【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

APT 1年前 (2023) admin
434 0 0

概述


近期,深信服深瞻情报实验室联合深信服安服应急响应中心监测到APT组织对国内高校和科研单位的最新攻击动态,将该样本归因为CNC组织发起的攻击,并结合深信服创新研究院混动图AI模型分析,验证了此次归因结论。自去年西工大事件之后,国内科研机构越来越成为境外APT组织关注的目标。据监测,自2023年1月至今,CNC组织频繁地针对国内多个教育、科研机构进行窃密攻击。此外,该组织攻击活动也被发现出现在巴基斯坦某大学并首次出现在菲律宾、印度尼西亚等南亚国家


根据目前已知情况,CNC组织最早于2019年被披露,经常使用鱼叉式钓鱼邮件,针对国内军工、教育、科研机构及航空航天等行业进行攻击,窃取该类单位的高新技术研究资料或规划信息等。该组织疑似与南亚APT组织Patchwork(摩诃草、白象)存在一定关联。

分析


在本次攻击活动中,我们观察到其使用的组件伪装为图片查看器,其详细信息如下表,通过确认该组件与曾披露过的“摆渡木马”功能相似。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


运行初始化预解密,解密出C2地址“https://146.59.223.210/”。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


获取目标机器用户名信息。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


拷贝可疑的伪造png后缀文件以及获取自身模块名称,并尝试连接白域名“https://www.163.com”进行网络测试以便后续的网络通信。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


检测其是否存在于“appdata\roming”路径下。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


获取磁盘名称字符串,不断检测是否存在新设备接入,如果检测到新设备,将当前文件复制到新设备,并且检测是否联网,当网络通畅时将“-oneid”拼接到主机名后,当无网络连接时将“-lastid”拼接到主机名后。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


并于当前执行目录读取资源数据创建PNG文件“私人图像.png”并打开。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


打开的图片内容为“中秋快乐”(该文件编译时间为2023年3月份,与图片内容的中秋节存在差异,疑似为攻击者粗心遗留)


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


接着判断是否存在“%appdata%imagedrvhost.exe,当存在时跳过所有操作结束流程。当不存在时判断是否存在网络连接,当存在网络连接时开始与C2进行通信。”


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


拼接域名“githubusercontent.com”,并获取目标伪造文件名称。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


拼接出路径名称“%appdata%\SangSupport.exe”。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


拼接通信C2地址“https://146.59.223.210/solution-basic/gecko/SangSupport”。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


最终向上述C2进行通信,下载第二阶段载荷至“%temp%\SangSupport”,将下载载荷复制到“%appdata%\SangSupport.exe”,并删除temp目录下载的第二阶段载荷“%temp%\SangSupport”。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


创建任务计划“SangSupportApp”并伪造目标为国内企业相关文件信息以执行第二阶段载荷


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


后续通过WTSEnumerateProcessesW枚举系统进程信息。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


将窃取的进程信息使用base64编码,通过“ http://146.59.223.210/wp-includes?”传输。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


在关联分析中,我们发现该组织使用的另一个组件“YoudaoDictHelp.exe”,该组件通过伪装国内某用户量很大的翻译软件用以欺骗目标,该组件详细信息如下。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


该文件与上述下载器组件存在相同的磁盘容量大小检测逻辑。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


解密出路径“C:WindowsSystem32driversetchosts”。

【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


检测域名“ke.youdao.com”是否存在与本地hosts文件中。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


当检测到域名不存在于hosts文件中时,解密出硬编码的C2地址“https://149.154.153.155/”。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


当检测到域名存在于hosts文件中时,获取temp目录并解密名称“Rtxtemp823243”拼接出路径“%temp%Rtxtemp823243”并检测该文件是否存在。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


当不存在时生成随机字符串,并将生成的字符串写入该文件。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因
【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


使用硬编码C2通信时,使用随机字符串与硬编码C2拼接URL地址“https://149.154.153.155/copyright98/[15字节随机字符串]/GetBanner”


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

使用域名时,使用随机字符串与域名进行拼接形成”https://ke.youdao.com/en-US=[15字节随机字符串]/region=CN”

【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


在与上述C2通信的同时也会尝试从该github地址下载配置数据“https://raw.githubusercontent.com/kkrightjackhuiyongxx1635/controlid/main/config.json”


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因


该github地址内容已经失效


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

由于C2数据已失效,后续行为无法跟踪,通过分析可判断出该组件存在命令执行、文件执行、文件列出(“ls”)、退出(“q”)等功能。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

溯源归因

【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

溯源归因-文件归因:


通过监测到的“imagedrvhost.exe”、“YoudaoDictHelp.exe”、 “YoudaoDictDesk.exe”等文件名称特征,发现这些特征均符合该组织使用国内企业文件信息伪装的一贯习惯。分析事件中出现的组件,也发现与曾披露的“摆渡木马”同功能,通信的模式及URL格式等符合该组织的通信特征。

除此之外,通过深瞻情报实验室累积的情报数据,深信服创新研究院混动图AI模型也将该样本归因到CNC组织。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因
【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

溯源归因-基础设施:


通过发现的多个C2地址的SSL证书进行分析,该组织常使用伪造的163邮箱、qq邮箱及国内企业邮箱等信息创建自签名证书,符合该组织一贯的基础设施创建策略。


在C2“149.154.153.155”中,该组织使用虚假的163邮箱(“[email protected]”,该邮箱并不存在)以及中国地区信息创建了自签名证书用于加密通信。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

对关联的C2“152.89.247.104”,使用虚假的163邮箱创建自签名证书用于加密通信。


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

IOCS


【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

总结


CNC组织常使用鱼叉、水坑及渗透的方式对目标进行打点攻击,具有一定的危险性。其在2022年至2023年期间较为活跃,主要针对军工、教育、科研机构及航空航天等行业进行攻击,窃取该类单位的高新技术研究资料或规划信息等,相关行业及单位需要警惕并加强网络防御。从跟踪情况来看,该组织一直在改造其攻击组件,不断加强其窃密、反分析及反取证能力,安全公司应加强相关技术的检测。

深信服深瞻情报实验室专注全球高级威胁事件的跟踪与分析,拥有一套完善的自动化分析溯源系统以及外部威胁监控系统,能够快速精准地对APT组织使用的攻击样本进行自动化分析和关联,同时积累并完善了几十个APT以及网络犯罪威胁组织的详细画像,成功帮助客户应急响应处置过多起APT及网络犯罪威胁组织攻击事件,未来随着安全对抗的不断升级,威胁组织会研究和使用更多新型的TTP,深瞻情报实验室会持续监控,并对全球发现的新型安全事件进行深入分析与研究。


原文始发于微信公众号(深信服千里目安全技术中心):【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因

版权声明:admin 发表于 2023年4月14日 下午9:15。
转载请注明:【高级威胁追踪(APT)】疑似CNC组织最新攻击动态分析,AI模型验证归因 | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...