一、团伙背景
2021年7月，Cisco Talos研究人员已将该活动背后的攻击者作为独立组织进行跟踪，并称其为Sidecopy APT组织。报告中披露了该组织多种攻击武器包括CetaRAT、ReverseRAT、MargulasRAT、AllakoreRAT等，以及多款C#插件[1]。
Sidecopy主要以作为电子邮件附件的ZIP压缩包所包含LNK文件或DOC文件分发恶意软件。Sidecopy组织主要对印度国防军和武装部人员进行大量的攻击，对印度政府和军事人员的进行情报收集行动，使用鱼叉钓鱼技术在印度的国防组织和其他政府组织中引诱受害者，或通过感染USB设备来攻击印度和阿富汗的政府和军事组织。
二、事件概述
在此攻击活动中，Sidecopy的感染链与之前的攻击活动保持相对一致，使用恶意LNK文件作为入口点，然后是一个复杂的感染链，涉及多层文件嵌套以传递最终的有效负载。其最终载荷疑似Sidecopy组织新开发的木马，在与C2的通信过程中不断发送’ACK’字符，故此我们暂时将其命名为AckRAT。
三、详细分析
（一）基本信息
在威胁狩猎过程中，我们并未捕获到初始攻击载荷，结合压缩包文件，根据Sidecopy一贯的攻击手法来看，我们猜测初始攻击载荷应该是鱼叉攻击邮件，通过邮件中的附件诱骗受害者点击打开压缩包文件，并且点击其中的lnk文件。
|
文件名 |
Saudi_Delegation.zip |
|
MD5 |
6D724445E65B6407F26A5B0251FDD1E4 |
|
文件大小 |
3989544字节 |
|
文件类型 |
Zip |
解压后包含隐藏文件夹Adobe和诱饵lnk文件，lnk文件名翻译为“沙特代表团”。
对诱饵lnk文件进行分析，其使用系统的mshta.exe访问挂载在印度Ssynergy公司官网下的后续载荷执行。
Ssynergy公司是印度大型制造商和出口商，提供各种化妆品原料、复合材料、营养保健品等，在材料科学领域拥有超过75年的历史，其官网简介中称其客户包含印度总理办公室、印度理工学院等。
我们猜测Sidecopy组织通过漏洞将载荷上传至Ssynergy公司官网，通过正常网站地址来中继后续载荷，以此绕过部分安全软件的监控。其页面挂载的文件为delegation.hta，是Sidecopy惯用的JS脚本。
（二）preBotHta.dll
delegation.hta其主要功能是内存中加载preBotHta.dll，并调用preBotHta.dll中的PinkAgain函数。
PinkAgain函数首先解密JS代码中嵌套的数据，释放诱饵PDF文件以迷惑受害者。
释放的诱饵内容与诱饵lnk文件名相关，内容是沙特阿拉伯医疗代表团访问印度，与印度武装部队医疗官员讨论医疗问题，并且右上角时间是2023年3月17日，这表明攻击活动发生在近期。
随后通过JS脚本传递的杀软信息来决定后续执行方式，但在当前版本中，不管是何种杀软都走同一个分支，解密传递的数据后释放并执行一个可执行文件。
（三）AckRAT
释放的Trex.exe伪装成Trex公司软件。
首先收集当前受害者信息，包括电脑名、用户名、杀软信息、系统版本等。
然后将收集到的信息发送至C2：209.126.81.42，端口为444，并解析C2返回的数据，当C2返回的数据大于1字节时，才会进入远控流程，否则一直循环，而实际调试过程中C2一直返回单字符’y’。
鉴于该RAT常发送’ack’字符串向C2请求数据，我们将其暂时命名为AckRAT，其指令对应的功能如下：
|
指令1 |
指令2 |
功能 |
|
非no |
b |
获取指定路径下的所有文件和文件夹的名称，并将它们发送到指定的网络接收端 |
|
no |
d |
向C2发送三次’ack’后，接收C2返回的数据并写入文件但不执行 |
|
e |
与指令’d’功能一致，区别在于向C2发送三次’ack’后，接收C2返回的数据写入文件并执行 |
|
|
f |
删除指定文件或文件夹 |
|
|
g |
远程shell |
|
|
c |
上传C2指定路径下的文件 |
|
|
a |
发送磁盘信息 |
|
|
z |
结束进程、退出 |
|
|
h |
截屏并发送 |
|
|
i |
结束进程、退出 |
四、溯源关联
并且其中lnk文件均从同一开发者环境中生成。
据此还能狩猎到3月份Sidecopy攻击的所使用的DetaRAT，C2为185.136.161.129，端口是4987，并且其C2指令较老版本相比并未更改。
其次Sidecopy保持从互联网上获取代码丰富自己RAT的风格，根据开源项目在新的DetaRAT中添加抓取浏览器密码的功能。
五、总结
APT组织攻击一直以来对于国家和企业来说都是一个巨大的网络安全威胁，通常由某些人员精心策划，出于商业或政治动机，针对特定组织或国家，并且会在长时间的攻击活动中保持高度的隐蔽性，需时刻提防。
六、防护建议
若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。
目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。
八、IOC
6D724445E65B6407F26A5B0251FDD1E4
D663E977C079D338D47E937F7AFCFBB4
2C65DC705BA503261654AA40484A19E9
42A152594AF53012A3559BD7CDF99056
AC92A32AEE15421AB9E953B1836A691B
E62B5CC773A2240BBFA56B535076905F
C&C
209.126.81.42:444
185.136.161.129:4987
URL
https://ssynergy.in/wp-content/themes/twentytwentythree/assets/fonts/inter/delegation/
https://cornerstonebeverly.org/js/files/docufentososo/doecumentosoneso
https://halterarks.co.uk/img/gallery/misc/files/html5-k/
https://halterarks.co.uk/img/gallery/misc/files/jquery-k/
九、参考链接
[2] https://ti.qianxin.com/blog/articles/Analysis-of-Sidecopy-Group’s-Recent-Attacks-Using-Indian-Ministry-of-Defense-Documents-as-Lures-CN/
[3] https://ti.qianxin.com/blog/articles/Sidecopy-dual-platform-weapon/
点击阅读原文至ALPHA 6.0
即刻助力威胁研判
原文始发于微信公众号（奇安信威胁情报中心）：Sidecopy组织使用新木马对印度展开攻击
