谍影幽幽，无处遁形 | “幽谍犬”团伙伪装税务服务平台进行钓鱼窃密

近期，安恒信息猎影实验室在日常监测中发现多起以“税务”、“发票”为主题的攻击活动，主要通过伪装为“国家税务总局增值税电子发票公共服务平台”等钓鱼网站或通过社交媒体等方式下发Gh0st远控木马。

“幽谍犬”疑似通过钓鱼邮件或社交媒体方式传播虚假的发票下载网站，并诱导下载恶意文件。如观察到的部分钓鱼网站如下：

钓鱼网站伪装为“国家税务总局增值税电子发票公共服务平台”

并诱导用户点击按钮从链接

“8.218.194[.]9/Gmail/1928117.exe”下载虚假的发票。

此外，我们通过这个网站的变化发现该团伙活动的痕迹，团伙正在不断更新“开票日期”和木马文件，说明该团伙在持续活跃。

在关联分析中，部分样本上传文件名中包含“wx_file”字符，因此推测，幽谍犬团伙可能还通过微信途径传播木马。

示例样本信息如下：

样本运行首先以回连ip和端口为名称创建互斥量“8.218.194[.]9:1150”

随后连接服务器向服务器发送字符串“GETSERVER2.0”

接收来自服务器的数据，并将数据作为shellcode执行。

通过安恒云沙箱能够快速获取流量包信息：

shellcode通过反射式dll注入加载了恶意库。经分析发现，该程序为魔改的Gh0st远控木马。最终与shellcode起始地址为参数，执行库文件的“run”函数。

run函数运行首先输出大量调试信息。

以“Global”+启动命令行为名称创建互斥量：

将自身复制到 “C:\Program Files\Google\google.exe”，然后将该程序添加到run注册表键。

检查杀毒软件进程，并进行关闭：

判断文件启动命令行中是否包含“-Puppet”，实际为检查是否为第一次启动文件，如果包含，则进入恶意软件模块，否则通过远程shellcode注入启动进程explorer.exe，启动参数为“-Puppet”。

通过explorer.exe启动后将与C2服务器建立连接

连接成功后将收集系统信息并回传至服务器，收集的信息包括主机名、通过访问“hxxp://whois.pconline[.]com.cn/jsFunction.jsp”获取的主机地理位置、CPU信息、用户分组信息。

收集用户信息后，程序进入主功能模块

主要命令和功能如下：

根据ip8.218.194[.]9关联和下载器代码特征，我们捕获幽谍犬团伙大量的样本和服务器地址。根据样本上传文件名的主题，例出如下几类样本：

（1）税务新规类

（2）伪装软件类

（3）系统软件类

“税务”、“发票”、“薪资”等与金钱相关的词汇是网络犯罪团伙频繁使用的主题，安恒信息再次提醒广大用户，在收到此类主题的文件或链接，请提高警惕，必要时上传至安恒云沙箱进行后续判断。

安恒信息猎影实验室提醒广大用户朋友，不运行未知来源的邮件附件。猎影实验室将持续对全球APT组织和团伙进行持续跟踪，专注发现并披露各类威胁事件。

目前安全数据部已具备相关威胁检测能力，对应产品已完成IoC情报的集成。

安恒信息产品已集成能力：

针对该事件中的最新IoC情报，以下产品的版本可自动完成更新，若无法自动更新则请联系技术人员手动更新：

（1）AiLPHA分析平台V5.0.0及以上版本

（2）AiNTA设备V1.2.2及以上版本

（3）AXDR平台V2.0.3及以上版本

（4）APT设备V2.0.67及以上版本

（5）EDR产品V2.0.17及以上版本

安恒云沙盒已集成了该事件中的样本特征。用户可通过云沙盒：https://sandbox.dbappsecurity.com.cn，对可疑文件进行免费分析，并下载分析报告。