加密货币收割机：Lazarus APT组织近期不断攻击加密货币行业

     该组织的攻击具有明显的周期性，上半年的攻击周期分别为二月初至三月初，3月中旬至四月初，7月末至今。而这三个周期，正好对应了上半年以太坊的三个较长时间的上涨周期（以太坊数据来源于币安）。

     该组织近日还攻击了区块链公司debridge：

     该组织通常采用钓鱼邮件的方式传播，通过邮件附件或链接的方式，诱导用户下载恶意压缩包，并执行压缩包中的恶意文件。

     压缩包分为三种情况：

      攻击流程如图所示：

     钓鱼邮件如图所示，其中，邮件收件人所在的公司woo.network，是一家加密货币交易公司。邮件末尾的“CoinbaseJobDescription”即为恶意链接。

     下面以样本b94a13586828f8f3474f7b89755f5e7615ff946efd510a4cca350e6e1b4af440为例进行分析。

     该样本文件名为Ledger_Nano_S&X_Security_Patch_Manual.zip，是一个zip压缩包，文件名中的LedgerNano是一款硬件钱包，用于保护加密资产，S和X是其型号：

     该样本伪装成LedgerNano的安全补丁手册，解压后会释放一个伪装成pdf文件的快捷方式文件：

      用户双击该快捷方式后，会执行命令：

     该命令中，使用cmd静默执行expand程序，将msiexec.exe复制到%appdata%pat.exe路径下，然后使用pcalua.exe打开pat.exe，从远程服务器上下载msi文件并执行。

      这个过程中使用了多种逃避检测的技术：

获取到的MSI文件运行后，会执行内嵌的脚本：

     该脚本为该组织典型一阶段脚本，其功能包括：

      该组织样本通常通过钓鱼邮件投递压缩包，并在压缩包中携带载荷。该组织典型的压缩包载荷中，会带有一个无害的诱饵文档，以及一个伪装成txt类型密码文件的恶意lnk载荷，诱饵文档被密码保护，从而诱使受害者打开lnk文件获取密码，并触发后续载荷；初期也有过使用带恶意宏的诱饵文档直接执行恶意载荷的情况；随着技术的迭代，又出现了压缩包中只带有一个lnk文件的情况，该lnk文件会伪装成docx文件、pdf文件等，用户点击后，会从远程服务器上下载诱饵文档打开，同时在后台运行恶意载荷；用于下载诱饵文件的服务器，通常为公共的网盘服务，例如googledrive等；而最近，又出现了lnk下载msi文件，并使用msi文件执行后续载荷的手法，加强了逃避查杀的能力，也即本文的攻击分析部分所分析的手法。

      对比该组织lnk样本中命令的演进情况，我们可以发现，该组织初期通常直接使用mshta程序执行远程服务器上的脚本，其中远程服务器地址通常为一个短链接；但最近该组织的lnk命令有较大改变，从直接调用mshta文件，改为使用cmd程序调用复制且重命名后的mshta文件，远程服务器地址也从短链地址改为了伪装成文件共享平台的域名地址，并且lnk命令中也会加入混淆、通配符、系统白名单程序利用等其他的对抗查杀手法；或者放弃mshta程序，改为本文中所使用的调用msiexec程序下载远程msi并执行。

↓

↓

      对比该组织lnk释放的一阶段js的演进情况，可以发现整体流程变化不大，典型的技术特点都是使用wmi读取进程名称列表并拼接，然后查找一些固定的杀毒软件进程名字；释放用于自启动的lnk文件；解码base64编码的二阶段js并执行等；并且使用拼接字符串的方式进行混淆。最近的一阶段js，增加了一些混淆上的变化，包括会增加一些无意义的变量字符串，以及对base64函数使用AST混淆（基于抽象语法树的混淆）等。Base64解码后的二阶段js，也表现出了同样的混淆特点。

       无意义的字符串：

       基于AST的混淆：

       反混淆后，可以看到是解码base64的函数：

      对此次分析过程中涉及到的部分lnk文件，我们将其关联信息列表如下：

      从表格中，我们可以发现：

      本次分析过程中所涉及到的域名，注册商全部为Porkbun：

     通过这些域名，可以关联到IP地址155.138.219[.]140，多个该组织使用的域名都可关联到该IP地址：

      在分析过程中，我们捕获到了多个被篡改的lnk文件，这些文件被篡改的方式相同，都是在原始样本的起始位置，添加11个字节的0x2D和一个字节的0x0A；这些被篡改的样本也都是由同一个用户上传到VT上的。这种情况通常是有人想要测试杀毒软件对样本的检测方法，这些人可能是一些安全研究人员，但也有可能是攻击者。

      本次分析过程中所涉及到的域名，大部分都已经失活，但有少部分地址仍然可以返回js脚本，但返回的脚本已经无害化，只会生成Password文件，用于将诱饵文件的密码展示给受害者。该脚本使用与恶意载荷相同的手法进行混淆，因此大概率是攻击者进行的修改，其目的可能是防止恶意样本的影响进一步扩大。

     该组织一直都在持续不断的对加密货币相关行业进行攻击。由于其攻击周期与加密货币的价值波动具有明显的相关性，因此当加密货币处于牛市阶段时，我们就需要警惕该组织可能发动的攻击。

      对LNK文件的利用向来都是攻击者的惯用方式。而随着微软可能要禁用Office宏的使用，利用LNK文件来迷惑受害者的攻击手法可能会持续的增长。同时根据HPWolfSecurity最近的一篇报告表明，有多种恶意软件，例如QakBot，IcedID，Bumblebee，NjRAT等，都会使用恶意LNK进行传播，同时也观察到有大量LNK生成器被攻击者所使用。因此，对恶意LNK文件的防范，应该引起我们的重视。

高级威胁研究团队，专注于APT攻击发现、分析、检测、溯源、防御等研究，以及积累了海量的IoC情报数据。