透明部落APT组织的木马分析 – 作者:mfc120u-安全小百科

情报链接推特

推特情报大佬公开了透明部落组织的攻击载体，笔者尝试进行下载分析和溯源关联。

该样本主要采用了doc文档的宏进行主要载体的下发和执行。

创建%ALLUSERSPROFILE%\Drmdsia\ 文件夹。

这是存储在窗体中的数据。

根据系统版本，也就是以win8为版本界限进行不同载荷的分发。

获取数据后，遍历数据都转换为byte型。

进行字符拼接添加”xe”，形成exe后缀.进行二进制字节写入,头部刚好为4D5A。

然后运行该exe文件，并带入参数(4)。

进行主页文字的更改，替换成textbox2的值。

MD5	5414e98791d80ce3c0eadda6e00803e0

文件为木马的解压载体，dropper。

运行窗口类：

进行窗口初始化，进行窗口函数的注册，和参数的初始化。

进入到Form1_Load函数中。

首先进行文件解压。

将资源段的数据写入到” @”C:\ProgramData\Inthral\homgbrarn””中，然后进行移动更名为C:\ProgramData\Inthral\ rddlhasa.zip”然后进行解压，执行最终的深红木马。

第二个主要函数通过写入第二个资源数据到”C:\Users\malware\Documents\throvdgrva-12 .jpeg”中执行，不过这个样本中该资源数据为0，可能在之后添加新的载体。

MD5	77e3a20c53338c31259a5ff1a164de0b
创建时间	2020-07-18 19:42:53UTC
PDB	g:\newtimes\hafimus\homgbrarn\homgbrarn\obj\Debug\homgbrarn.pdb

该木马和以前的木马功能架构上存在一致性，根据奇安信的分析报告可以看出相关功能，混淆除了字符串的不同,都是采用split进行字符提取。