云安全
態(tài)勢感知
物聯(lián)網(wǎng)安全
工業(yè)互聯(lián)網(wǎng)安全
安全管理
數(shù)據(jù)安全
網(wǎng)絡(luò)安全
應(yīng)用安全
商用密碼
端點(diǎn)安全
新型智慧城市
開發(fā)安全
云原生安全
網(wǎng)絡(luò)空間靶場
運(yùn)營管理服務(wù)
響尾蛇（SideWinder）在“克什米爾危機(jī)”之后針對中國進(jìn)行攻擊
概要
近日安恒信息獲取到一批定向攻擊的APT樣本，經(jīng)過關(guān)聯(lián)分析發(fā)現(xiàn)這批樣本與具有印度背景的境外APT組織響尾蛇（SideWinder）有關(guān)。該樣本使用“保利國防科技研究中心“內(nèi)容投遞遠(yuǎn)控木馬，是一起針對我國的APT攻擊活動。
?
背景
本次發(fā)現(xiàn)的響尾蛇APT組織樣本投放時間為7月中旬之后，此時間段內(nèi)中印由于“克什米爾危機(jī)“等事件帶來的國界劃分影響，關(guān)系再次開始緊張。我們結(jié)合該組織的印度背景，可以確定在“克什米爾危機(jī)“前后，該組織針對我國發(fā)起可能帶有政治意圖的攻擊活動。
本次攻擊誘餌文檔使用保利集團(tuán)相關(guān)內(nèi)容，保利集團(tuán)是國務(wù)院國有資產(chǎn)監(jiān)督管理委員會監(jiān)管的大型國有中央企業(yè)，主要經(jīng)營通用商品和特種裝備及技術(shù)的進(jìn)出口業(yè)務(wù)，先后引進(jìn)了包括黑鷹直升機(jī)，瑞士防空系統(tǒng)等產(chǎn)品，并且出口了大量的防務(wù)裝備。
此樣本生成時間在2019年9月12日，中國和印度軍隊(duì)曾在2019年9月11日左右于靠近班公錯北岸的實(shí)際控制線一帶發(fā)生對峙。
?
樣本分析
樣本感染流程：
1、誘餌文檔使用CVE-2017-11882執(zhí)行釋放到%temp%路徑下1.a腳本；
2、1.a腳本拷貝白文件write.exe和惡意的PROPSYS.dll，以及加密后的惡意程序主體到“C:\ProgramData\AuthyFiles“路徑并設(shè)置“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run”自啟動注冊表項(xiàng)；
3、write.exe是win7系統(tǒng)白文件，啟動后會加載PROPSYS.dll惡意DLL，此DLL會解密同目錄下“.tmp“結(jié)尾的文件，解密后是木馬本體，開始執(zhí)行木馬本體。
?
誘餌文檔分析
誘餌信息為“保利國防科技研究中心“的中文文件：
利用漏洞CVE-2017-11882加載嵌入的JS腳本：
腳本階段
腳本經(jīng)過分析功能為釋放相關(guān)文件到“C:\ProgramData\AuthyFiles”并啟動“write.exe“進(jìn)程，進(jìn)入下一階段的白加黑利用：
白加黑利用階段
write.exe會加載同目錄下的PROPSYS.dll實(shí)現(xiàn)白加黑利用
DLL功能為解密同目錄下的tmp后綴文件并執(zhí)行：
解密手法：
.tmp文件前32字節(jié)為密鑰，后續(xù)字節(jié)通過異或解密，解密后確為一個PE格式文件
最終階段
樣本主體是一個C#竊密木馬，名稱SystemApp.dll，竊密木馬整體流程為加載配置、啟動信息收集和下載執(zhí)行線程、進(jìn)行一次基本信息收集：
系統(tǒng)信息寫入.sif為后綴的文件，文件遍歷結(jié)果寫入.flc為后綴的文件，需要上傳的文件寫入為后綴的.fls文件，如果寫入出錯則會寫入.err為后綴的文件。
下載執(zhí)行線程工作如下：
信息收集上傳線程工作，首先上傳幾個日志/信息文件：
如果需要上傳指定文件則再上傳指定文件：
信息傳輸?shù)募咏饷芊椒ㄍ准雍诶秒A段的PE解密，加密手段：
解密手段：
內(nèi)置硬編碼默認(rèn)CC，也可以從CC端下發(fā)進(jìn)行更改：
