Packer ?对抗 ?“透明部落”正在寻求CrimsonRAT的新出路
2022-1-29 17:49:30 Author: www.freebuf.com(查看原文) 阅读量:13 收藏

概述

Transparent Tribe(透明部落),在2016年2月被Proofpoint披露并命名,也被称为ProjectM、C-Major。该APT组织被广泛认为来自南亚地区某国,并且与另一个由Paloalto Unit42团队披露的Gogron Group存在一定的关系。

Transparent Tribe组织的主要目标是针对印度政府、军队或相关组织,以及巴基斯坦的激进分子和民间社会,利用社会工程学进行鱼叉攻击,向目标投递带有VBA的doc、xls文档,执行诱饵文档中的宏代码释放执行CrimsonRAT、PeppyRAT等,窃取相关资料信息。

Transparent Tribe最早可以追溯到2012年,一直以来,这个APT组织都在对印度军方和政府人员进行持续攻击。在2019-2020年,该组织加强了其攻击活动,开始了大规模的感染运动,开发了新工具并增加了对阿富汗的关注。2020年8月以及2021年2月,奇安信威胁情报中心移动安全团队与安全厂商卡巴先后披露了APT组织“透明部落”在移动端的攻击活动【1】

近日,奇安信威胁情报中心红雨滴团队在日常的威胁狩猎中捕获了该组织多个Crimson RAT攻击样本。在此攻击活动中,攻击者使用图片文件图标用作恶意软件图标,诱使目标打开"图片"查看,实则运行恶意软件。当受害者点击执行诱饵文件之后,将会在本地释放并执行一个压缩包,压缩包里面就是Transparent Tribe组织自有的远控软件Crimson RAT。

样本信息

本次捕获的样本主要是由C#编写,并且还对其进行了加壳处理,可能是Crimson RAT特征过于明显,Transparent Tribe组织想提高该攻击样本的存活率,样本基本信息如下:

文件名

photo_2021-09-13_10-33-01.exe

MD5

ec119a74535229b9b126e36b651d4523

文件大小

474112 bytes

创建时间

2021-09-13 05:34:15

Packer(壳)

Confuser(1.X)

C2

45.138.172.222:   {3691,4684,6582,7886,8862}

文件图标

1643447239_61f503c7874baebe4397e.png!small?1643447251004

初始攻击样本会释放图片诱饵和zip压缩包,运行压缩包中的Crimson RAT。释放器和Crimson RAT均通过开源的C#代码保护工具ConfuserEx加壳。诱饵图片如下:

1643447248_61f503d0f3e0cb18d5fc6.png!small?1643447254598

Dropper

释放器photo_2021-09-13_10-33-01.exe经过ConfuserEx加壳保护,无法直接用dnSpy查看代码。

1643447248_61f503d00bcc978d85fd6.png!small?1643447251004

具体的保护版本。

1643447254_61f503d60113d806df99a.png!small?1643447255567

脱壳后可以看到释放器的恶意行为由kxiythevd命名空间中Form1类的Form1_Load方法执行。

1643447255_61f503d747c04ff0b46c6.png!small?1643447255567

首先调用函数UnZwip创建目录” C:\ProgramData\hpsvcdns”,在该目录下释放并启动djuedvjeurj.exe文件。

1643447262_61f503deea55118a74fd4.png!small?1643447263483

释放文件时会先判断Windows系统版本,并从资源类中获取待释放文件数据。实际上无论是什么系统版本,该释放器释放的文件数据都是一样的。

1643447266_61f503e2c6e59d8cac845.png!small?1643447267150

然后释放诱饵图片,诱饵图片的文件数据也从资源类中获取。

1643447270_61f503e6795cd37a589a2.png!small?1643447270826

Crimson RAT

与释放器一样,被释放的exe文件djuedvjeurj.exe也经过ConfuserEx加壳保护,去壳处理后可以发现该样本为透明部落常用的Crimson RAT。

文件名

djuedvjeurj.exe

MD5

dff05c76317bf4dd3daf5bbb38045f0d

文件类型

C# exe

首先是一系列延时操作,然后通过aerggw34gseeg类的Form1_Load方法调用恶意行为的启动函数djuedvjeurjdo_stdart。

1643447293_61f503fd7d1272eb6552a.png!small?1643447298954

并通过Form1_FormClosing方法在注册表中建立持久化。

1643447283_61f503f35e9dc55f51879.png!small?1643447296792

启动函数djuedvjeurjdo_stdart先进行初始化操作,然后设置定时回调函数djuedvjeurjlookupCndix用于连接C2,执行分发指令。

1643447286_61f503f61b9e71301d585.png!small?1643447296792

初始化操作包括配置恶意软件版本信息、获取计算机的用户名和主机名。

1643447291_61f503fb63c437f41ed00.png!small?1643447296792

定时回调函数djuedvjeurjlookupCndix通过djuedvjeurjIPSds方法连接C2,C2的IP由数字经ASCII码转换得到,连接的端口在端口列表中选取。

1643447298_61f50402871a785c2dbf5.png!small?1643447298954

然后通过djuedvjeurjseeRspix方法从C2获取分发的指令并执行。该方法在获取指令后会进行统一指令格式的操作,推测该操作可能源于通信数据中包含的指令字符串会经过变形处理,以绕过检测。接着建立一个指令字符串到指令编码的映射查找表,根据统一格式后的指令字符串查找对应编码,再根据编码执行具体操作。

1643447305_61f50409967347d27c4ea.png!small?1643447306762

整理指令功能如下(指令字符串去掉了“djuedvjeurj-“前缀),指令两两一组,每组指令名称之间只差一个字符”a“,但是执行相同的功能。

指令名称

编码

功能

procl

praocl

0、1

获取当前所有进程信息

getavs
geatavs

2、3

获取当前所有进程信息

thumb
thaumb

4、5

获取指定图片

clping
claping

6、7

更新保存的时间戳

putsrt
puatsrt

8、9

设置注册表实现持久化

filsz
fialsz

10、11

获取指定文件属性信息

rupth
ruapth

12、13

获取RAT的文件路径

dowf
doawf

14、15

下载文件保存到指定路径

endpo
enadpo

16、17

终止指定进程

scrsz

scarsz

18、19

cownar
coawnar

20、21

下载新版本RAT并启动

cscreen
csacreen

22、23

设置截屏参数,截屏并回传

dirs
diars

24、25

获取所有磁盘名称

stops
staops

26、27

停止截图

scren
scaren

28、29

开始截图,截屏并回传

cnls
cnals

30、31

设置操作标志位

udlt
udalt

32、33

删除用户,关闭与C2的连接

delt
dealt

34、35

删除指定文件

afile
afaile

36、37

检测是否存在指定路径文件,并回传文件内容

listf
liastf

38、39

在指定目录下搜索具有指定扩展名的文件

file
fiale

40、41

获取指定文件内容

info
inafo

42、43

获取感染主机相关信息和RAT版本信息

runf
ruanf

44、45

执行指定路径的文件

fles
flaes

46、47

枚举指定目录下的文件

dowr
doawr

48、49

下载文件保存到指定路径

fldr
fladr

50、51

枚举指定目录下可访问的子目录

关联分析

通过对同类型的样本进行溯源关联分析,我们从样本库中关联出一例与此次攻击类似的样本,使用word文档图标进行伪装,释放的诱饵为空的word文件,相关样本信息如下:

文件名

Imp message.exe

MD5

c2c1313dc5fed7dab91f8e972d448c1e

文件大小

425984 bytes

创建时间

2022-01-26 18:41:37

C2

96.47.234.102:5898

文件图标

1643447313_61f5041141cc39d340364.png!small?1643447313511

该样本的上传地为印度新德里,新德里是印度的联邦政府所在地,也是印度首都德里市的一个区,是印度的政治、经济和文化中心,由此可见Transparent Tribe组织的攻击意图旨在对印度进行情报刺探或信息获取。

1643447318_61f50416b3788f3be5365.png!small?1643447319050

通过对该样本就行分析,我们发现与上述样本不同的是,该样本的Crimson RAT不是内嵌在诱饵文件中的,而是通过C2进行下载。

1643447332_61f504241b2a04c93f0a9.png!small?1643447351839

下载回来的Crimson RAT时间戳为2022年1月23日,由于后续C2还会下发远控指令,因此判断该时间戳被更改的可能性较小,为Transparent Tribe组织最新的攻击样本。

使用的ip为96.47.234.102,包含5898、8796、12961、20886、22668这5个端口。

1643447338_61f5042a68b5f8a713ae5.png!small?1643447351838

其远控功能也与上述样本基本一致,仅指令做了更改,但指令格式依旧没有变更。

1643447342_61f5042e161f66dbc29d7.png!small?1643447351838

总结

APT组织攻击一直以来对于国家和企业来说都是一个巨大的网络安全威胁,通常由某些人员精心策划,针对特定的目标。出于商业或政治动机,针对特定组织或国家,并要求在长时间内保持高隐蔽性。由于印度和巴基斯坦地理位置以及历史原因,半个多世纪以来,两国关系一直较为紧张。双方武装冲突几乎从未中断,而网络被认为是政治的延伸领域,两国之间的网络冲突也异常激烈。

虽然本次捕获的样本仅涉及南亚地区,但是我们要防患于未然。因此,奇安信红雨滴团队在此提醒广大用户,切勿打开社交媒体分享的来历不明的链接,不点击执行未知来源的邮件附件,不运行夸张标题的未知文件,不安装非正规途径来源的APP。做到及时备份重要文件,更新安装补丁。

若需运行,安装来历不明的应用,可先通过奇安信威胁情报文件深度分析平台(https://sandbox.ti.qianxin.com/sandbox/page)进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前,基于奇安信威胁情报中心的威胁情报数据的全线产品,包括奇安信威胁情报平台(TIP)、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等,都已经支持对此类攻击的精确检测。

IOCs

MD5

ec119a74535229b9b126e36b651d4523

c34e375841f6c8c95e5898f105794505

dff05c76317bf4dd3daf5bbb38045f0d

c2c1313dc5fed7dab91f8e972d448c1e

79f60a6b0ba19588e5d6d96b8fff8adf

465b7712cb6108d208b1c90cdc0fee61

IP

45.138.172.222: {3691,4684,6582,7886,8862}

96.47.234.102:{5898,8796,12961,20886,22668}

参考链接

[1] https://ti.qianxin.com/blog/articles/Disclosure-of-recent-mobile-activities-by-TransparentTribe/


文章来源: https://www.freebuf.com/articles/paper/321195.html
如有侵权请联系:admin#unsafe.sh