响尾蛇APT组织利用“一带一路”话题，针对相关参会人员发起网络攻击 – 作者:安恒威胁情报中心

01概述

响尾蛇( Sidewinder)为印度背景的APT攻击组织。该组织长期针对中国和巴基斯坦等东南亚国家的政府，能源，军事，矿产等领域进行敏感信息窃取等攻击活动。SideWinder的最早活动可追溯到2012年，被捕获的诱饵文档中包含“巴基斯坦政府经济事务部”等关键字，可见是对特定目标的定向攻击行为。从近几年该组织活动来看也会针对国内特定目标进行攻击，如驻华大使馆，特定部门等。

响尾蛇组织攻击活动较为活跃：

2019年6月~9月左右对我国敏感单位进行的鱼叉式钓鱼邮件 攻击，涉及到的部门包括： 驻华大使、敏感单位。

2020年6月中印边境冲突特殊时期对我国某高校、政府部门及其他 相关单位发起攻击。

2020年7月，借麦加朝圣宗教活动事宜，以“2020年麦加朝圣政策计划”为主题，对巴基斯坦展开攻击。

2020年9月，以波兰与巴基斯坦双边合作和安全政 策为主题发起攻击活动。

2020年10月，又利用巴菲双边协议为诱饵进行攻击活动。

近日，安恒威胁情报中心猎影实验室在日常威胁追踪过程中捕获到一个以“第二届一带一路能源合作伙伴关系论坛参会回执”为内容的恶意Doc文档。通过对样本进行详细分析，我们发现该样本与响尾蛇（Sidewinder）APT组织有极大关联，疑似该组织针对第二届“一带一路”参会单位与相关人员的定点攻击活动。

02样本分析

样本最初由一个Doc文档作为诱饵进行传播。

打开文档后首先通过远程模板注入技术从远程服务器下载带有“CVE-2017-11882”漏洞的rtf文档。

http://brep.cdn-edu[.]net/images/943D1884/45321/2195/9a9b6778/main.file.rtf

文档使用与“一带一路”相关的内容迷惑受害者，以此来减少受害者对该文档的安全警惕。文档内容如下图所示：

Rtf文档会通过“CVE-2017-11882”漏洞执行ShellCode，首先加载执行1.a文件，该文件为js脚本，

js脚本主要功能是内存解密“StInstaller.dll”，反序列化调用“Work”函数，

Work函数主要功能是：拷贝rekeywiz.exe（系统白文件）到指定目录，并将其添加到Run注册表（“AtlasFilesMap1”）自启动，然后在同目录下释放Duser.dll等文件，最后通过创建计划任务（“UpdateService”）来执行rekeywiz.exe用于加载Duser.dll进行白利用。

释放文件如下图所示：

rekeywiz.exe是从系统目录拷贝的白文件，其执行的时候会加载同目录下的Duser.dll，该文件是一个.NET DLL，其主要功能是加载同目录下的.tmp文件，解密获取最终载荷（SystemApp.dll）RAT。

解密算法为：获取.tmp文件前32字节作为key，循环异或解密.tmp文件后续内容。

解密后的SystemApp.dll如下图所示：

在Program类构造函数中首先获取“Default”资源并解密（解密算法与之前一致），配置文件中保存了文件路径以及要收集的文件后缀等信息。

然后创建2个定时器用于执行后续操作。

其中“TreeRestoreAccessorInstance”回调函数主要用于通讯，当与C2服务器连接并获取指令后，会根据指令内容执行不同操作。

内嵌URL地址如下：”https://ms-trace[.]net/202/YEV8r2FYZ0Yq9IYbOZiFUjHiTLOUc8488m2ZF2AN/45321/2195/bf5cccd3″

部分功能如下所示：获取系统详细信息

获取文件列表：

03总结

本次攻击活动样本在手法上较以往并没有太多改变，但是Sidewinder APT组织一直处于活跃状态且近期攻击活动频繁。

猎影实验室提醒广大用户，不要轻易接收来历不明的邮件附件，不要点击可疑的文件。提高自身网络安全意识，减少此类攻击事件发生。

04 IOC

1afb77b2f0ef2e082b37d9ff4b2e7e78

04d981747e4134ac463622317dfb07ea

8536a225e3bd5e205b313b216dc9f0a2

7a3b6f76cd98ce2295cc237617633529

d95db71aa8836201dc8e85ab0d641f03

1bb3715288a68ec61f05f70fa80e5f7a

ms-trace[.]net

brep.cdn-edu[.]net

来源：freebuf.com 2020-12-15 10:14:49 by: 安恒威胁情报中心