苦象组织近期网络攻击活动及泄露武器分析

时间 ：  2020年09月17日  来源：  安天CERT

1 概述

        2012年以来，安天针对南亚次大陆方向的网络攻击进行了持续的跟踪与分析，追踪其攻击行动、溯源其幕后团伙，多年以来持续曝光相关攻击活动，震慑印方攻击组织。安天于2016年7月发布报告“白象的舞步——来自南亚次大陆的网络攻击”[1]；2017年12月发布报告“潜伏的象群—来自印方的系列网络攻击组织和行动”[2]；2019年5月发布报告“响尾蛇（SideWinder）APT组织针对南亚国家的定向攻击事件”[3]；2020年1月发布报告“折纸行动：针对南亚多国军政机构的网络攻击”[4]。

        印度网络攻击组织名称纷繁复杂，主要是因为网络安全厂商对印方的组织均有各自命名，比如安天首发并命名的“白象”组织，其他厂商也称为：HangOver、VICEROY TIGER、The Dropping Elephant、Patchwork、Chinastrats、摩诃草；卡巴斯基最早发现“响尾蛇”组织，其他厂商也称为：T-APT-04、SideWinder；ASERT首先披露的“肚脑虫”组织，其他厂商也称为：APT-C-35、DoNot Team、Lucky Elephant、SectorE02。

        本次报告涉及的攻击组织，安天在2017年“潜伏的象群”报告中曾披露过其苦酒行动，其他厂商也称为：BITTER、蔓灵花、APT-C-17、T-APT-04等，根据安天的攻击组织中文命名规范，结合其网络攻击活动和地缘政治特点，安天正式将该组织命名为“苦象”。经过长时间的观测发现，该组织近期十分活跃，目前发现多批次涉及钓鱼网站和投递载荷两类攻击活动：

        1. 攻击者注册多个域名，架设钓鱼网站，对国内重要的机构单位进行邮箱钓鱼攻击。相关钓鱼网站地址构造特点和攻击目标符合2019年曝光过的苦象组织对国内钓鱼攻击的特点。

        2. 攻击者将载荷存放于攻陷网站，通过投递快捷方式格式的攻击诱饵向目标的机器植入载荷（组织特有的.NET远控木马）。通过此前对苦象组织泄露的控制后台源码和载荷分析，我们大致还原了该组织其中一常用木马的后台控制细节。经分析比对，我们认为该攻击活动来自苦象组织。

        综上所述，安天CERT认为这一系列攻击应是苦象组织的近期攻击活动。本次系列相关攻击活动特征总结如下：

表 1-1攻击活动特征

2 攻击活动分析

        从目前观测到的数据来看，攻击者的主要手段有钓鱼网站攻击和木马投递。

2.1 钓鱼网站

        攻击者注册多个域名，通过下设若干子域名模仿国内诸多单位的官方域名，然后架设钓鱼网站钓取目标的邮箱账号密码。此次的子域名构造（如以maill.和maiil.开头）、模仿的目标等，皆符合2019年曝光过的苦象组织对国内钓鱼攻击的特点。

图 2-1 钓鱼页面案例

        受害者输入的账号密码会被传入服务器本地的php文件，最终到达攻击者手中：

图 2-2钓鱼登录框源码

        攻击者注册域名后，会建立大量子域名仿冒不同目标网站，部分已捕获仿冒域名如下表：

表 2-1子域名仿冒

2.2 投递木马

        近期苦象组织常用的执行流程有：漏洞文档＋MSI程序、CHM文件+MSI程序等，此次也类似，采用LNK+ MSI程序手法。攻击者以未知手段（可能是鱼叉式钓鱼邮件、社交平台等）向目标投递一份RAR压缩包，包内包含恶意快捷方式“Income tax Savings for 2020-2021.lnk”：

图 2-3 诱饵文件

表2-2 LNK样本标签

        快捷方式被点击运行后，会执行一段Powershell命令：

        这段Powershell负责加载运行原快捷方式的Description结构值，这个值以分号填充了多个无实际作用的字符串，最终执行的静默安装远程的恶意程序MsAulis.msi：

图 2-4 样本静态解析

        MSI安装包MsAulis.msi包含木马程序MsAulis.exe，深入分析发现，MsAulis.exe属于已知的苦象组织特有.NET远控插件的最新版。

        “jg****.com”属于被攻陷网站，因目录开放，可以发现攻击者在上面挂载了许多载荷。这些载荷除了开源的Invoke-Mimikatz.ps1，也包括苦象组织已知家族的窃密、远控等插件。 其中文件lg和lg2是网络日志，经过几天监控，目前发现少量巴基斯坦疑似受控IP，未发现国内受害者。

图 2-5 沦陷网站开放目录

表 2-3 开放目录载荷功能列表

        除了打包的快捷方式，近期也有苦象组织常用的自解压诱饵，诱饵最终向目标机器植入audiodq类木马：

图 2-6 自解压诱饵

3 泄露武器分析

3.1后台架构

        2019年苦象组织某C2服务器存在一次对后台整站的打包，并挂载于网站某公开路径下，后被情报平台爬取到，造成源码泄露：

图 3-1 泄露源码

        经过分析，发现该打包文件是苦象组织常用木马的控制后台源码，整体架构比较简单，使用“Nginx+PHP+MySQL”搭建，并属于较早的版本，该后台主要负责完成对受控机的管理和功能插件下发，后台架构大致如下：

图 3-2后台大致架构

表 3-1后台文件功能

        从源码整理出存放受控机信息和任务的数据库表结构（未获得数据库实例），猜测各项意义如下：

表 3-2后台数据库

        通过搭建环境，并模拟一台受控机器，这套源代码的运行效果如图3-4。从整体到细节，皆符合2019年苦象组织后台被曝光事件中展现的界面和功能：

图 3-3后台源码模拟运行

图 3-4 2019年曝光的后台界面

        值得注意的是，源码中不仅泄露了攻击者的一对数据库登录凭证，还记录了攻击者一个默认时区位置：Asia/Kolkata — 加尔各答时区

图 3-5 攻击者默认时区位置

3.2 攻击插件

        目前收集到的插件超过20个，功能涵盖击键记录、文件窃密、远程控制等，其中某些远控插件参考自开源远控DarkAgent

表 3-3攻击插件

3.3 后台伪装

        今年起，攻击活动的后台登录页面频繁变换模样。例如，某次后台打开后看似仅一张图片，实际通过鼠标点击中心的位置，会发现隐藏的账号密码输入框以及登录按钮：

图 3-6 后台登录页案例

        或者背景是Windows桌面图，点击“Continue to Login”进入实际登录页面：

图 3-7 后台登录页案例

        或者无伪装，背景是风景画，输入凭证后登录：

图 3-8 后台登录页案例

4 威胁框架视角的攻击映射图谱

        本次系列攻击活动共涉及ATT&CK框架中的8个阶段18个技术点，具体行为描述如下表：

表 4-1近期苦象组织攻击活动的技术行为描述表

        将涉及到的威胁行为技术点映射到ATT＆CK框架如下图所示：

图 4-1 苦象组织活动映射到ATT&CK框架

参考链接

        [1] 安天：白象的舞步——来自南亚次大陆的网络攻击

        https://www.antiy.com/response/WhiteElephant/WhiteElephant.html

        [2] 安天：潜伏的象群—来自印方的系列网络攻击组织和行动

        https://www.antiy.com/response/The_Latest_Elephant_Group.html

        [3] 安天：响尾蛇（SideWinder）APT组织针对南亚国家的定向攻击事件

        https://www.antiy.com/response/20190508.html

        [4] 安天：“折纸”行动：针对南亚多国军政机构的网络攻击

        https://www.antiy.com/response/20200115.html

本文作者：AntiyLab

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/141090.html