金睛安全播报 NO.041

本周安全态势

一、本周高级威胁攻击动态

1、海莲花组织近期活动频繁,但攻击武器万变不离其宗

海莲花(OceanLotus、APT32)是一个具有越南背景的黑客组织。该组织最早被发现于 2012 年 4月攻击中国海事机构、海域建设部门、科研院所和航运企业。主要使用鱼叉和水坑攻击方式,配合社工手段,利用特种木马进行符合越南国家利益的针对性窃密活动。

近日,我们发现了至少两起海莲花组织针对国外的攻击活动,两起活动仍使用Office文档进行攻击,并且其使用的远控后门仍然沿用以往的攻击武器。

1、疑似针对越南地区的攻击活动

(1)载荷分析

第一起活动疑似针对越南地区。投放的恶意文档名为Đơn khiếu nại,文件名为越南语,翻译后中文意思为“投诉”。

该文档实际为一个恶意宏文档,打开后会显示诱惑用户启动宏开关的图片。

通过进入宏代码窗口,发现设置了密码保护。

经过处理,我们获取到了一段混淆较为严重的VBS代码。

经过混淆解密后,可以得到以下VBS代码。

解密后,该脚本会去加载一段新的vbscript脚本。值得一提的是,在获取该段脚本过程中,我们发现存在区域限制问题,即在某些国家和地区无法对其进行下载,最后我们通过某些途径将其获取到。

(2)VBS Loader分析

得到该脚本后,我们发现该段代码也具有强混淆手法。

经过分析发现,原始文件存在3段代码,分别使用了0x35,0x39, 0x35作为异或解密的密钥。

第一段代码如下所示。这段代码新建了一个Excel对象,并修改了注册表中AccessVBOM的值,使脚本可以对宏进行调用执行。

第二段代码为该Excel对象的宏代码,该段宏代码经过了一定的混淆,并使用了0x78来异或加密其中的字符串。并使用CreateProcess来调用rundll32,然后将一段shellcode注入到该进程中,并最终通过CreateRemoteThread加载该段shellcode。

shellcode的前半部分是base64解码程序,后半部分是base64数据。

宏代码中的shellcode内容如下所示。

shellcode的前0x76个字节是一个loader,作用是对后面的数据进行解码并加载。该数据的编码为base64,经过解码后可以得到另一段shellcode,如下所示。

这段shellcode会连接C&C服务器,下载另一段shellcode内容并直接加载。

第三段代码如下所示。这段代码调用了该Excel的Auto_Open函数,并关闭Excel对象,恢复注册表中的AccessVBOM字段。

(3)远控分析

最终的shellcode在下载完成并运行后,首先shellcode头部通过将偏移0x34和0x38处的数据进行异或求得数据的总长度,然后对随后的数据进行异或解密,在全部解密完成后开始执行代码。

解密后得到一个DLL文件,该文件的导出模块名为17f2d8.dll,导出函数名为_ReflectiveLoader@4。

在解密后的数据中,可以发现该后门回连的C&C服务器为:

另外,该样本也在请求中将自己伪造为amazon.com,将传输的数据编码后隐藏在Cookies字段中。

当得到C&C服务器发过来的指令后,该远控便会执行相应的操作,通过统计发现有长达72种指令。

(4)溯源与关联分析

a.Shellcode关联

结合该VBS脚本下载的shellcode的编写技巧,我们通过以往追踪海莲花组织的经验,发现该段shellcode与以往海莲花组织所使用的shellcode手法几乎一致。

b.同源性关联分析

除了shellcode外,从本次攻击中最后释放的远控,与在我们以往披露的海莲花组织报告中(详见《2017网络安全态势观察报告》),无论是回传特征,还是代码结构甚至伪装成amazon的host主机回传信息的行为都几乎一致。

因此可以确认,本次攻击确为海莲花组织发起,并且该组织仍然在沿用以往的武器。

本次攻击中所使用的样本文件名为越南语书写,且标题与商业相关,因此很有可能目标针对越南相关的私营企业。

2、疑似针对柬埔寨地区的攻击活动

第二起活动疑似针对柬埔寨地区。投放的恶意文档名称为“2018 Cambodia Outlook Conference.doc”。

该恶意文档使用CVE-2017-11882漏洞进行攻击。其最终释放的文件为一个名为DsSvcCleanup.cpl的控制面板文件,并使用rundlle32.exe加载。DsSvcCleanup.cpl则为海莲花曾经使用过的Denis后门变种,运行后会通过DNS隧道与C&C服务器进行通信。

关于第二起攻击的更详细分析将在后续播报中进一步完善。

二、本周流行威胁攻击动态

1、恶意宏代码解密Excel特定单元格里的数据传播AgentTesla

最近我们捕获到了一批恶意样本,利用宏代码对Excel特定单元格里的数据进行解密,解密出Powershell脚本,进行下载恶意代码。

宏代码如下:

通过调试宏代码,最关键的函数是下面两个函数:

Public Function W_K(ByVal P_WJN As String)

Dim IT_HRM AsString

Dim A_SC AsLong

For A_SC = 1To Len(P_WJN) Step 2

IT_HRM = IT_HRM& Chr(CLng(Chr(38) & Chr(72) & Mid(P_WJN, A_SC, 2)) - 54)

Next

W_K = IT_HRM

End Function

Public Sub DTE_SE()

Dim P_WJN AsObject: Set P_WJN = VBA.CreateObject(W_K("8D8999A89FA6AA64899E9BA2A2"))

CallByNameP_WJN, "Run",VbMethod, W_K(ThisWorkbook.Sheets("MProp").Range("J225").Value),0, True

End Sub

其中Function W_K函数的功能是实现解码运算,将字符串每两个字符作为一个十六进制数,转换为整形数减去偏移值54后输出对应的Ascii字符。VBA.CreateObject(W_K("8D8999A89FA6AA64899E9BA2A2"))

执行W_K("8D8999A89FA6AA64899E9BA2A2")后解密出字符串:WScript.Shell

再来看下: W_K(ThisWorkbook.Sheets("MProp").Range("J225").Value)这句是要调用xls中的Sheets表名为“MProp“,单元格为”J225“中的数据,我们查找单元格为”J225“,双击后发现超长的数据内容。

对这段数据通过函数Function W_K 解密后得到:

可见,解密出Powershell脚本,去下载exe文件并执行。下载的URL为http://soydengemi.com/Match.com-myphotos/oo.exe。

通过下载该样本oo.exe进行分析 ,发现其是用C#编写的恶意软件Agent Tesla。Agent Tesla通过读取资源数据,解密出核心代码进而执行。Agent Tesla可窃取受害主机隐私信息,包括主机名称,用户名,密码,键盘记录,浏览器/邮件客户端/FTP客户端等的登陆凭证,屏幕截取等等。

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20180609G10TTQ00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券