TA402 针对中东目标持续发起攻击

最近发现的攻击行动中，TA402 使用包含恶意文件下载链接的鱼叉邮件。

自有域名（2021 年 11 月）

Dropbox URL（2021 年 12 月）

2021 年 12 月，TA402 发送了多种主题的钓鱼邮件，包括医疗主题和政治敏感信息等。TA402 继续使用攻击者控制的 Gmail 账户，但转用 Dropbox 部署的 URL 来投递 NimbleMamba 样本。但这种方式，攻击者不能再控制地理围栏。TA402 不仅滥用 Dropbox 服务作为投递渠道，也作为 C&C 信道。

WordPress 重定向（2022 年 1 月）

TA402 在攻击链中调整了攻击者控制的 WordPress URL，地理围栏内的 IP 访问会下载 NimbleMamba 样本，之外的 IP 会重定向到阿拉伯语的新闻网站。

NimbleMamba

地理围栏

• api[.]ipify[.]com (https://www.ipify.org)

• myexternalip[.]com (https://myexternalip.com)

• ip-api[.]com (https://ip-api.com)

• api[.]ipstack[.]com (https://ipstack.com)

如果恶意软件在封闭的网络环境中无法连接到这些服务，将会处于无限循环中。

配置

有内容时，如下所示：

数据通过 # 以及 = 进行分割：

功能

BrittleBush

归因

2021 年 12 月的攻击行动与卡巴斯基在 2015 年披露的 TA402 攻击有着显著的相似之处。

结论

IOC

430c12393a1714e3f5087e1338a3e3846ab62b18d816cc4916749a935f8dab44c61fcd8bed15414529959e8b5484b2c559ac597143c1775b1cec7d493a40369d925aff03ab009c8e7935cfa389fc7a34482184cc310a8d8f88a25d9a89711e862e4671c517040cbd66a1be0f04fb8f2af7064fef2b5ee5e33d1f9d347e4c419fuggboots4sale.comeasyuploadservice.com

Yara

rule Proofpoint_Molerats_TA402_NimbleMamba {     meta:         description = "Detects .NET written NimbleMamba malware used by TA402/Molereats"         author = "Proofpoint Threat Research"         disclaimer = "Yara signature created for hunting purposes - not quality controlled within enterprise environment"         hash1 = "430c12393a1714e3f5087e1338a3e3846ab62b18d816cc4916749a935f8dab44"         hash2 = "c61fcd8bed15414529959e8b5484b2c559ac597143c1775b1cec7d493a40369d" 
    strings:         $dotnet = "#Strings" ascii         $dropbox = "dropboxapi.com" ascii wide         $justpaste = "justpaste.it" wide         $ip_1 = "api.ipstack.com" wide         $ip_2 = "myexternalip.com" wide         $ip_3 = "ip-api.com" wide         $ip_4 = "api.ipify.com" wide         $vm_1 = "VMware|VIRTUAL|A M I|Xen" wide         $vm_2 = "Microsoft|VMWare|Virtual" wide 
    condition:         uint16be(0) == 0x4D5A and $dotnet and $dropbox and $justpaste and any of ($ip_*) and any of ($vm_*) }


原文始发于微信公众号（威胁棱镜）：TA402 针对中东目标持续发起攻击