“游蛇”黑产团伙近期钓鱼攻击活动分析
表 1‑1 攻击活动概览
攻击活动概览 | 说明 |
黑产团伙名称 | 游蛇 |
主要传播途径 | 电商平台、社交软件 |
针对系统 | Windows操作系统 |
主要技术特点 | 利用图标将恶意程序伪装成图片文件； 利用图片文件掩饰恶意行为； 使用WMI查询CPU温度检测虚拟机环境； 利用Gh0st远控木马变种进行远程操控。 |
为有效防御此类攻击，提升安全防护水平，安天建议个人及企业采取如下防护措施：
2.1 个人防护
1. 提升网络安全意识：保持良好的上网习惯，积极学习网络安全相关知识；
2. 避免点击来历不明的文件：检查后缀名及文件类型，警惕伪装成图片、文档的可执行程序及各种脚本文件。
2.2 企业防护
1. 网络安全培训与安全演练：定期开展网络安全培训与安全演练，提高员工网络安全意识；
2. 安装终端防护软件：安装反病毒软件，建议安装安天智甲终端防御系统；
3. 部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；
4. 安天服务：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查。安天7*24小时服务热线：400-840-9234。
经验证，安天智甲终端防御系统（简称IEP）、安天智甲云主机安全监测系统、安天智甲容器安全检测系统均可实现对该恶意软件的有效查杀。
图 2‑1 安天智甲实现对用户系统的有效防护
在此次攻击活动中，该团伙投放的恶意程序利用图标伪装成图片文件，运行后使用WMI查询CPU温度以检测当前环境是否为虚拟机，检测通过后从C2服务器中获取多个载荷文件。该恶意程序利用其中的Videos.jpg掩饰其恶意行为，让用户误认为自己打开的确实是一个图片文件。
文件名称 | 功能 |
36.exe | 执行Shellcode，为Videos.exe创建计划任务 |
Videos.exe | 下载并执行WinService.exe |
Videos.jpg | 图片文件，用于掩饰恶意行为 |
service.log | 经过混淆处理的Shellcode |
WinService.exe | 读取service.log，将其转换为Shellcode，并最终执行Gh0st远控木马变种 |
图 3‑1 攻击流程图
4.1 恶意文件下载器（清单文件.exe）
清单文件.exe利用图标伪装成图片文件。
图 4‑1 伪装成图片文件
该程序运行后，使用WMI查询CPU当前温度，从而检测当前环境是否为虚拟机，若不能够成功查询则结束当前进程。检测通过后在C:\ProgramData中创建install.inf文件作为感染标识。
图 4‑2 查询CPU温度
创建install.inf文件后，该程序从C2服务器中获取载荷文件并进行指定的操作，最终删除36.exe。
图 4‑3 获取载荷文件
4.2 36.exe
36.exe中含有名为“TXT”的资源，其中包含经过混淆处理的Shellcode。
图 4‑4 “TXT”资源
该程序将“TXT”资源内容写入C:\1.txt文件中，读取并转换为Shellcode写入内存中执行。
图 4‑5 执行Shellcode
该Shellcode解码并执行一个可执行程序，该程序遍历当前系统中运行的进程，检查是否存在360Tray.exe进程，随后尝试更改权限并最终为C:\ProgramData\Videos.exe创建计划任务。
图 4‑6 创建计划任务
4.3 Videos.exe
Videos.exe从C2服务器中获取载荷文件并执行。
图 4‑7 获取载荷文件并执行
4.4 WinService.exe
WinServices.exe读取C:\ProgramData\service.log文件的内容，将其转换为Shellcode并写入内存中执行。
图 4‑8 执行Shellcode
该Shellcode中含有最终的DLL文件，调用该DLL文件的导出函数对其进行加载。
图 4‑9 调用导出函数
4.5 最终载荷（Gh0st远控木马变种）
最终执行的DLL是Gh0st远控木马变种，使用创建服务、添加至开机启动文件夹两种方式实现持久化，创建的服务名称为“Rsccea qocyaugm”。
图 4‑10 实现持久化
运行时，按照“IP:端口:服务名称”的格式创建互斥量，随后与C2服务器进行通信，并使用指定的XOR算法对接收的消息进行解密。
图 4‑11 解密接收的消息
该DLL具有下载执行其他文件、监控剪贴板、指定路径文件窃密、键盘记录、远程控制等多种功能。
图 4‑12 其他功能
事件对应的ATT&CK映射图谱
针对攻击者投递远控木马的完整过程，安天梳理本轮攻击事件对应的ATT&CK映射图谱如下图所示：
图 5‑1 技术特点对应ATT&CK的映射
攻击者使用的技术点如下表所示：
IoCs |
9B8086CA3EC5861E48E74FD6629D9C32 |
288D1E8E1E9E0548B60E645F3C0C6A6B |
C8A4E575751B9F213D5B4F746780E45B |
DC5F4FFB09B23582486A560F9F4C05A2 |
F476EEADD88A85CE2AD1AB42AFC66564 |
154.211.14.91 |
154.221.27.200 |
[1] “游蛇”黑产团伙针对国内用户发起的大规模攻击活动分析