响尾蛇（SideWinder）APT组织使用新冠疫情为诱饵的攻击活动分析

响尾蛇（SideWinder）APT组织使用新冠疫情为诱饵的攻击活动分析 – 作者:腾讯电脑管家

一、背景介绍

伴随新冠疫情在全球范围的爆发，疫情的动态资讯成为我们每天必会定接触到的外界信息，在这种大环境下，我们对疫情主题相关的推送信息警惕性会相对变低。而善于浑水摸鱼，披狼皮装羊的APT组织自然不会放过这种增热点的机会，以“新冠疫情”为主题的APT攻击活动从2月份起就持续不断。最近，腾讯安全威胁情报中心就捕获到了一起响尾蛇（SideWinder）APT组织以新冠疫情为主题针对巴基斯坦军方的攻击活动。

响尾蛇（SideWinder）是腾讯安全威胁情报中心最早在2018年披露的APT攻击组织，该组织最早的攻击活动可以追溯到 2012 年。该组织主要针对巴基斯坦、中国大陆的政府、军工、军事目标等进行攻击活动。攻击武器库包括PC端、移动端等。

二、技术分析

本次攻击的诱饵为一个名为Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus.pdf.lnk的快捷方式：

该lnk的基本属性

诱饵的生成时间和其他属性

可以看到攻击者的诱饵生成时间为2019年的6月19日，在vmware虚拟机生成。

执行快捷方式后，会从http://www.d01fa.net/images/D817583E/16364/11542/f2976745/966029e下载hta文件并且执行。

下载回来的hta会对受害设备上的.NET进行版本检测，删除除了V2和V4以外的版本，还通过shell指令指定执行的版本，此外，样本之后释放的的rekeywiz.exe.config配置文件目的与之相同，均为防止不同.NET版本之前出现兼容性问题。

除了对受害设备.NET版本进行版本选择之外，HTA文件还会对设备上的杀软进行检测，随后将之关闭：

之后，会创建一个HTA实例，通过url下载第二个HTA文件并将之执行，同时释放命名为“Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus.pdf”的PDF诱饵文档：

释放的诱饵文档为：

可以看到，诱饵内容跟新冠疫情、巴基斯坦军方相关。

第二个HTA文件其数据解密方式，以及总体框架与第一个HTA文件相同，主要功能是在C:\ProgramData\创建了一个fontFiles文件夹（包含释放的四个文件：Duser.dll、rekeywiz.exe、rekeywiz.exe.config、SOHYXY.tmp），利用rekeywiz.exe白文件加载Duser.dll黑文件。该白加黑的手法也是SideWinder惯用伎俩。其中TMP文件的文件名为随机字符：

Duser.dll为一个加载器，主要目的是对之前释放的SOHYXY.tmp文件进行简单的异或解密，然后进行加载：

解密后的SystemApp.dll文件，是为最终释放的RAT。

该RAT的功能跟之前的类似，包括信息收集、文件上传等。

如对用户信息、设备信息、网卡信息、已安装杀软的信息、磁盘驱动设备信息、设备已安装进程信息等进行窃取、收集：

文件上传途径有两种，对应RAT在配置模块中的两个等待上传的文件列表，C2通过下发指令修改配置模块，实现对所有文件或指定文件的上传。文件上传：

对C2的下发指令进行分析，可得出以下指令集：

命令号	指令含义
1	获取系统信息并写入.sif文件
2	获取文件列表并写入.flc文件
3	获取指定文件并写入.fls文件
4	根据下发数据修改Settings设置
5	修改C2
6	设置文件是否上传的参数
7	设置选定的文件扩展名
8	设置文件的最大尺寸
9	添加文件名到待上传文件的列表
10	返回