APT-C-43(Machete)组织疑向更多元化演变

APT 7个月前 admin
155 0 0
APT-C-43
  Machete

APT-C-43(Machete)组织最早由卡巴斯基于2014年披露,该组织的攻击活动集中于拉丁美洲具备西班牙语背景的目标,其主要通过社会工程学开展初始攻击,使用钓鱼邮件或虚假博客进行恶意文件传播,其受害者似乎都是西班牙语群体。

2020年12月我们对该组织意图窃取委内瑞拉军事机密为反对派提供情报支持的攻击活动进行了披露,披露的攻击活动中APT-C-43使用了Python编写的新后门Pyark进行攻击,同样地,此次报告中我方也会对该组织近年使用的新后门进行披露,同时对该组织的演变提供几分猜想。

 一、攻击活动分析  

1.攻击流程分析  

完整的攻击流图描述以及攻击流程图:    

APT-C-43(Machete)组织疑向更多元化演变

2.恶意载荷分析   

APT-C-43组织的载荷投递方式并未做过大改变,主要还是通过鱼叉钓鱼邮件以及虚假博客进行投递,钓鱼邮件中包含携带恶意宏代码的Office文档,宏代码启用后将会发起FTP请求从远程服务器中下载后门木马运行。

APT-C-43(Machete)组织疑向更多元化演变

恶意文档的宏代码通过加密用以迷惑用户。

APT-C-43(Machete)组织疑向更多元化演变

经提取的恶意宏代码运行后会使用FTP服务从远程服务器中下载lnk、bat、png三个文件至“C:ProgramData”目录之中,后续会将lnk文件移动至“启动目录”用于执行bat文件,bat文件中的恶意代码再进一步从远程服务器【funkytothemoon.live】中下载恶意程序执行。

APT-C-43(Machete)组织疑向更多元化演变

3.攻击组件分析

启动目录下的lnk文件在计算机重启后会执行携带恶意代码的bat文件,bat文件执行后会从远程服务器【funkytothemoon.live】中下载MSI文件运行,攻击者在MSI文件内打包了一个恶意程序用户运行后调用msiexec.exe执行。

    APT-C-43(Machete)组织疑向更多元化演变

以往监测的APT-C-43组织活动中攻击者一贯在MSI安装包中放置一个经过Python打包的恶意程序,近年的监测中发现攻击者新增放置.NET  Visual Basic编译的恶意程序。
  • Visual Basic  

MD5

de10063b264c19605493f1cc7bd431f4

类型

win32 exe

文件大小

959.23 KB

Visual Basic编译的恶意程序是在具备正常功能的VB程序中插入恶意代码用以实现恶意功能的。

APT-C-43(Machete)组织疑向更多元化演变

攻击者在程序中新建了一个窗口事件用于触发恶意代码。

APT-C-43(Machete)组织疑向更多元化演变

恶意代码触发后会先从资源数据中读取配置数据,随后根据配置数据进行持久化以及文件备份以及进一步从gitlab.com中下载下一阶段载荷执行,根据gitlab.com地址可关联到大量以压缩包进行投递的相同木马。

APT-C-43(Machete)组织疑向更多元化演变

资源中的配置数据。

APT-C-43(Machete)组织疑向更多元化演变

.NET    

MD5

846f604b9504a4ec3889b88065b9fce0

类型

win32 exe

文件大小

134.00 KB 

打包的.NET恶意程序经过高度混淆。

APT-C-43(Machete)组织疑向更多元化演变    

.NET恶意程序经分析发现其为github上的【Qvoid-Token-Grabber】项目修改而来,Qvoid-Token-Grabber是一个功能强大的密码抓取器。

APT-C-43(Machete)组织疑向更多元化演变

此处的.NET经修改后,配置文件字符经加密后于程序资源段保存供木马程序读取并调用。

APT-C-43(Machete)组织疑向更多元化演变

资源数据字符经解密后数据,从解密的字符数据来看攻击者并未对Qvoid-Token-Grabber项目的功能做过多的修改,仅在原工程中添加的计算机键盘监控以及远程脚本执行功能。

APT-C-43(Machete)组织疑向更多元化演变

根据木马程序对敏感字符的调用以及对照Qvoid-Token-Grabber项目源码发现其具备以下能力:

1

计算机基础信息获取(硬件信息,系统信息)

2

浏览器,邮件客户端密码窃取

3

加密钱包地址获取

4

自我销毁功能

5

提权功能

6

文件执行

7

notepad文本编辑

8

计算机用户遍历

9

获取指定进程句柄

10

获取当前进程列表

11

远程进程销毁

12

反调试

13

沙箱检测

14

虚拟机环境检测

15

设置代理

16

Roblox Cookies获取

17

Discord token获取以及discord API数据交互

18

Telegram API数据交互

木马程序最终将窃取所得的计算机内的敏感信息以及落地在计算机内的log.txt(键盘监控数据)通过Discord API 发送到攻击者手中完成数据窃取。

4.攻击数据关联分析  

在对APT-C-43组织涉及的C&C数据后续关联工作中发现一个包含CVE-2017-8570漏洞载荷的RTF可疑文件。

MD5

52e06cdff689ed4b505400a78fd0502d

类型

Rtf

文件大小

234.81 KB

使用受漏洞影响版本的Word程序打开该文件后会触发该漏洞,在rtf文件内嵌的恶意VBA脚本代码会被执行,恶意脚本执行后会从“          
http://funkytothemoon.live/updater.exe”中下载载荷运行。

APT-C-43(Machete)组织疑向更多元化演变

其中内嵌在rtf文件中的VBA代码经混淆处理,VBA代码中残留有注释字符其中包含调试代码以及代码释义,根据注释的代码释义字符可在github中找到函数原型于WMIHACKER等项目中使用过。

APT-C-43(Machete)组织疑向更多元化演变

VBA代码中C&C地址由base64硬编码保存在代码开头。

APT-C-43(Machete)组织疑向更多元化演变

虽然该rtf文件的域名与APT-C-43样本使用的域名一致,但由于TTPs差异过大并且以往的披露报告中也未表明APT-C-43组织将CVE-2017-8570漏洞加入其攻击流,尽管CVE-2017-8570并不高明,但是我们还是尝试对该VBA代码进行关联企图发现更多其它信息。

好消息是根据VBA代码的特征我们成功关联到许多使用同样VBA宏代码的RTF文档文件,但坏消息是这批次样本出乎意料的多且样本使用的诱饵名多为“     Purchase Order.doc”、“Inquiry*.doc”、“*REVISED.doc”、“New_Purchase_Order*.doc”、“Products List.doc”等和以谋利目地的黑客组织惯用诱饵名一致,诱饵文件名不仅“泛滥”还存在朝鲜语命名的诱饵文档,半岛地区也并未是APT-C-43组织的首要攻击目标。

MD5

a024743ba161e232a86a9ef3e92f66aa

015e07f55cf7c590671981ad7a06af99

04f478a39f1108b7695249174a3ea74f

b3e232227978c7f042bc0549e0682eeb

5e616b0768d6ac0db773a3c1e457f80f

134382aece8d68ac25e079a3cf66b6e0

5f25f2501d3c827b99fe42dd0b54c504

f3c6a8b4f6c506cfa7934ea72e614fae

0ad8c6a00052b298c952555c7a1e336e

b56371d2c61d27d045e19ac6fadaf8ac

1b6b5c697c2ac15096e3dfb7464f943e

bb16645d4831c9a32eb93c853f79d5c3

4cffd63038352505d973a5a937b6139d

959e550fa43722abcc8a6d9aa06efb1d

e151f0365c331f4103bf2b9662e3c450

a845870f81437cc7ed8c215801e519da

94f769831e022748b6bdb9b05bc3ac70

fddce2b3c97faecb1feb8fea47edf53e

088f51c60a1f7cd28f62387269b06dbf

1a7d74fca6576e8846f43e9f62aa8b5a

a5ab9fb2ebccdb0758cbe6b1616eec8b

53e659a13ee04e3fed2e2f974155953e

874637f03cf154fbef59eaaec27f3481

d3e8a902675fd7b9cc58da797d8d9362

49e55370798abca611e43f9e2acdc42f

5c21929e676f528d0ba54f7897ca77f1

bcff0721025f0867891bae941b7d5531

817cd940403b29203085e272cd42d8ad

27131d2a5705c4ebe03a84c2e45a6e6c

b2e33303938d9a36cb52d3e10a7cf6ff

0c93169f8638d283e0a77ce5ded64459

3660a4952bd624fc263d911161f6a645

fbe8aa13675d79bad8e38cb10e6dc16e

3252f5daa17eabbd1379d1cdac16c77e

8993b9dc793cea854e938282ed94c084

a7db84284a4208a821145a013d578a8b

96750118e244a2afe885ad737b3dfd84

7f0c029b16ef30e6622f6896b629cfc6

f33a9e51be9f0b77bb4b02b1dc2a725d

117d9138f0db7fa7373f336234472248

f0ec4c26119748dfad981ed0958dd241

诱饵文档进一步关联还可关联出众多样本以及C&C数据,使用VBA代码的恶意文档从22年一直活跃到23年,其中攻击流与APT-C-43组织以往活动中使用的相差甚大,但从观测到该组织此前活动中积极利用github的项目以及使用的诱饵文件名来看未必不是该组织所为,可以猜测APT-C-43组织或向更多元化演变不再是单一的对土耳其语人群进行攻击,或演变其它小组投放以采购订单、加密货币、收据等恶意载荷文档进行敛财。

 二、溯源分析  

APT-C-43(Machete)组织此前披露活动中使用的攻击流与此次披露的事件中使用的基本一致。

APT-C-43(Machete)组织疑向更多元化演变

     另外,载荷文档中的VBA代码也基本一致。由此我们推测,此次攻击活动的幕后组织应该是APT-C-43(Machete)。

APT-C-43(Machete)组织疑向更多元化演变

   

360聚能过去20年实战经验及能力推出360安全云,目前,360安全云已实现对此类威胁的全面检出,全力守护千行百业数字安全。

附录 IOC

94.140.112.24

funkytothemoon.live

https://gitlab.com/0coderproducts/myanus/-/raw/master/storage/text.txt

ef36efb72a7da7a0fdd0b023f8ce42f7

2dcaa4314dd9b53bb08d7ef15f29347d

fa320c259a71110f2c4c6f186f5cd067

426daaaeeed5170694fa7be979fb23b7

e035f8ebf54577d7d830ac2d0979fb78

6db200a83e20d21b8ba54cabaef57dd4

1028d1671f0240b3893c94be1c57d307

cb92a31e913c497e5ff3bcc9bd8ec9ed

eb8c5cf7d94886eb30c78c154c58f9bc    

84f3b80b601f3e8ebf71c6e150406f93

f7ffa19d0eaa657b493ee7945dbab6f4

9a0d43115d6d13d2179d45f7314a106b

52e06cdff689ed4b505400a78fd0502d

2cb82bc466c08f8dc4eabc5e01d6b94a

f61bd8d14c0a52ff002c301d355b0508

e5503bba88b0864d033a6c8eaa8468c3

e26eab0981e17e430bc026d0cc708f94

b674d6c018277390a019fc162b21dfe4

9f83439b7ab1c2915077732efdd1bbb0

7fe362b7b6aa47f295779b715ae29df0

529981f73a9d46802a113fad3f51a239

3e471464c151bafbce2a255077aeb9c9

315ccd1a5c910bc848ae733b2b14c7c5

2a976b9b309bb5531407542180523f2f

1e0d4032c6e73bf53387c37a73105e23

e0deb1c18d405a60cebe0bf488b60af4

1a77c31f5999e5ea7f5accfe16b227d2

add0695700d041950668ed2930088321

f7acf65b458830c00b9bbb995560068a

49e512ecede634ca6fdb5db30f824620

ef0a923dcf723ac2434413c1ab87c19a

b73d230813dbac58ceff648f830859eb

d1f515f89419e7f9aa9267f376182a53

e61b07a72447629a2b589d012696e5dd

85d3f917a066b71fcece5d36d991ecdc

63eaa9a5fb353d501882f1ea25e7ecc1

dcc775214f4bf5a14839a91705186d6e

de10063b264c19605493f1cc7bd431f4

cb168958c3d084f30e4cacb6e6cd007f

72d80b3e78c609bdd723b933d7e6aa40

ce8b22a85efc4275e55e9a3def16de4c

9cd7fbeb4b4853bf899ba77d3a692e00

76c96fd8daa79006dbb4d2839e47f688

11098b0e31994c6c333d5578f9a106ed

7afe699ecff449aedccdef8fd01db05f

c51fd62ae6ad40db2d5198c2f40ac7cc

68e80337a5f593acd713870dcd245d1b

159ce9a899930eb2a59d3bcf6c2aca29

ad850cc0af21c948993285a5b34fffdd

ef802d28004d815546ee19da6b26fcf5

72e6ebd43a25a0d1f64b2e4759fa8ed3

b4ec606772979f89dcb4163e4b457335

67f0358da5d4758c7764438538e86910    

046d26bf4ba1cfc4a29ce5a6a19ff61c

a07ea35390953abca4cade70544d3426

ac9861bae6e24e9c61caf34ba01526b3

ba9a13780e04b4dc147fb06583d6e34f

457cc4316945858377058bf1eb4d5454

13c22332432fe0247478e42feddf37bd

24d2d3b1e3e48945f0a007d98200bff1

6c21bb6127acdc8fc05a7938dcecd255

9dee7e4f7ffef8d6eef0400242992262

9013c5747952c676749ab3e3784b9c01

3ed2deb41513f44219cbc8c750664c6e

38c4ddb68832e35292e6a9514d542933

edb3b8cf4f4e8beb4a6d777b172275bb

dac30ab400ec6be2daa29718ea6d0a3e

55b947793389e6007931c2cf54458bd7

2df511bb7e3ea4ca9bc15215d6120452

c0c27ba1eb3571a81043c4f863e88311

9a6eab20a8ae1e518ec2aee6d94f5738

fa5aecf86404ae20382ee7034cac0a64

1d3ae213da1b533ecec92ccc2a4860c6

419751a7eeecf928a89d7915536f9f7b

579827167eb2766f52f45202e6e74ee7

9c9c2b692c86b8bf65ba0c57367740bb

6b52ca78a87d45f63c3384c2917a92ab

f19af2625c8bf1bd6a2f943d435bfc06

32fc78e43400ad55fedc642cbbc81b7f

6ae48ef89bdb8e7f09385c53e418d854

0d0b4fe4d0e5c73b5214a18226f48a7b

629f687963341861ff29a6a8638517d2

4a36997c4991c98d43acefcbfaedf847

42514a99f61135e23508980478d019c7

bfcf0eda4dff87d933e97ed0bcf9ade3

4c8398648c62dc37623266da7e6e77a4

0c2442282a3f36f3dab3da53e6096906

d450c7f5074a70ca6cecfa987a98f9b3

5a717e07c4bb4b44aeaa3e1f43a301ac

6e6b5a15e8883b8ea28eea9f15f4fed4

f7aaff79dc82862216fd36f848258f45

c6b9cefa1b504f5918b7c01ca666467a

65af0f8d620b1598681809cb7dcdfd92

4055cdf330c3e656f87cb268c478ec81

076bfedff976cf3109eb8eb2830a3f6a

e2936e9386efe79d801512e06c198760

aef53d8eed1dd6fe13efbe3b168c0f32







360高级威胁研究院

360高级威胁研究院是360数字安全集团的核心能力支持部门,由360资深安全专家组成,专注于高级威胁的发现、防御、处置和研究,曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的0day在野攻击,独家披露多个国家级APT组织的高级行动,赢得业内外的广泛认可,为360保障国家网络安全提供有力支撑。

原文始发于微信公众号(360威胁情报中心):APT-C-43(Machete)组织疑向更多元化演变

版权声明:admin 发表于 2024年3月26日 下午6:25。
转载请注明:APT-C-43(Machete)组织疑向更多元化演变 | CTF导航

相关文章