南亚APT组织“透明部落”借新冠肺炎针对周边国家和地区的攻击活动分析

概述

自新型冠状病毒爆发以来，奇安信红雨滴团队便第一时间建立了疫情相关网络攻击事件的攻击态势感知系统。并监控到大量以疫情相关信息为诱饵进行的攻击活动，捕获数百起APT、黑产、勒索相关的攻击事件。

而近期，一批利用疫情相关信息进行定向攻击的特殊样本又进入了我们的视野。在其中一个疑似定向攻击的样本中，攻击者构造了与印度电子信息技术部高度相似的域名（http://email[.]gov[.]in[.]maildrive.email /?att=1581914657）进行恶意代码下发。该恶意样本植入了宏代码，一旦受害者被诱导启用宏，样本则会释放执行Crimson RAT远控木马控制受害者机器，并展示疫情相关信息以迷惑受害者。

经关联分析，该样本疑似与南亚来源的APT组织“透明部落”相关。“透明部落”（Transparent Tribe）是一个南亚来源具有政府背景的APT组织，其长期针对周边国家和地区的军队和政府机构实施定向攻击。红雨滴团队在捕获该样本的第一时间便对其进行了披露，以提醒各安全厂商第一时间关注相关的攻击事件。

拓展大量的相关样本

基于红雨滴团队疫情网络攻击事件感知系统和红雨滴APT样本关联系统，我们发现近期该组织针对周边国家和地区投递的大量定向攻击样本。这些样本在利用方式上主要分为带恶意宏的文档和伪装成文档的可执行文件两类。

关联捕获的相关特殊样本如下。

通过伪造印度电子信息技术部域名传播的样本

文件名	Urgent Encl 1.xls
MD5	e074c234858d890502c7bb6905f0716e
利用方式	宏
RAT MD5	e262407a5502fa5607ad3b709a73a2e0
C2	107.175.64.209:6728
文档来源	http://email.gov.in.maildrive.email/?att=1581914657

克什米尔信息相关样本

文件名	Kashmir Projects.xls
MD5	63902ca9d9a24bc52e5deb03846e5546/085b821db833d44ad717f73dd819c29f
利用方式	宏
RAT MD5	E3752C801B5D0246757E9728D217BEB4
C2	5.79.127.138:4586
诱饵	克什米尔地区信息相关

印度政府国防部会议资料相关样本

文件名	NHQ Notice File.xls
MD5	5158c5c17862225a86c8a4f36f054ae2
利用方式	宏
RAT MD5	6D5E033651AE6371B8C8A44B269101B2
C2	142.234.201.80:4488
诱饵信息	印度政府国防部网络安全小组新德里相关会议资料

印度国防部邮服信息相关样本

文件名	All DAs DSPUS.xls
MD5	bce8a8ea8d47951abffeec38fbeeeef1
利用方式	宏
RAT MD5	8a1f4a512fe9edbcc62ba4b1c3e08f0a
C2	167.114.138.12:6828
诱饵信息	印度国防部邮件地址更换相关

印度某公司任命信息相关样本

文件名	2020-21.xls
MD5	e061670462a35bb5f46803394f9ca733
利用方式	宏
RAT MD5	9c52beedf24a763c8551715b7736b032
C2	167.114.138.12:6828
诱饵信息	印度某公司人事任命

印度调查问卷相关样本

文件名	engg_review.doc
MD5	d4de0d1aa8c1d361d9e1c6444e5121f3
利用方式	宏
RAT MD5	c57defdc4133d27f9bc02a340ac35cd2
C2	185.136.163.197:4442
诱饵信息	印度相关的一些问答题

阿富汗安全事件相关样本

部分伪装为文档的可执行文件样本信息如下：

文件名	رکز هماهنگی اوپراتیفی زون جنوب.rar （南区业务协调中心）
MD5	cafffff2f91b5fa5741bd69f2f89a822
利用方式	伪装成文档的可执行文件
RAT MD5	3bcf1bf59b51a170cbf0b8bad518608d
C2	64.188.25.205
诱饵信息	阿富汗境内安全事件相关信息

印度简历相关样本

文件名	Preet cv.exe
MD5	309c16372edcfe697abf7af66cd6a6da
利用方式	伪装成文档的可执行文件
C2	23.254.119.11:3163
诱饵	印度美女简历

文件名	New Preet cv.exe
MD5	284df0208d03af926d1dfc868f0ef474
利用方式	伪装成文档的exe
RAT MD5	888ca13af164c6f514dec5223d319a40
C2	107.150.19.238:3268
诱饵信息	印度相关简历

样本详细分析

插入恶意宏一类的攻击样本分析

关联到的利用宏的恶意文档样本中的宏代码基本一致，以疫情相关样本为例进行分析如下。

文件名	Urgent Encl 1.xls
MD5	e074c234858d890502c7bb6905f0716e

一旦打开该文档，便会弹框提示启用宏：

启用宏后便会展示新型冠状病毒相关信息迷惑受害者：

恶意宏执行后会在%ALLUSERSPROFILE%目录下创建Uahaiws，Edlacar目录：

之后判断操作系统位数，根据位数选择读取数据的位置，包含不同位数可执行文件的压缩包数据存在UserForm1的两个文本框中：

将读取的数据写入到%ALLUSERSPROFILE%Uahaiws\othria.zip，然后将该zip文件加压缩到% ALLUSERSPROFILE%\Edlacar\dhrwarhsav.exe并执行：

释放的可执行文件基本信息如下：

文件名	dhrwarhsav.exe
Md5	e262407a5502fa5607ad3b709a73a2e0
C2	107.175.64.209:6728

执行后，首先进行一些初始化操作：

初始化端口，可用端口如下：

获取计算机机器名，用户名作为木马版本相关的信息：

设置注册表自启动项，实现持久化：

初始化配置结束后，开始与c2通信，获取命令执行：

获取控制命令：

之后进入命令分发，根据命令执行对应功能：

支持的命令如下表所示：

Command	function
dhrwarhsav-procl	枚举进程并打印
dhrwarhsav-getavs	枚举进程并打印
dhrwarhsav-thumb	上传gif图像
dhrwarhsav-clping	刷新运行时间
dhrwarhsav-putsrt	复制木马,设置自启动
dhrwarhsav-filsz	获取文件属性
dhrwarhsav-rupth	返回文件路径
dhrwarhsav-dowf	文件下载
dhrwarhsav-endpo	结束指定进程
dhrwarhsav-scrsz	设置截屏参数
dhrwarhsav-cownar	写入文件并执行
dhrwarhsav-cscreen	屏幕截图
dhrwarhsav-dirs	获取磁盘目录信息
dhrwarhsav-stops	停止截屏
dhrwarhsav-scren	获取屏幕截图
dhrwarhsav-cnls	参数初始化
dhrwarhsav-udlt	用户删除
dhrwarhsav-delt	文件删除
dhrwarhsav-afile	读取文件信息
dhrwarhsav-listf	文件搜索
dhrwarhsav-file	上传文件
dhrwarhsav-info	获取用户信息
dhrwarhsav-runf	文件执行
dhrwarhsav-fles	查找文件
dhrwarhsav-dowr	文件下载
dhrwarhsav-fldr	根据路径列出文件夹

伪装为文档的可执行文件一类样本分析

以关联到的阿富汗地区相关安全事件的伪装为文档的可执行样本为例进行分析如下。

文件名	رکز هماهنگی اوپراتیفی زون جنوب.rar （南区业务协调中心）
MD5	cafffff2f91b5fa5741bd69f2f89a822

该样本以رکز هماهنگی اوپراتیفی زون جنوب（南区业务协调中心）为诱饵，将文件图标设置为word文档图标，诱导受害者执行：

该样本运行流程与恶意宏代码基本一致，可看出出自同一组织之手。首先判断操作系统位数，根据位数读取不同资源：

将获取的资源保存到%ALLUSERSPROFILE% \DIllb\mtdlhsrivan.zip文件中，再解压该zip文件到% ALLUSERSPROFILE% @DIllb\mtdlhsrivan.exe执行：

之后再次从资源中获取一个docx文件保存到”\مرکز هماهنگی اوپراتیفی زون جنوب-1 .docx”中，并打开该文档以迷惑受害者：

展示诱饵文档如下，内容为阿富汗境内的一些安全事件相关信息：

文件名	Mtdlhsrivan.exe
Md5	3bcf1bf59b51a170cbf0b8bad518608d

释放执行的Mtdlhsrivan.exe与上述dhrwarhsav.exe基本一致，是同一家族木马。执行后进行相关配置信息初始化：

通过mdlthsrvainCMD.mdlthsrvainserverIPD()函数进行c2初始化设置：

初始化端口，可用端口如下：

命令功能与上述dhrwarhsav.exe完全相同，不再赘述。

溯源关联

通过对释放的木马，恶意宏等分析，奇安信威胁情报中心判断本次攻击活动的幕后黑手疑似为Transparent Tribe。

1. 释放的木马为Crimson RAT，与之前公开披露的Crimson RAT基本一致，功能完全一致

而Crimson RA是Transparent Tribe独有的远程控制木马：

2. 恶意宏与Transparent Tribe组织之前被披露的样本基本一致，变化很小

3. 奇安信ALPHA威胁分析平台对相关ioc已标注Transparent Tribe

总结

随着新型冠状病毒在全球范围的蔓延，APT组织与黑产团伙借用疫情相关信息的攻击活动将越来越频繁，相关的网络攻击已存在蔓延态势的苗头。奇安信威胁情报中心红雨滴团队将持续关注披露相关攻击活动。同时，奇安信威胁情报中心提醒用户在日常的工作中，切勿随意打开来历不明的邮件附件，不安装未知来源的APP，提高个人网络安全意识。

若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行简单判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC等，都已经支持对此类攻击的精确检测。