疑似Donot APT組織使用最新域名資產進行攻擊活動分析

2022-01-08 安恆威脅情報中心

安恆威脅情報中心

疑似Donot APT組織使用最新域名資產進行攻擊活動分析

近期，安恆威脅情報中心在日常威脅狩獵中捕獲到多個Donot APT組織的攻擊活動樣本。該批樣本保持了Donot組織一段時間以來的攻擊作戰風格，在本次攻擊活動中我們發現了屬於該組織的新的域名資產，同時安恆威脅情報中心TI平臺等相關產品已全面支持對該威脅進行精準檢測。

本次捕獲的初始攻擊樣本是一個包含惡意宏代碼的PPT文檔：

Microsoft Office PowerPoint 97-2003 演示文稿 (.ppt)

8638576e6c72f38273ad4a0fee28b5b6

當用戶點擊打開該文檔時，會彈出提示框表明存在宏代碼：

如果用戶忽略該安全提示啟用宏，則包含在文檔中的惡意代碼將會執行，由於文檔中沒有具體的內容，為了迷惑受害者，惡意代碼還會偽裝文件打開失敗的警告信息讓用戶降低警惕。該手法已經在此前Donot APT組織的多次攻擊活動中被使用。

惡意宏代碼主要功能是在用戶%public%\ Music目錄下釋放名為「rihana.exe」的可執行文件，然後創建任務計劃執行：

名為「musudt」的任務計劃會每隔15分鐘重複執行「rihana.exe」程序：

a5a10173289f7fb062a27dc5cc917dda

該程序主要功能為下載器，其執行後會首先獲取用戶名稱、設備名稱以及GUID全局標識符等信息：

隨後解密出C2回連地址：digitalresolve[.]live:

解密算法（對每個加密字符進行 『-3』 運算）如下所示：

回連URL格式如下所示："/%COMPUTERNAME%~%USERNAME%~%GUID%/ziuriucjiekuiemoaeukjudjkgfkkj"

如果下載成功，惡意文件將以隱藏屬性存儲在同目錄下：

然後新建名為「sidilieicaliei.bat」的批處理文件：

該文件會創建另一個任務計劃程序執行acrobat.dll模塊：

遺憾的是由於C2失效，我們並沒有捕獲到該惡意DLL文件。

本次樣本展現出來的攻擊手法與獵影實驗室此前發布的文章《Donot APT組織針對軍事人員攻擊活動分析》中提到的XLS樣本基本一致，在樣本功能代碼相似度方面也基本相同。

安恆APT攻擊預警平臺能夠發現已知或未知威脅，平臺能實時監控、捕獲和分析惡意文件或程序的威脅性，並能夠對郵件投遞、漏洞利用、安裝植入、回連控制等各個階段關聯的木馬等惡意樣本進行強有力的監測。

同時，平臺根據雙向流量分析、智能的機器學習、高效的沙箱動態分析、豐富的特徵庫、全面的檢測策略、海量的威脅情報等，對網絡流量進行深度分析。檢測能力完整覆蓋整個APT攻擊鏈，有效發現APT攻擊、未知威脅及用戶關心的網絡安全事件。

安恆主機衛士EDR通過「平臺+端」分布式部署，「進程阻斷+誘餌引擎」雙引擎防禦已知及未知類型威脅。

81.17.30.41

digitalresolve.live

c531319309db1a034936e245f6414959

8638576e6c72f38273ad4a0fee28b5b6

8955a1661703b4ae02c293c7c963f843

https://mp.weixin.qq.com/s/3yiiZkYqLNIcsHorudKutA

* 針對海量威脅數據的挖掘，尋找APT攻擊事件；
* 負責熱門的安全事件、最新漏洞的分析，編寫響應的分析報告；
* 研究新的檢測方法，完善產品的檢測能力；
* 協助內部威脅分析平臺建設等。


* 熟悉windows、Linux等平臺調試手段，熟練使用逆向分析工具（如：IDA、WinDbg、OllyDbg等);
* 熟悉C/C++、彙編語言，至少熟悉一門腳本程式語言，能快速完成POC代碼編寫；
* 熟悉病毒、木馬通信原理和常用技術以及常見加密算法等；
* 了解二進位安全漏洞原理，具備獨立漏洞分析能力；
* 了解yara、snort等類似策略編寫；
* 具備大數據挖掘能力，能夠快速對數據進行關聯分析；
* 思路清晰，善於主動思考，有創新、能獨立分析和解決問題，具有良好的溝通能力和團隊合作精神。


* 具有信息安全公司實習、從業經驗；
* 熟悉APT攻擊攻防、威脅狩獵，具備Sandbox開發、殺軟類繞過研究、加殼工具開發經驗；
* 具備多平臺惡意代碼分析經驗（Linux、Android、macOS等）；
* 有二進位相關漏洞CVE編號；
* 熟悉Web攻防，了解紅藍對抗相關工具使用以及內部原理，有滲透相關經驗；
* 具備機器學習的相關實戰經驗。

xiaoyi.tu@dbappsecurity.com.cn

平臺地址：https://ti.dbappsecurity.com.cn/

相關焦點

  • 疑似＂摩訶草＂組織最新樣本分析及域名資產揭露
    360威脅情報中心相繼發布《摩訶草APT組織針對我國敏感機構最新的網絡攻擊活動分析》、《多個疑似「摩訶草」團夥來源定向攻擊的關聯分析》等分析文章對該組織的攻擊活動過程和細節進行揭露。9月中上旬，360 CERT在處理惡意樣本時發現一例疑似摩訶草組織的攻擊樣本。該樣本C2指向filepiece.com。本著小心求證的態度，我們一直在查證域名的相關信息，觀察相關網絡請求變化。
  • 疑似白象組織針對巴基斯坦、孟加拉國等南亞國家的最新攻擊活動報告
    除了巴基斯坦的目標外，我們還發現疑似有孟加拉國某組織的高級技術管理人員也被進行了攻擊。經過關聯分析，該次攻擊疑似白象組織所為。而有意思的是，經過對基礎設施的關聯分析，我們還發現某次攻擊，而該攻擊活動又可以關聯到BITTER（蔓靈花）組織。
  • 疑似白象APT組織最新攻擊武器分析
    白象組織最早是由Norman公司在2013年曝光，之後，又有其他安全廠商持續追蹤並相繼披露了該組織的最新活動，不過該組織的相關攻擊活動並未由曝光而停止，反而自2015年開始更頻繁。近日，微步情報局通過威脅狩獵系統捕獲到一起疑似白象APT組織利用疫情話題來針對巴基斯坦的攻擊活動：此次的攻擊活動主要是藉助新冠肺炎熱點投遞魚叉郵件來展開，最後，通過無文件加載技術加載商用Bozok遠控木馬（版本號：1.4.1）來實現監控竊密的目的。
  • MMCore針對南亞地區的APT攻擊活動分析
    、孟加拉國等南亞國家的最新攻擊活動報告》，文中就提到了MMCore部分的分析：該活動的ip跟該文重點分析的白象存在重疊。雖然暫時還不清楚MMCore為一個獨立小組還是歸屬於白象、蔓靈花、donot、孔夫子等組織中。但是可以確定的是，該些組織在某些重要的活動中，會採用MMcore惡意軟體來進行攻擊，至少說明MMCore跟這些組織共享技術。
  • ​Donot APT團夥使用升級版數字武器針對周邊地區的攻擊活動分析
    概述Donot「肚腦蟲」（APT-C-35）是疑似具有南亞背景的APT組織，其主要以周邊國家的政府機構為目標進行網絡攻擊活動
  • 美人魚(Infy)APT組織的歸來——使用最新的Foudre後門進行攻擊活動的分析
    ，相關情報顯示其攻擊活動主要針對政府機構，由國內外安全相關情報中心於2016年5月進行披露，該組織最早的攻擊活動可以追溯到2010年，並且期間一直沒有長期間斷過。該組織來源為中東地區，使用的後門由於其C2的請求中帶有infy的路徑，因此被名為infy後門。2017年，國外安全相關機構發布報告披露了其使用了新版本的後門，命名為Foudre。在2018年，則被披露了關於Foudre後門的第八版本。在本次攻擊活動中，我們發現了該組織使用的第21版本與第22版本。
  • 疑似「海蓮花」組織早期針對國內高校的攻擊活動分析
    漏洞文檔，通過對該漏洞文檔及相關攻擊活動的分析，我們關聯到該組織近期針對南亞國家的攻擊活動。並且發現了疑似「海蓮花」組織在2017年5月初針對國內實施的一次集中式的攻擊活動，結合內部的威脅情報數據，我們認為這是該組織利用「永恆之藍」漏洞實施的一輪重點針對國內高校的攻擊活動。本報告將詳細分析「海蓮花」組織新的攻擊活動中利用的攻擊技術細節，並披露其在2017年5月實施的攻擊行動詳情，以及其中的關聯性。
  • 印度黑客組織近期網絡攻擊活動及洩露武器分析
    2012年以來，安天針對印度方向的網絡攻擊進行了持續的跟蹤與分析，追蹤其攻擊行動、溯源其幕後團夥，多年以來持續曝光相關攻擊活動，震懾印方攻擊組織。經過長時間的觀測發現，該組織近期十分活躍，目前發現多批次涉及釣魚網站和投遞載荷兩類攻擊活動：攻擊者註冊多個域名，架設釣魚網站，對國內重要的機構單位進行郵箱釣魚攻擊。相關釣魚網站地址構造特點和攻擊目標符合2019年曝光過的苦象組織對國內釣魚攻擊的特點。攻擊者將載荷存放於攻陷網站，通過投遞快捷方式格式的攻擊誘餌向目標的機器植入載荷（組織特有的.NET遠控木馬）。
  • Donot(APT-C-35)組織對在華巴基斯坦商務人士的定向攻擊活動分析
    ，該輪攻擊活動最早發生在2018年5月，攻擊者對目標機器進行了長時間的控制。360威脅情報中心在本文中對本次的釣魚攻擊活動的過程與技術細節進行揭露，希望相關組織和個人能夠引起足夠重視並採取必要的應對措施。 2017年，360公司發現並披露了主要針對巴基斯坦等南亞地區國家進行網絡間諜活動的組織[1]，內部跟蹤代號為APT-C-35，其後網絡安全廠商Arbor公開了該組織的活動並命名為Donot[2]。
  • 疑似BITTER組織利用LNK文件的攻擊活動分析
    該組織主要針對周邊國家地區的政府，軍工業，電力，核等單位進行攻擊，以竊取敏感資料為目的，具有強烈的政治背景。近期，奇安信威脅情報中心紅雨滴團隊在日常高價值樣本挖掘中，捕獲了BITTER組織多個攻擊樣本，在此次攻擊活動中，BITTER組織首次利用LNK文件作為攻擊入口，從遠程獲取MSI文件執行，最終釋放執行.NET惡意軟體竊取受害者機器敏感信息。
  • 【黑客攻擊】俄羅斯黑客組織Gamaredon的攻擊活動分析
    該組織不以破壞或獲利為主要目的，旨在竊取目標的敏感信息。Gamaredon是最為活躍的APT組織之一，與傳統的APT攻擊模式不同的是，該組織在攻擊活動中使用了大量的基礎的域名，這種TTP在網絡犯罪團夥中較為常見。近年來，該組織的攻擊活動雖然被多次暴露，但其並沒有停止攻擊的步伐，依然動作頻頻。
  • 南亞APT組織＂蔓靈花＂歷史攻擊活動分析
    該組織最早在2016由美國安全公司Forcepoint進行了披露，並且命名為「BITTER」，同年360也跟進發布了分析報告，命名為「蔓靈花」。由於該組織早期特馬數據包頭部以"BITTER"作為標識，因此國外廠商將其命名為BITTER，但是值得注意的是，自從該活動被曝光後，該組織就修改了數據包結構，不再以"BITTER"作為數據包的標識，改為五字節的隨機字符進行代替。
  • 窮源溯流:KONNI APT組織偽裝韓國Android聊天應用的攻擊活動剖析
    Android端木馬的新攻擊活動，並稱其與APT組織Kimsuky存在關聯。       而在近期，奇安信威脅情報中心紅雨滴團隊在日常的高級威脅監測過程中，發現多起疑似針對韓國地區Android用戶的惡意代碼攻擊活動。攻擊者通過將惡意安卓應用偽裝成韓國常用移動應用，從而誘導受害者安裝使用。經關聯分析，我們發現此次攻擊活動無論從攻擊手法還是木馬框架都與ESTsecurity披露的KONNI Android木馬一致。
  • 蔓靈花(BITTER)APT組織使用InPage軟體漏洞針對巴基斯坦的攻擊及團夥關聯分析
    InPage文字處理軟體漏洞CVE-2017-12824的誘餌文檔（.inp）進行投遞，除此之外，攻擊活動中還使用了Office CVE-2017-11882漏洞利用文檔。通過對這批InPage漏洞利用文檔及相關攻擊活動的分析，我們關聯到幕後的團夥正是360公司在2016年披露的「蔓靈花」APT組織[5]，並且經過進一步分析，攻擊活動中的多個樣本還與「摩訶草」、Bahamut和Confucius等APT組織有很強的關聯性，這不禁讓人對這些南亞來源的APT組織的同源性產生更多的聯想。
  • 季風行動 - 蔓靈花(APT-C-08)組織大規模釣魚攻擊活動披露
    從7月開始，360安全大腦遙測發現蔓靈花組織針對南亞地區發起了大規模的釣魚竊密攻擊活動，通過360高級威脅研究院的追蹤溯源，發現此次攻擊行動的目標涉及包括我國和巴基斯坦在內的多個單位組織、政府機構，攻擊活動一直持續活躍至今，本次攻擊中繼續沿用了之前仿冒目標郵箱系統釣魚攻擊的技戰術，但其攻擊規模和頻次較之前大幅度增加，進一步針對部分重點目標還會以偽裝會議文件或軟體進行惡意載荷投遞。
  • APT界勞模:東歐黑客組織使用魚叉郵件定向攻擊烏克蘭活動總結
    概述Gamaredon APT組織是疑似具有東歐背景的APT團夥，該組織攻擊活動最早可追溯到2013年，其主要針對烏克蘭政府機構官員
  • 近期雙尾蠍APT組織利用偽造社交軟體等針對多平臺的攻擊活動分析
    Android平臺樣本分析雙尾蠍組織在本次Android平臺的攻擊活動中使用了其慣用手法，製作MygramIM應用以及交友聊天軟體應用介紹網站，提供應用簡介和下載，偽造的網站界面可見下圖。溯源關聯國內有關安全研究團隊對此次發現的攻擊活動中使用的惡意代碼以及攻擊手段關聯分析發現
  • Hermit(隱士)APT組織2020年最新攻擊活動分析
    ，並且根據關聯分析確定跟KONNI為同一組織所為。該組織的攻擊對象包括與朝鮮半島相關的非政府組織、政府部門、貿易公司、新聞媒體等。SYSCON/SANNY木馬是一個非常有特色的遠程控制木馬，通過ftp協議來進行C&C控制，該後門的主要攻擊目標為朝鮮半島相關的重要政治人物或者要害部門，偶爾也會針對東南亞等國進行攻擊。該活動自2017年下半年開始活躍，並且對多個目標進行了攻擊活動。被曝光後，該組織活動沒有任何減弱的跡象。
  • BITTER組織近期攻擊巴基斯坦活動分析
    BITTER組織（又稱APT-C-08、T-APT-17、蔓靈花、苦象）是一個長期針對亞洲國家進行攻擊活動的APT組織，其還曾被發現對沙烏地阿拉伯進行攻擊
  • 蔓靈花(BITTER)APT組織針對中國境內政府、軍工、核能等敏感機構的最新攻擊活動報告
    騰訊御見威脅中心在今年五月份捕捉到了疑似該組織對我國境內敏感單位的攻擊活動，但是由於當時無法下載到具體的攻擊模塊，因此無法進行進一步的關聯和分析。而在10月底，騰訊御見威脅情報中心再次捕捉到了疑似該組織對我國的軍工業、核能、政府等重點單位的攻擊，並且獲取到了完整的攻擊武器庫，經過進一步的關聯分析，我們確認該攻擊組織就是2016年曝光的蔓靈花。