蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标

APT 4周前 admin
142 0 0

概述

奇安信威胁情报中心一直在持续跟踪南亚方向的众 多 APT 攻击集合,发表了多篇系统性的技术报告:Operation Magichm[1]、Operation Angi[2]、operation Tejas[3]等,从 2019 年至今这些组织的手法几乎没有太大的变化,攻击技术上限较低,但通过广撒网的钓鱼模式仍能对政企客户造成一定程度的影响。

如何免杀是 Bitter 组织(APT-Q-37)一直以来为之奋斗的首要目标,抛开初始攻击载荷 chm、lnk 等过时技术不谈,仅后续下发的 wmrat 和 .net 特马都很难绕过特征查杀功能,攻击者在今年一直在尝试各种方法:6 月份通过 powershell 加载 havoc 框架、7 月份直接下发 2018 年就在使用的窃密插件,效果都不太理想,最终在 9 月份下发了全新的特马 MiyaRat 并被我们成功捕获。

我们建议政企客户在办公区和服务器区同时部署天擎EDR,在开启云查功能下可以实现对 chm、lnk 等通用威胁的发现和拦截。


蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


MiyaRat指令分析

Bitter 使用的新型木马基本信息如下,PDB 显示该木马被攻击者命名为 “Miya”,当前版本为 1.1。

MD5

6edc889abbc186fbd5e187818d916dee

文件名

mspnx.exe

文件大小

410.00  KB (419840字节)

PDB路径

C:DRIVE_YEDRIVEreposMiyav1.1_client_msiReleaseMiya1.1_client.pdb


该木马由 MSI 文件释放,MSI 文件信息如下:

MD5

5ff5e38943a134847e762f480dc84e09

文件名

mspnx.msi

文件大小

466.00  KB (477184字节)

下载链接

hxxp://locklearhealthapp.com/mspnx.msi


木马首先解密出 C2 域名 “samsnewlooker.com”。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


解密方式为按字节减去 key,用于解密的 key 被设为 “doobiedoodoozie”。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标
蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


木马的主体功能在函数 sub_406960 中,调用 WSAConnectByNameW 连接 C2 服务器的 56172 端口。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


收集一系列信息发送给 C2 服务器,包括:磁盘信息、机器名、用户名、木马文件路径、%userprofile%环境变量、系统版本。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标
蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


发送完收集的信息后,木马进入等待接收C2服务器下发指令的循环过程。木马支持的功能包括:文件信息枚举、命令执行、文件上传和下载、截屏等。下面对该木马涉及的指令依次进行介绍。

木马指令整理如下:

指令代码

功能

GDIR

列举指定目录下的文件和子目录信息,不遍历子目录

DELz

删除指定文件

GFS

递归枚举指定目录的所有文件信息

SH1cmd

创建命令执行的shell

SH1, SH2

将命令传入shell

SFS

连接C2服务器指定端口进行文件传输操作,二级指令UPL1上传文件,DWNL下载文件

GSS

截屏

SH1exit_client

退出木马进程


(1)GDIR

列举指定目录下的文件和子目录信息,类似 Windows 的 dir 命令或 Linux 的 ls 命令。列举信息包括文件和子目录名称、最近修改时间以及文件大小。目录枚举信息以 “[END]~!@” 结尾。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(2)DELz

删除指定文件。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(3)GFS

递归枚举指定目录的所有文件信息,包括每个文件的路径和大小。在发送给 C2 服务器信息的首行包含所有文件的总大小,输出信息用 “@@GFS” 标识。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标
蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(4)SH1cmd

创建一个 cmd.exe 进程作为 shell,执行管道传入的 cmd 指令,并将执行结果返回给 C2 服务器。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标
蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(5)SH1 & SH2

SH1 和 SH2 两个指令功能几乎一致,将参数携带的 cmd 指令写入命令管道,用于 shell 执行。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(6)SFS

SFS 指令用于上传和下载文件,但该指令并不直接执行文件传输操作。该指令的参数为端口号,在 sub_404640(MwFileOp)函数中调用 WSAConnectByNameW 连接同一 C2 服务器的另一个指定端口,木马与该端口进行文件传输。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标
蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


MwFileOp 函数有两个二级指令 “UPL1” 和 “DWNL”,分别完成文件上传和下载操作。

文件传输指令

格式

UPL1

UPL1 <上传文件路径>

DWNL

DWNL  <下载文件保存路径>,filesize==<接收文件大小>


在文件下载过程中,C2 服务器如果发送 “CANCEL2″,木马可以提前结束文件下载,不用等待接收完指定数量的文件数据。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(7)GSS

获取截屏,该指令的参数可以选择截屏保存图片的分辨率。输出信息用 “~!@SSS” 和 “~!@SSE” 标识截屏数据的开始和结束位置。

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


(8)SH1exit_client

退出木马进程。


总结

目前,基于奇安信威胁情报中心的威胁情报数据的全线产品,包括奇安信威胁情报平台(TIP)、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等,都已经支持对此类攻击的精确检测。
蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标


IOC

MD5:

6edc889abbc186fbd5e187818d916dee

b45c97ae0af336048529b8a3ef1749a5

0b8a556b9ce94a0559f153bf62ba2693

d9159838e82ea73effc18ef5b958dacd

26ed92fef383dfea8c40e4fd38668379

CC:

23.26.55.9:443(havoc)

samsnewlooker.com

96.9.215.155:56172

wmiapcservice.com

185.106.123.198:40269

locklearhealthapp.com

URL:

https://maxnursesolutions.com/cssvr.jpg

https://nurekleindesign.com/toronto.bin

https://viyoappmapper.com/flv.ol

https://locklearhealthapp.com/mspnx.msi

https://locklearhealthapp.com/mayred.msi


参考链接

[1].https://ti.qianxin.com/blog/articles/%22operation-magichm%22:CHM-file-release-and-subsequent-operation-of-BITTER-organization/

[2].https://www.secrss.com/articles/31785

[3].https://ti.qianxin.com/blog/articles/operation-tejas-a-dead-elephant-curled-up-in-the-kunlun-mountains/

蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标

点击阅读原文ALPHA 7.0

即刻助力威胁研判



原文始发于微信公众号(奇安信威胁情报中心):蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标

版权声明:admin 发表于 2024年10月12日 下午3:09。
转载请注明:蔓灵花组织启用全新特马MiyaRat,国内用户成为首要目标 | CTF导航

相关文章