Bitdefender揭露StrongPity APT组织的恶意活动 – 作者:比特梵德中国

主要发现：
— StrongPity APT组织是受Turkey赞助的黑客集团
— 能够从受害者机器的中搜索和提取任何文件或文档，该策略使用预先定义的IP列表有选择地针对土耳其和叙利亚的受害者
— 3层C＆C基础架构，用于跟踪和阻止取证调查
— 使用功能齐全的特洛伊木马流行工具

 

在此期间，我们密切监控了StrongPity APT组织并研究了其基础架构的不同点，我们便能够区分出两种服务器，用于完成两个主要角色：

• 为最初的攻击中使用的感染安装程序，提供的下载服务器
• 用于提取信息并通过命令与受害者互动的命令和控制服务器

 

StrongPity APT组织优选的感染机制是水坑攻击技术。 在这种攻击中，StrongPity APT组织会利用受害者经常访问的某些网站。 对于在野外观察到的情况，StrongPity APT组织能够篡改某些本地化的软件和共享者。
通常，网站访问者在尝试下载时，某些安装程序将从合法服务器重定向到专用下载服务器。 如果发现潜在受害目标用户（他/她的IP地址在其目标范围之内），则服务器将返回该安装程序的被篡改版本。 否则，用户将收到它的原始版本。

提供给目标受害者的恶意安装程序非常有趣。StrongPity APT组织使用经过数字签名（带有自签名证书）的自定义捆绑器/投递器，其中包含恶意组件和原始的合法软件产品。但是，这些初始的dropper变化多端, 它们是立即生成。每个安装程序组件的加密密钥都不同，尽管每个活动的密钥长度通常相同。

在我们的调查过程中，我们能够收集到这些被篡改的安装程序的一些样本。受影响的应用程序分为几类，例如7-zip和WinRAR压缩程序等压缩应用程序，McAfee Security Scan Plus等安全软件，Recuva文件恢复应用程序，TeamViewer等远程连接应用程序，WhatsApp等聊天应用程序或Piriform CCleaner，leverFiles Disk Drill，DAEMON Tools Lite，Glary Utilities或RAR Password Unlocker等，包含各种用户常用的工具和实用程序。

每个初始dropper都有一个编译时间，即创建被篡改的安装程序的确切日期。当我们研究此方面时，我们观察到我们设法检索的所有文件都是在星期一至星期五（正常工作时间）进行编译的。另一个有趣的方面是，这些时间戳记的时间间隔大约为9小时，这是一个工作日的标准。如果我们按9点到下午6点的工作时间计算，则时区将为UTC+ 2。

 

在监视StrongPity APT组织的活动时，我们能够从基础架构中调查几个要点。
下载服务器具有一些有趣的特性。
StrongPity APT组织采取了一些安全措施，以确保仅接受“正确”的连接。
他们使用带有以下帮助消息的帮助程序脚本（自称为“ Debian Stretch Hardening Script”）：

usage: $0 options
Debian Stretch Hardening Script
OPTIONS:
-u Admin User
-p SSH Port
-k SSH Public Key (example : “ssh-rsa AAA...”)
-d Domain Name
-n Knock Ports (example : 10001,10002,10003,10004)
--helpHelp