APT-C-12最新攻擊樣本及C&C機制的實例分析

APT-C-12最新攻擊樣本及C&C機制的實例分析，很多新手對此不是很清楚，為了幫助大家解決這個難題，下面小編將為大家詳細講解，有這方面需求的人可以來學習下，希望你能有所收獲。

背景

繼360公司披露了藍寶菇(APT-C-12)攻擊組織的相關背景以及更多針對性攻擊技術細節(jié)后，360威脅情報中心近期又監(jiān)測到該組織實施的新的攻擊活動，本文章是對其相關技術細節(jié)的詳細分析。

樣本分析

誘餌文件

在APT-C-12組織近期的攻擊活動中，其使用了偽裝成"中國輕工業(yè)聯(lián)合會投資現(xiàn)況與合作意向簡介"的誘導文件，結合該組織過去的攻擊手法，該誘餌文件會隨魚叉郵件進行投遞。

如下圖所示該誘餌文件偽裝成文件夾的圖標，執(zhí)行后會打開包含有誘餌文檔和圖片的文件夾，而此時實際的惡意載荷已經(jīng)在后臺執(zhí)行。

當該誘餌文件運行時，其會解密釋放4個文件，其中兩個為上述的誘導文檔和圖片，另外為兩個惡意的tmp文件。

釋放的惡意tmp文件路徑為：

%temp%\unicode32.tmp

%appdata%\WinRAR\update.tmp

最后通過LoadLibraryW加載釋放的unicode32.tmp文件。

unicode32.tmp

unicode32.tmp為一個loader，其主要用于加載update.tmp，如下圖所示其通過rundll32.exe加載update.tmp，并調用其導出函數(shù)jj。

當加載了update.tmp后，會刪除裝載exe程序文件和自身。

update.tmp

該文件為一個DLL,并有一個名為jj的導出函數(shù)。

其首先會對目標主機進行信息收集。

獲取系統(tǒng)版本信息：

調用CreateToolhelp32Snapshot獲取系統(tǒng)進程信息：

調用GetAdaptersInfo獲取網(wǎng)卡MAC地址：

判斷當前系統(tǒng)環(huán)境是32位或64位：

通過注冊表獲取已安裝的程序信息，獲取的安裝程序信息加上前綴”ISL”格式化：

通過注冊表獲取DisplayName和DisplayVersion的信息，并將DisplayName 和DisplayVersion格式化為”%s”:{“ND”:”%s”,”DV”:”%s”}。

信息收集后會首先向遠程控制服務器發(fā)送上線信息。

獲取tmp目錄, 創(chuàng)建AdobeNW目錄,并從控制服務器上下載AdobeUpdate.tmp作為第二階段的載荷，其實際為一個DLL文件。

最終調用rundll32啟動DLL文件的導出函數(shù)MainFun，如果進程創(chuàng)建成功給服務器返回信息。

AdobeUpdate.tmp

AdobeUpdate.tmp為DLL文件，其導出方法MainFun由第一階段木馬DLL調用執(zhí)行。

其首先遍歷%USERPROFILE%\AppData路徑下tmp后綴文件，并刪除。

然后從文件自身尾部讀取配置信息并解密，其格式如下：

加密的配置信息，包括標識ID，控制服務器地址，加密IV和KEY，以及Mutex信息；

4字節(jié)加密配置信息長度；

17字節(jié)解密密鑰；

例如上圖所示的解密配置文件的KEY為sobcsnkciatwiffi，其解密算法如下：

解密之后的配置文件如下所示：

查詢HKEY_CURRENT_USER下的MyApp注冊表查看是否有FirstExec, 通過字符串”no”來判斷該DLL是否是第一次執(zhí)行。

若DLL不為首次執(zhí)行，則輪詢獲取控制服務器命令，否則遍歷磁盤C：到F：中的文檔文件信息，并保存在temp文件夾下的list_tmp.txt中。

其中查找的文檔類型包括.ppt .pptx .pdf.xls .xlsx .doc .docx .txt .wps .rtf的文檔，將文檔文件路徑、創(chuàng)建時間以及文件大小信息進行保存。

下圖為示例的寫入數(shù)據(jù)格式(文件路徑 創(chuàng)建時間文件大小)：

并將list_tmp.txt進行aes加密后上傳到控制服務器：

接著設置注冊表FirstExec標志：

AdobeUpdate.dll木馬實現(xiàn)了豐富的命令控制指令，其通過訪問控制域名獲取包含有控制命令的文件，并在本地解密解析后執(zhí)行。

其指令以***和對應指令數(shù)字組成，以下為控制指令功能列表：

控制基礎設施

APT-C-12組織近期活動中使用的惡意代碼利用了applinzi.com域名下的二級域名作為控制域名，該域名為Sina App Engine的云服務托管。

我們測試注冊了SAE的賬戶，其默認創(chuàng)建應用可以免費使用十多天，并支持多種開發(fā)語言的環(huán)境部署。

我們嘗試對其控制服務器進行連接，但其后臺處理程序已經(jīng)出錯，通過返回的錯誤信息我們可以發(fā)現(xiàn)該組織使用Python部署的后臺應用，并使用了flask作為其Web服務實現(xiàn)。

SAE控制協(xié)議

該組織針對SAE的部署應用實現(xiàn)了一套訪問協(xié)議，其分為put，info，get，del四個功能。

其中put用于上傳文件：

get用于獲取文件：

info用于獲取信息：

del用于刪除文件：

繼360威脅情報中心發(fā)現(xiàn)該組織利用Digital Ocean云服務作為命令控制和回傳通信渠道以后，我們又發(fā)現(xiàn)該組織使用國內(nèi)的云服務SAE構建其控制回傳基礎設施，利用這種方式一定程度上減少了攻擊利用的成本，也增加了分析回溯的難度。

看完上述內(nèi)容是否對您有幫助呢？如果還想對相關知識有進一步的了解或閱讀更多相關文章，請關注億速云行業(yè)資訊頻道，感謝您對億速云的支持。