蔓灵花组织启用全新特马MiyaRat，国内用户成为首要目标
概述
奇安信威胁情报中心一直在持续跟踪南亚方向的众 多 APT 攻击集合，发表了多篇系统性的技术报告：Operation Magichm[1]、Operation Angi[2]、operation Tejas[3]等，从 2019 年至今这些组织的手法几乎没有太大的变化，攻击技术上限较低，但通过广撒网的钓鱼模式仍能对政企客户造成一定程度的影响。
如何免杀是 Bitter 组织（APT-Q-37）一直以来为之奋斗的首要目标，抛开初始攻击载荷 chm、lnk 等过时技术不谈，仅后续下发的 wmrat 和 .net 特马都很难绕过特征查杀功能，攻击者在今年一直在尝试各种方法：6 月份通过 powershell 加载 havoc 框架、7 月份直接下发 2018 年就在使用的窃密插件，效果都不太理想，最终在 9 月份下发了全新的特马 MiyaRat 并被我们成功捕获。
我们建议政企客户在办公区和服务器区同时部署天擎EDR，在开启云查功能下可以实现对 chm、lnk 等通用威胁的发现和拦截。
MiyaRat指令分析
Bitter 使用的新型木马基本信息如下，PDB 显示该木马被攻击者命名为 “Miya”，当前版本为 1.1。
MD5 | 6edc889abbc186fbd5e187818d916dee |
文件名 | mspnx.exe |
文件大小 | 410.00 KB (419840字节) |
PDB路径 | C:\DRIVE_Y\EDRIVE\repos\Miyav1.1_client_msi\Release\Miya1.1_client.pdb |
该木马由 MSI 文件释放，MSI 文件信息如下：
MD5 | 5ff5e38943a134847e762f480dc84e09 |
文件名 | mspnx.msi |
文件大小 | 466.00 KB (477184字节) |
下载链接 | hxxp://locklearhealthapp.com/mspnx.msi |
木马首先解密出 C2 域名 "samsnewlooker.com"。
解密方式为按字节减去 key，用于解密的 key 被设为 "doobiedoodoozie"。
木马的主体功能在函数 sub_406960 中，调用 WSAConnectByNameW 连接 C2 服务器的 56172 端口。
收集一系列信息发送给 C2 服务器，包括：磁盘信息、机器名、用户名、木马文件路径、%userprofile%环境变量、系统版本。
发送完收集的信息后，木马进入等待接收C2服务器下发指令的循环过程。木马支持的功能包括：文件信息枚举、命令执行、文件上传和下载、截屏等。下面对该木马涉及的指令依次进行介绍。
木马指令整理如下：
指令代码 | 功能 |
GDIR | 列举指定目录下的文件和子目录信息，不遍历子目录 |
DELz | 删除指定文件 |
GFS | 递归枚举指定目录的所有文件信息 |
SH1cmd | 创建命令执行的shell |
SH1, SH2 | 将命令传入shell |
SFS | 连接C2服务器指定端口进行文件传输操作，二级指令UPL1上传文件，DWNL下载文件 |
GSS | 截屏 |
SH1exit_client | 退出木马进程 |
（1）GDIR
列举指定目录下的文件和子目录信息，类似 Windows 的 dir 命令或 Linux 的 ls 命令。列举信息包括文件和子目录名称、最近修改时间以及文件大小。目录枚举信息以 "[END]~!@" 结尾。
（2）DELz
删除指定文件。
（3）GFS
递归枚举指定目录的所有文件信息，包括每个文件的路径和大小。在发送给 C2 服务器信息的首行包含所有文件的总大小，输出信息用 "@@GFS" 标识。
（4）SH1cmd
创建一个 cmd.exe 进程作为 shell，执行管道传入的 cmd 指令，并将执行结果返回给 C2 服务器。
（5）SH1 & SH2
SH1 和 SH2 两个指令功能几乎一致，将参数携带的 cmd 指令写入命令管道，用于 shell 执行。
（6）SFS
SFS 指令用于上传和下载文件，但该指令并不直接执行文件传输操作。该指令的参数为端口号，在 sub_404640（MwFileOp）函数中调用 WSAConnectByNameW 连接同一 C2 服务器的另一个指定端口，木马与该端口进行文件传输。
MwFileOp 函数有两个二级指令 "UPL1" 和 "DWNL"，分别完成文件上传和下载操作。
文件传输指令 | 格式 |
UPL1 | UPL1 <上传文件路径> |
DWNL | DWNL <下载文件保存路径>,filesize==<接收文件大小> |
在文件下载过程中，C2 服务器如果发送 "CANCEL2"，木马可以提前结束文件下载，不用等待接收完指定数量的文件数据。
（7）GSS
获取截屏，该指令的参数可以选择截屏保存图片的分辨率。输出信息用 "~!@SSS" 和 "~!@SSE" 标识截屏数据的开始和结束位置。
（8）SH1exit_client
退出木马进程。
总结
IOC
6edc889abbc186fbd5e187818d916dee
b45c97ae0af336048529b8a3ef1749a5
0b8a556b9ce94a0559f153bf62ba2693
d9159838e82ea73effc18ef5b958dacd
26ed92fef383dfea8c40e4fd38668379
CC：
23.26.55.9:443(havoc)
samsnewlooker.com
96.9.215.155:56172
wmiapcservice.com
185.106.123.198:40269
locklearhealthapp.com
URL：
https://maxnursesolutions.com/cssvr.jpg
https://nurekleindesign.com/toronto.bin
https://viyoappmapper.com/flv.ol
https://locklearhealthapp.com/mspnx.msi
https://locklearhealthapp.com/mayred.msi
参考链接
[2].https://www.secrss.com/articles/31785
[3].https://ti.qianxin.com/blog/articles/operation-tejas-a-dead-elephant-curled-up-in-the-kunlun-mountains/
点击阅读原文至ALPHA 7.0
即刻助力威胁研判