其攻擊意圖主要在於長期監控和竊取機密文件，受害者主要集中在我國華北和沿海地區，被攻擊目標主要包括政府機構、新聞媒體、大型國企、外貿企業等行業，佔比最大的為外貿及涉外機構。
  • 拍拍熊(APT-C-37):持續針對某武裝組織的攻擊活動揭露
    圖3.2    偽裝的應用軟體圖標RAT攻擊樣本分析截至目前，拍拍熊組織此次攻擊活動已使用到數種分別針對Android和Windows的不同RAT。而另外一種我們認為是專門為此次攻擊開發的，我們命為SSLove，其僅出現在該活動中，並歷經數個版本的更新。DroidJackDroidjack是一個極度流行的RAT，有自己的官網，功能強大，且有便捷的管理工具。
  • 疑似Donot APT組織使用最新域名資產進行攻擊活動分析
    安恆威脅情報中心疑似Donot APT組織使用最新域名資產進行攻擊活動分析近期，安恆威脅情報中心在日常威脅狩獵中捕獲到多個Donot APT組織的攻擊活動樣本。該批樣本保持了Donot組織一段時間以來的攻擊作戰風格，在本次攻擊活動中我們發現了屬於該組織的新的域名資產，同時安恆威脅情報中心TI平臺等相關產品已全面支持對該威脅進行精準檢測。
  • 近期雙尾蠍APT組織利用偽造社交軟體等針對多平臺的攻擊活動分析
    Android平臺樣本分析雙尾蠍組織在本次Android平臺的攻擊活動中使用了其慣用手法，製作MygramIM應用以及交友聊天軟體應用介紹網站，提供應用簡介和下載，偽造的網站界面可見下圖。溯源關聯國內有關安全研究團隊對此次發現的攻擊活動中使用的惡意代碼以及攻擊手段關聯分析發現
  • 針對以色列和巴勒斯坦的apt式攻擊
    通過我們的調查，之前並無行為上與此相同的apt記錄。不過還是可以找到一些相似的攻擊行為。link to (1](2]話說那是一個2014年的夏天，我們在一些小型的基礎設施中獲得了惡意樣本，這些行為表明，攻擊者是窮逼，或者被限制了可利用的資源。
  • ​Donot APT團夥使用升級版數字武器針對周邊地區的攻擊活動分析
    該組織具備針對Windows與Android雙平臺的攻擊能力。據奇安信紅雨滴團隊與奇安信APT實驗室監測發現，Donot APT組織近期攻擊頻繁。其利用惡意宏樣本以及公式編輯漏洞利用樣本對周邊國家地區開展了多次攻擊活動，同時，其在移動端攻擊活動也並未停息。根據紅雨滴及APT實驗室研究人員跟蹤分析，Donot此次的攻擊活動有如下特點。
  • 利刃鷹組織-盤旋於中東西亞網空的針對性攻擊組織活動揭露
    一、  概述近期奇安信威脅情報中心移動安全團隊注意到一波針對伊斯蘭國、蓋達組織、庫德族群和土庫曼族群進行持續攻擊控制的活動
  • 蔓靈花(BITTER)APT組織針對中國境內政府、軍工、核能等敏感機構的最新攻擊活動報告
    但是值得注意的是，自從該活動被曝光後，該組織就修改了數據包結構，不再以「BITTER」作為數據包的標識，改為五字節的隨機字符進行代替。騰訊御見威脅中心在今年五月份捕捉到了疑似該組織對我國境內敏感單位的攻擊活動，但是由於當時無法下載到具體的攻擊模塊，因此無法進行進一步的關聯和分析。
  • 蔓靈花(BITTER)APT組織針對中國境內軍工、核能、政府等敏感機構的最新攻擊活動報告
    但是值得注意的是，自從該活動被曝光後，該組織就修改了數據包結構，不再以「BITTER」作為數據包的標識，改為五字節的隨機字符進行代替。騰訊御見威脅中心在今年五月份捕捉到了疑似該組織對我國境內敏感單位的攻擊活動，但是由於當時無法下載到具體的攻擊模塊，因此無法進行進一步的關聯和分析。
  • Muddy Waters APT最新攻擊活動
    最近，Check Point研究人員發現一起MuddyWater的新活動，被攻擊的目標有白俄羅斯、土耳其和烏克蘭。攻擊者使用的一個簡單而有效的感染向量：魚叉式釣魚攻擊。攻擊一般以一封發送給目標組織的郵件開始的，然後從被感染的系統中竊取合法文檔，再將改文檔武器化然後發送給其他潛在的受害者。
  • 全球高級持續性威脅(APT)2019年中報告
    在過去對APT活動的追蹤過程中，APT攻擊往往伴隨著現實世界重大政治、外交活動或軍事衝突的發生前夕和過程中，這也與APT攻擊發起的動機和時機相符。奇安信威脅情報中心結合公開情報中對APT組織歸屬的結論，按地緣特徵對全球主要的APT組織和攻擊能力進行評估，並對其在2019年最近半年的攻擊活動的總結。
  • APT分析|汙水(MuddyWater)組織洩露武器MuddyC3分析報告
    MuddyWater使用的其他payload自2018年以來，MuddyWater一直在使用各種方法和技術積極地攻擊受害者，而且隨著新活動的進行，他們似乎還在不斷增加威脅。上面提到的使用POWERSTATS v3的活動並不是我們發現的唯一一個使用新技巧的活動。我們觀察了其他使用不同下載惡意軟體方法和刪除文件類型的活動。