概述

透明部落(Transparent Tribe ),别名APT36,ProjectM,C-Major,据称具有南亚背景，主要针对周边国家政治军事进行定向攻击活动，专属木马为CrimsonRAT。

免费在线沙箱anyrun(app.any.run)对于穷人来说是个发现有趣样本的好地方，其提供了一些标签搜索，且可免费下载样本，十分方便。

近期，在anyrun上搜索透明部落组织专属木马的家族名Crimson,发现了一例有有意思的攻击样本，该样本将图标设置为印度美女，诱导受害者点击查看，当受害者贪图美色点击执行之后，恶意的Crimson远控将被执行起来，并会向受害者展示一张穿衣服的印度美女图片，唉，透明部落怎么点都不透明。

样本分析

样本信息

MD5	2af7237d253756cfd794441637b5b12f
样本来源	https://app.any.run/tasks/b7291124-f573-49ce-81ad-0b5c652764a8/
样本家族	Crimson RAT
样本图标

样本是.net的，dnspy搞一搞

运行后，首先判断系统位数，根据不同的操作系统从对应的地方获取相同的数据

之后将对应的数据释放到C:\ProgramData\Healths\mdhxme.zip，再解压该文件到C:\ProgramData\Healths\idtnwiuras.exe并执行起来

之后再从资源中获取数据写入图片文件，向受害者展示印度美女图片

释放的木马执行后，首先初始化相关配置

木马硬编码端口如下：

之后获取计算机系统名，用户名以及硬编码的“S.A.0.3|idtnwiuras”作为该样本的标识，用于后续与c2通信

获取ip作为c2,尝试连接

从c2获取命令，进入命令分发，执行对应功能

该样本功能齐全，基本具有远控木马所有功能，例如获取进程信息

运行指定文件

截屏并上传

结束指定进程

获取计算机信息

指令对应功能如下

与透明部落的关联

释放执行的马是透明部落独有的木马Crimson RAT

通过公开的一些威胁数据平台搜索其c2: 107.175.1.103,发现已有透明部落相关标识

Ioc

2af7237d253756cfd794441637b5b12f

107.175.1.103:3268

*本文作者：fuckgod，转载请注明来自FreeBuf.COM