APT-LY-1007：东欧地区新APT组织针对俄罗斯军队的攻击活动分析

      近日，安恒猎影实验室发现了一起针对俄罗斯军事部队的攻击活动，活动使用的恶意文档以俄罗斯联邦武装部队电子部队的专业假期——“电子战专家日”为主题引诱目标点击并运行。

      对活动进行关联分析及归因研判后，我们发现来自同一威胁组织（猎影实验室内部追踪代号为“APT-LY-1007”）的攻击样本最早活跃于2022年8月。

     除俄罗斯国防部外，该组织还针对俄罗斯铁路部门。相关恶意文档以“推迟征召俄罗斯联邦武装部队的命令”、 “俄罗斯铁路股份公司免除义务征召通知”为话题下发，后续释放远控木马以窃取目标机密信息。

注：图片来源俄罗斯网络社交论坛

对军事电子战部队的专业节日的介绍

      此次攻击活动的攻击流程大致如下所示：

      整体执行流程如下图所示：

      诱饵文档名为“电子战专家日.docx”，打开后最上方显示为俄罗斯国防部的徽章，下方文字内容为4月15日庆祝电子战专家日的通知，最后署名为俄罗斯联邦国防部武装部队活动信息支持公共委员会主席。

     该文档被打开后将加载远程模板执行宏代码hxxps://http-updater.hs[.]vc/doc/iAt5YrWyTt.dotm

      宏代码运行后首先通过http协议获取远程文件hxxps://od[.]lk/d/MzNfMjQwOTkxMzBf/iAt5YrWyTt，解码后保存到本地%USERPROFILE%AppDataRoamingMicrosoftMsUpdate.cpl

      然后加载另一个远程文件hxxps://http-updater.hs.vc/doc/iAt5YrWyTt.xsl

      iAt5YrWyTt.xsl包含恶意JS代码，通过cmd.exe来运行释放的MsUpdate.cpl

      MsUpdate.cpl为C++编写的远控木马，可以执行多种指令。

      木马首先隐藏当前运行窗口，关闭日志打印功能，并将控制台的代码页设置为0x4E3。代码页0x4E3通常用于表示西里尔字母的字符集，例如俄语、乌克兰语、白俄罗斯语、保加利亚语等。因此攻击者疑似来自东欧地区。

     然后通过枚举进程来查找是否有tcpview，vmmap，debugview等等用来监控程序的进程，若存在则直接退出

      通过WMI查询本机的制造商以及型号信息，看是否包含virtual，vmbox，vmware等字段来判断是否处于虚拟环境

      然后创建“C:UsersusernameAppDataRoamingMicrosoftTsk.xml”。通过安恒云沙箱（https://sandbox.dbappsecurity.com.cn）运行结果，Tsk.xml的内容如下所示

      并且通过进程树信息，捕获到了木马利用xml文件创建计划任务的恶意行为

      完成上述操作后，木马解密出C2“teexgjvvhuab.webhop.me”并通过socket建立连接

      建立连接后接收4字节数据作为指令类型并解析执行：

      主要支持指令如下：

      根据样本特征，安恒猎影实验室关联到了该组织2022年10月的恶意样本，相关样本信息如下：

      两个样本诱饵文档具体内容大致相同，均为俄罗斯铁路股份公司关于技术专家可以申请延期服兵役的通知。

      这两个历史样本与我们近日发现的新的针对俄罗斯国防部的恶意样本攻击流程大致相同，但技术水平存在着明显的更新迭代，主要体现在以下几方面。

      此次捕获的攻击活动及恶意样本具有以下特征：

      通过以上活动及样本特征，我们倾向认为该威胁组织诞生于俄乌网络战时期，主要攻击目的为窃取俄罗斯军事机密，且在半年时间内对攻击武器进行了升级。安恒猎影实验室提醒广大用户朋友，不运行未知来源的邮件附件。猎影实验室将持续对全球APT组织进行持续跟踪，专注发现并披露各类威胁事件。