境外响尾蛇组织伪装我国相关部门对他国驻华使馆发起攻击

TAG：响尾蛇、SideWinder、APT、驻华使馆、外交

TLP：白（使用及转发不受限制）

日期：2019-07-31

概要

近日微步在线威胁情报云捕获到一起用于定向攻击的恶意样本，经过分析关联发现，本次攻击的幕后团伙为具有印度背景的黑客组织响尾蛇（SideWinder），具体情况如下：

· 恶意样本以我国国防部国际合作部门发送的通知文件为饵，尝试利用CVE-2017-11882漏洞向他国驻华使馆人员投递远控木马，是一起典型的APT攻击活动。

· 木马文件使用白利用方式存放，经过多次内存装载执行最终实现具备数据上传、下载以及收集主机信息、特定文件等典型窃密功能。

· 微步在线监测发现，响尾蛇近期活动较为频繁，此次攻击事件从侧面反映出我国已成为该组织攻击目标之一。

· 微步在线通过对相关样本、IP和域名的溯源分析，共提取13条相关IOC，可用于威胁情报检测。微步在线的威胁情报平台（TIP）、威胁检测平台（TDP/TDPS）、OneDNS、API等均已支持此次攻击事件和组织的检测。

详情

2019年7月29日，微步在线威胁情报云捕获到一份名为“test.rtf”的可疑文档，经多引擎检测识别出该样本利用了CVE-2017-11882漏洞，并内嵌一个js代码文件的Package对象。样本执行后，触发漏洞，通过一段ROP链执行shellcode，shellcode初始化JS脚本执行环境，然后托管执行被释放到临时目录的Package对象1.a.。JS文件释放微软白利用组合文件，经过多重内存装载执行实现其窃密功能。使用的诱饵文档如下（部分信息已经打码）：

样本分析

原始文件信息如下：

MD5	58de7c0df5bd677e1a3cdc099019015d
SHA256	2309fd453e48241ed2305239750437df1317a256f40b0078fc1ec64bf1c2cfda
文件大小	1.81 MB (1,903,666 字节)
文件类型	rtf

样本攻击流程如下：

1 漏洞分析

提取rtf文档内嵌的ole对象。

共两个内嵌对象，一个通过package嵌入的js脚本文件（rtf文件打开时，会默认释放到%temp%目录，释放名称1.a），另一个是用于触发CVE-2017-11882漏洞的公式编辑器对象。

1.a文件是一段js编写的脚本，其中还夹带代码注释。

Equation 3.0对象如下：

漏洞触发后会执行一段shellcode，功能为加载脚本及shell执行环境，然后托管执行1.a文件。

2 第一阶段Loader分析

1.a的临时JS文件如下：

该脚本文件中编码了多个二进制文件（pe文件以及诱饵文档），采用多重内存加载技术逐步执行。

第一阶段的Loader程序，一个名为StInstaller.dll的C#程序，通过调用其Work函数、传入特定payload作为参数。反编译后结构如下：

work函数的功能是解密执行以及持久化的操作。

设置C:\ProgramData\AuthyFiles\write.exe开机启动。

注册表项：HKEY_USERS\S-1-5-21-3377920579-994514809-1288576981-1000\Software\Microsoft\Windows\CurrentVersion\Run

子项：Authy

值：C:\ProgramData\AuthyFiles\write.exe

将system32目录下的write.exe程序拷贝到C:\ProgramData\AuthyFiles目录下。然后通过传入的编码字符串解码出PROPSYS.dll、VwL0xj0.tmp（名称随机，该名称会被写入到PROPSYS.dll中）、write.exe.config，保存到C:\ProgramData\AuthyFiles目录下，最后启动write.exe。