响尾蛇APT组织利用“一带一路”话题针对相关参会人员发起网络攻击
响尾蛇APT组织利用“一带一路”话题，针对相关参会人员发起网络攻击
by 猎影实验室
概述
01
响尾蛇( Sidewinder)为印度背景的APT攻击组织。该组织长期针对中国和巴基斯坦等东南亚国家的政府，能源，军事，矿产等领域进行敏感信息窃取等攻击活动。SideWinder的最早活动可追溯到2012年，被捕获的诱饵文档中包含“巴基斯坦政府经济事务部”等关键字，可见是对特定目标的定向攻击行为。从近几年该组织活动来看也会针对国内特定目标进行攻击，如驻华大使馆，特定部门等。
响尾蛇组织攻击活动较为活跃：
2019年6月~9月左右对我国敏感单位进行的鱼叉式钓鱼邮件 攻击，涉及到的部门包括：驻华大使、敏感单位。
2020年6月中印边境冲突特殊时期对我国某高校、政府部门及其他 相关单位发起攻击。
2020年7月，借麦加朝圣宗教活动事宜，以“2020年麦加朝圣政策计划”为主题，对巴基斯坦展开攻击。
2020年9月，以波兰与巴基斯坦双边合作和安全政 策为主题发起攻击活动。
2020年10月，又利用巴菲双边协议为诱饵进行攻击活动。
近日，安恒威胁情报中心猎影实验室在日常威胁追踪过程中捕获到一个以“第二届一带一路能源合作伙伴关系论坛参会回执”为内容的恶意Doc文档。通过对样本进行详细分析，我们发现该样本与响尾蛇（Sidewinder）APT组织有极大关联，疑似该组织针对第二届“一带一路”参会单位与相关人员的定点攻击活动。
样本分析
02
样本最初由一个Doc文档作为诱饵进行传播。
打开文档后首先通过远程模板注入技术从远程服务器下载带有“CVE-2017-11882”漏洞的rtf文档。
http://brep.cdn-edu[.]net/images/943D1884/45321/2195/9a9b6778/main.file.rtf
文档使用与“一带一路”相关的内容迷惑受害者，以此来减少受害者对该文档的安全警惕。文档内容如下图所示：
Rtf文档会通过“CVE-2017-11882”漏洞执行ShellCode，首先加载执行1.a文件，该文件为js脚本，
js脚本主要功能是内存解密“StInstaller.dll”，反序列化调用“Work”函数，
Work函数主要功能是：拷贝rekeywiz.exe（系统白文件）到指定目录，并将其添加到Run注册表（“AtlasFilesMap1”）自启动，然后在同目录下释放Duser.dll等文件，最后通过创建计划任务（“UpdateService”）来执行rekeywiz.exe用于加载Duser.dll进行白利用。
释放文件如下图所示：
rekeywiz.exe是从系统目录拷贝的白文件，其执行的时候会加载同目录下的Duser.dll，该文件是一个.NET DLL，其主要功能是加载同目录下的.tmp文件，解密获取最终载荷（SystemApp.dll）RAT。
解密算法为：获取.tmp文件前32字节作为key，循环异或解密.tmp文件后续内容。
解密后的SystemApp.dll如下图所示：
在Program类构造函数中首先获取“Default”资源并解密（解密算法与之前一致），配置文件中保存了文件路径以及要收集的文件后缀等信息。
然后创建2个定时器用于执行后续操作。
其中“TreeRestoreAccessorInstance”回调函数主要用于通讯，当与C2服务器连接并获取指令后，会根据指令内容执行不同操作。
内嵌URL地址如下："https://ms-trace[.]net/202/YEV8r2FYZ0Yq9IYbOZiFUjHiTLOUc8488m2ZF2AN/45321/2195/bf5cccd3"
部分功能如下所示：获取系统详细信息
获取文件列表：
总结
03
本次攻击活动样本在手法上较以往并没有太多改变，但是Sidewinder APT组织一直处于活跃状态且近期攻击活动频繁。
猎影实验室提醒广大用户，不要轻易接收来历不明的邮件附件，不要点击可疑的文件。提高自身网络安全意识，减少此类攻击事件发生。
IOC
04
1afb77b2f0ef2e082b37d9ff4b2e7e78
04d981747e4134ac463622317dfb07ea
8536a225e3bd5e205b313b216dc9f0a2
7a3b6f76cd98ce2295cc237617633529
d95db71aa8836201dc8e85ab0d641f03
1bb3715288a68ec61f05f70fa80e5f7a
ms-trace[.]net
brep.cdn-edu[.]net
本文为安恒威胁情报中心原创
转载请注明出处
安恒信息威胁情报中心
专注于提供
威胁情报数据和分析服务
往期精彩原创：