Operation（호랑이머리깃발）ShadowTiger：盘踞在佛岩山上的过林之虎

2019年奇安信威胁情报中心发布《阻击“幻影”行动：奇安信斩断东北亚APT组织“虎木槿”伸向国内重要机构的魔爪》全网首次披露东亚APT团伙“虎木槿”，奇安信内部跟踪代号APT-Q-11,在此后的数年间我们一直对其保持高强度的跟踪，该团伙在2019-2021三年间使用了多个浏览器0day漏洞，使用多种攻击手法对目标进行渗透攻击，基于奇安信大数据平台捕获到的攻击手法如下：

由于该团伙非常善于挖掘本土化软件的0day漏洞，技术较为高超，我们没有十足的把握洞悉“虎木槿”过去三年中所有的攻击活动，本文披露的活动也只是冰山一角，希望友商对本报告进行补充扩展。本篇以年份为单位，披露漏洞细节（漏洞软件目前均已修复）、成因以及利用，文末会公布历史活动的IOC，相关IOC均已无法访问，截止到报告完成前尚未捕获到新活动。

“虎木槿”在2019年初时通过使用可信邮箱向目标人员投递带有invoice主题的鱼叉邮件。

我们收集到的PC端钓鱼页面如下：

以新冠疫情作为诱饵的钓鱼页面：

手机端钓鱼页面如下：

会将输入的数据和用户名进行拼接后经过RSA加密发送到后台页面。

加密代码如下：

最后跳转到带有PDF的页面，有些则会跳转到合法的网盘文件下载链接，引导受害者下载安全的PDF。

部分邮件中的钓鱼链接采用google白域名转发的形式来绕过邮件检测：

https://www.google.com/url?q=http://{domain}/index.php?addr=XXX&rc=XXX&source=gmail&ust=XXX&usg=XXX

通过奇安信大数据平台关联我们观察到虎木槿对海外目标的攻击活动，冒充联合国网站对外国驻朝鲜大使馆以及朝鲜驻外国大使馆进行攻击。

cloud.unite.un.org.docs-verify.com

返回的PDF内容为波兰驻平壤大使馆邀请函：

还会仿冒office相关的（www.ms0ffice.guest-mailclouds.com）钓鱼页面，遗憾的是我们并没有获取到完整的html。

攻击者除了在邮件中投递钓鱼链接外，还会投递带有针对部分浏览器0day漏洞的恶意链接，漏洞利用流程如下：

邮件截图如下：

Eml文件中包含了两个链接，第一个链接为探针，第二个链接使用了某域名的白名单跳转：

http://dict.XXXXX.com/appapi/redirect?module=compose.ComposeModule&redirectUrl=http://oversea-cnki[.]net/ccps/20191031.pdf

之后会再跳转到http://datasectioninfo[.]com/ccps/20191031.pdf

访问同目录下的start00.html，进入漏洞利用流程，start00.html主要用来判断当前浏览器是否可利用，无论是否可利用最后都会加载正常的PDF。

值得一提的是，PDF文件同样有检测机制，如果Agent包含某些设备特征则会跳转到404页面。

如果存在可利用的浏览器则会执行exp.html。

判断浏览器版本和系统版本后执行exp2.html,下载两个隐写的PNG文件。

并在解密后把文件下载到Mediaplay 播放器的插件目录下，实现DLL劫持，文件名：np-mswmp.dll，在播放1.wmv 后，会默认加载该dll，然后dll执行起来后会执行360a.exe的木马的操作。

漏洞分析

由于部分浏览器chrome内核版本过低，攻击者使用了两个Chrome内核漏洞，分别位于exp1.html和exp2.html，其中exp1.html由project zero 的[email protected]发现，通过该漏洞实现代码执行功能。

获取全局内存读写的能力。

获取任意对应的函数地址。

之后通过代码执行启动shellcode修改对应内存中的部分参数。

其中修改如下的字符串为catalog。

之后通过CVE-2018-6055绕过chrome沙箱，该漏洞由[email protected] 发现，mojo接口filesystem::mojom::Directory存在漏洞，可导致任意文件读写，这个接口存在于mojo server catalog中，也就是上文中通过shellcode修改的的字符。

因此，执行exp1后启动mojo对应的catalog服务，执行exp2调用对应的漏洞接口实现沙盒逃逸，从而在系统中写入对应的恶意插件，以实现劫持mediaplayer，此时运行一个wmv文件以实现最终的恶意代码启动。

恶意代码分析

本次活动涉及到4个落地文件和5个内存加载的插件。

漏洞利用执行完毕后，会先通过Dll side-loading加载np-mswmp.dll，修改了正常的np-mswmp.dll的一个函数，被patch的地方如下：

被patch的函数会获取CreateProcessA的地址，并运行起来360a.exe。

360a.exe基于开源putty项目，将main函数里正常代码替换为恶意代码，主要功能为解密释放loader程序SndVolSSO.dll和远控主程序svctask.exe，使用Bypass UAC技术通过iFileOperation的方式将SndVolSSO.dll拷贝到Windows目录下，实现explorer.exe劫持持久化。

SndVolSSO.dll被加载起来后使用另一种Bypass UAC的方法运行svctask.exe。

该样本的具体执行流程如下：

1. 创建名字为“lb@x06g”的互斥体，这个互斥体在第一个数据包/qn/doil.php里当参数传递了出去，等待数据包返回，如果数据包返回的数据通过验证，木马会请求下一个数据包。

2. 木马发送的第二个数据包为/qn/doil.php?adm，该数据包是GET请求，会返回下一个数据包返回的数据的大小（插件包pkg的大小）。

3. 木马会以POST请求发送第三个数据包，该数据包会返回加密后的插件包（webroot/dn/pkg目录），以0x8111212为插件的分割字符，包含5个插件；加密算法为xor 0x21。

4. 把5个插件通过远程线程注入到进程名为svctask.exe（自身）的进程里，加载起来。

返回的插件包是一个伪装jpg的图片，头部16字节是jpg头，如图为浏览器打开的截图：

漏洞分析

部分浏览器默认安装一个独立服务会监听高端口实现部分功能的调用，我们推测虎木槿团伙对该服务进程进行了代码审计，最终找到任意命令执行漏洞，凡是安装了部分浏览器的终端无论在内网或者在外网映射了IP均能被稳定RCE。

奇安信威胁情报中心观察到相关攻击后，第一时间对漏洞进行了复盘，现将相关细节公开，供安全研究人员参考。

绑定端口代码如下：

通过该端口接受的数据格式需要以/？开头，以 /r/n 结尾，因此此时可以得出以下形式的exp构造/？*****/r/n

接着依次解析appid、path、channel、callback等参数，每个参数以&分割，Exp格式如下：

/？appid&path&channel&callback/r/n

之后进入一个if，该大流程为–programid=分支，漏洞触发函数在here位置，因此可以判定我们的exp中一进入–programid=流程，其值会来自于appid，其中–msg_program_suburl=来自前面的path，–msg_program_channel=来自前面channel，因此这里可以得出以下exp的格式，这里通过写入断点观察可以发现if中判断的0x12的值实际是appid的长度，必须为18。

Exp构造格式如下：

/？appid=111111111111111111&&path&channel *****/r/n

最终appid转为–programid=，channel转为msg_program_channel，故结合我们检测到的数据最终的EXP构造如下：

/?appid=qheejtaunxfk8pj2p9&channel=1 –no-sandbox –headless –renderer-cmd-prefix=”cmd.exe /c start calc.exe&rn”

值得一提的是recv后会通过空格对buffer进行分割，所有空格被格式化，导致无法顺利执行EXP，通过分析发现在channel转为msg_program_channel时，会在fun_setStr中处理对应的数据。

会依次判断该数据是否为%，+,实际上%是用于处理unicode，而会将+转化为空格，也就是说exp中只需将空格替换为+号，后续代码中会自动将空格恢复。

因此完整exp如下所示：

/?appid=qheejtaunxfk8pj2p9&channel=1+–no-sandbox+–headless+–renderer-cmd-prefix=”cmd.exe /c start calc.exe&rn”

最终会调用ShellExecuteW执行对应的命令。

VBS分析

虎木槿利用该漏洞调用wscript执行v.vbs，从远程服务器下载Payload。

遗憾的是我们捕获到的样本均已损坏。

OA内网水坑

在2021年攻击者除了使用浏览器漏洞外还使用了一种全新的攻击模式，即入侵内网OA系统，替换OA系统网盘上的常用工具，进行水坑攻击。

尚不清楚攻击者是通过何种方式入侵内网OA的，替换的文件如下：

字符串解密逻辑如下：

从自身释放出正常的软件安装包并启动：

释放恶意的SfAntiBot.exe，样本伪装成友商僵尸网络查杀工具：

如果权限提升失败，则会用内置的UACME进行bypass UAC提权。

核心逻辑在窗口回调函数中。

生成配置文件，存放经过加密的C2：

读取配置文件解密C2。

http://190.2.147[.]128/sangfor/cloud/edrTL.php

收集本机信息，将数据上传到远程服务器上。

从远程服务器读取payload数据并写入文件。

启动payload，获取屏幕截图发送到远程服务器

下载的payload如下：

vmcret.exe为攻击者自己编译的Cryptcat，主要功能反弹shell。

194.88.107.34:443193.9.113.180:80

攻击者利用反弹shell执行一些cmd命令创建计划任务和横向移动，接着攻击者先是下发了一个名为360ChkCloud的下载者测试文件，功能非常简单。

接着下发了带有混淆的下载者，但被天擎查杀。

CC=88.150.227.110:13

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

2019年

MD5:

580da4e63c9e617573831127df6e02fe

8962b07c12f1e8d1a0cff81b94e21538

e356e764bc0f2d2807314dae322889de

2c5f443b2af64be2c35ebbbc56f61ff0

0e59d990a6cd93c999481c802ff83c3d

2205e0119c825b8b5086e648957edf79

5b63114850a148dc74cce50a36778880

CC:

Microsoft.ccivde.com

mail-hostfile.com

141.255.160.250

oversea-cnki.net

datasectioninfo.com

blue.chinfoset.com

lion.waitnetwork.net

cloud.unite.un.org.docs-verify.com

www.ms0ffice.guest-mailclouds.com

service-hq.com

netease.smartsystem36.com

www.morning-place.com

helpdesk-mailservice.com

netease.mail-drivecenter.com

2020年

CC:

http://62.112.8.79/Images/Png/p

2021年

MD5：

0782a0d6313fbb19a61d1fdc59234812

29f84b0c138f0a8c3b1f6c9a43911984

d2ea8a53e5db1b1d78bdc08d66bc1cf6

c296fc1c0d181c2e39f4fd5a8bceb70b

87b65abafbd51bbd30a5eae624401912

63b80446ff4cefa9db70f6cdffaa6a05

aef737cc72ac492ae54cf916cd60b7c1

2353c6bc28050fc95ceca63ef608bca8

fe39b7713f040e839f54edc42af7b63a

CC:

http://190.2.147[.]128/sangfor/cloud/edrTL.php

http://190.2.147[.]128/360-Cloud/Chk

194.88.107.34:443

193.9.113.180:80

88.150.227.110:13