鑽石舞台

一、攻擊活動分析1.攻擊流程分析

該組織近期攻擊流程大致如下所示：

APT-C-35（肚腦蟲）組織使用PPT或者XLS文檔作為攻擊載體，當受害者打開惡意文檔時，會立即釋放一個壓縮包文件和批處理文件，並創建3個定時任務。其中Tls_SSL計劃任務每隔4分鐘執行批處理文件，批處理文件主要作用是將釋放的壓縮包進行解壓操作，得到惡意可執行文件comd.exe，並刪除Tls_SSL計劃任務。My_Drive計劃任務是定時執行comd.exe，comd.exe負責繼續下載下一階段載荷，同時下載一個批處理腳本作為Pls_SSL計劃任務的啟動項從而啟動下載的載荷，載荷的主要功能為下載遠控模塊mnps.exe，從而實現惡意活動。

2.載荷投遞分析

本輪攻擊過程中，APT-C-35（肚腦蟲）組織使用了大量的惡意PPT及XLS文檔作為載體進行攻擊，下面以某XLS惡意樣本為例，樣本信息如下。

文件名稱

trix.xls

文件大小

2.95 MB

MD5

828174ee0a9f25eaad48957ced66b81d

該文件為攜帶惡意宏的文檔，打開的時候會提示受害者啟用宏，並且宏被加密，受害者查看不到宏信息。

一旦宏代碼執行，首先會彈出消息框，讓用戶誤以為文檔錯誤。該手法在APT-C-35（肚腦蟲）組織中特別常見。

同時，惡意宏代碼在C:\Users\Public\Music目錄下先後下釋comd.zip和pbs.bat文件。

接着創建三個計劃任務，運行指定的文件，以此實現駐留。

其中名為Tls_SSL的計劃任務運行pbs.bat文件，其功能就是解壓comd.zip,並刪除Tls_SSL任務，內容如下所示。

My_Drive任務就是執行解壓後的惡意文件，從而開啟完整攻擊。

3.攻擊組件分析

宏代碼釋放的壓縮包，通過BAT文件解壓得到第一階段的載荷comd.exe信息如下：

文件名稱

comd.exe

文件大小

22.46 KB

MD5

06e0d216969caa0dfd98269a860b153b

該文件帶有數字簽名「maxforsec」，但是該簽名已無效，具體如下圖所示。

comd.exe是個Downloader，主要執行下載功能，執行時首先利用sleep延遲執行來規避沙箱檢測。

然後分別從地址http://blogs.libraryutilitis.live/vrhkdkjrajksrjkaskdoneS/rbjhrkjahsrjejka下載得到pbs PE文件和從地址http://blogs.libraryutilitis.live/nrasjkhrsjkdrhkdfjkB/klrjajlrjklrkljaklrjklasklf下載得到pbs.bat，該批處理文件的功能是將pbs改名為creep.exe並執行，同時又由於pbs.bat是Pls_SSL計劃任務的執行文件，從而以此實現了creep.exe的駐留。

第二階段的creep.exe的信息如下：

文件名稱

creep.exe

文件大小

122.46 KB

MD5

676a10be289cf8978af6cdbdba536678

編譯時間

2022-11-01

最終載荷信息如下：

文件名稱

mnps.exe

文件大小

213.96 KB

MD5

e55d17ba37bfba78dc4cdbd8cca9f36b

編譯時間

2022-10-06

簽名信息與上階段有所不同，簽名信息為「fukuyashi」，如下圖所示。

然後依次解密ServerName和ObjectName分別為「best.tasterschoice.shop」和「/ceioriakgfigalrj/」，並向http://best.tasterschoice.shop/ceioriakgfigalrj/發送請求,通過獲取HTTP請求信息從而獲取不同的指令。

本次捕獲的組件共支持3個指令，指令功能如下：

czr231：

二、技戰法變化惡意載荷之前攻擊過程中主要是通過宏代碼下載得到，本輪攻擊中載荷主要是通過宏代碼從自身釋放壓縮包並解壓得到。中間模塊採用了EXE可執行文件的形式，不再一貫使用DLL作為中間攻擊組件。本次捕獲的樣本和以往樣本除了在命令號不同以外，在解密算法上也進行了部分改變，之前的樣本喜歡將字符串每位相減一個較小數進行解密，本次攻擊中部分載荷也沿用了該方式，但是有些載荷也存在差異，不再是字符串每位減去固定數字，如下圖所示，部分樣本每次循環中字符串有些是減7，有些是減去10。

三、歸屬研判本次捕獲樣本跟前期掌握的攻擊樣本比較相似，都是在%public%下釋放zip文件，並都是使用批處理腳本方式進行解壓執行，而且宏的混淆方式也相當類似，都是使用「*」號將關鍵字符進行分隔。該組織善於通過Downloader程序一步一步進行加載最終載荷，並且喜歡在初始階段就採用了sleep延遲執行的方法，本次攻擊也不例外。並且Downloader程序在解密字符串方式上也是使用每位相減一個較小數的方式進行解密，本次使用減2，以往出現過減3、減6等情形。該組織在文檔中善於使用錯誤信息彈窗，來迷惑用戶，此外CC格式通常也是域名加兩級大小寫字母拼接的目錄格式（如http://blogs.libraryutilitis.live/vrhkdkjrajksrjkaskdoneS/rbjhrkjahsrjejka），本次攻擊也都符合上述特點。綜上，將本輪攻擊歸於APT-C-35（肚腦蟲）組織。

MD5:

c9c77a74e732d8d4b37aab1037e6569a

C&C:

blogs.tourseasons[.]xyz

URL：

http://best.tasterschoice[.]shop/ceioriakgfigalrj/