红雨滴云沙箱：破解“压缩包+LNK”障眼法

红雨滴云沙箱近期捕获的与演习相关的恶意样本包括：“**跳动-刘**.zip”，“***保险Java资深研发工程师招聘需求.pdf.exe”等。其中“**跳动-刘**.zip”通过诱使受害者点击压缩包中伪装成简历文档的LNK文件触发放置在解压文件夹其他位置的木马程序，攻击方隐藏木马程序没有采用常见的设置文件隐藏属性这一方式，而是使用带有特殊名称且多层嵌套的文件夹。

通过访问红雨滴云沙箱入口（https://sandbox.ti.qianxin.com/）使用沙箱进行辅助分析。

红雨滴云沙箱分析入口

在上传待分析文件后，可以手动设置沙箱分析参数：分析环境（操作系统）、分析时长等。由于红雨滴云沙箱针对各类样本已经进行了智能化判定，所以基本上以默认方式提交检测即可。点击“开始分析”按钮后，会自动跳转到对应样本的分析检测结果页面。稍等数分钟则可以看到整个样本的详细分析报告。

上传分析完成后，通过概要信息可看到该样本的基本信息：包括hash、文件类型、签名等。可见红雨滴云沙箱基于智能的恶意行为综合判断已经识别出文件可疑并给出了10分的恶意评分，并且红雨滴云沙箱的RAS引擎准确识别出了样本中包含的攻击技术和相关特性：携带LNK文件的Zip压缩包。

点击右侧导航栏的深度解析功能，在流文件信息部分展示了压缩包中包含的文件，这些文件的详细信息默认全部展开，可以点击右上角的“全部收起”显示概要信息。根据文件列表，压缩包中有一个以文档命名的LNK文件、一份Word文档以及放置在多层“.__MACOS__”目录（仿照macOS系统的文件夹名称）下的可执行文件。

在主机行为功能的进程信息中，可以看到LNK文件在运行后会启动压缩包中的可执行文件aps.exe。

主机行为功能的行为分析图显示，aps.exe会执行一些异常行为，并发起网络通信。

网络行为的信息表明该样本使用了域前置手法隐藏真实C2服务器。域名events02.huawei[.]com经过CDN加速，通信IP实际为CDN服务器的IP之一，而攻击者使用Host字段填入的updated.microsoft[.]com进行网络流量转发。

经过沙箱辅助分析，解读分析报告后，我们对该样本的整体行为有了初步了解：该样本通过诱使受害者点击Zip压缩包中的LNK文件，进而启动位于压缩包其他位置的木马程序，并通过域前置手法进行网络流量伪装和对真正C2服务器的隐藏。

得到相关网络行为信息后，我们可以利用云沙箱高级搜索功能对样本进行关联分析。红雨滴云沙箱提供有强大的IOC信息关联查询功能（红雨滴云沙箱高级搜索也提供了相同的功能入口），云沙箱报告的多个元素都支持TI及关联查询的功能。比如，在沙箱报告解析域名和会话IP的右侧，便有TI查询和关联查询两种查询功能按钮。

通过点击解析域名信息右侧的对角圆圈图标（关联查询）可以直接得到访问相同域名的样本列表。

可以看到关联样本中还包括了多个以“采购需求”“采购计划”为诱饵的攻击样本。

f251ed6259557518dd18b3c28d686b25

2e11614ce5942cc389ae657cde963196

00ed693ee39421103ac4a3aabe39b92b

域名:

events02.huawei.com（正常域名，用于CDN隐藏通信）

cdn.bbq778.live

service-q07ntsqs-1301775575.gz.apigw.tencentcs.com （云服务）

威胁情报中心红雨滴云沙箱在两年多以前即被威胁分析厂商VirusTotal集成：https://blog.virustotal.com/2020/02/virustotal-multisandbox-qianxin-reddrip.html

 红雨滴云沙箱已集成VirusTotal

并且，红雨滴云沙箱也是VirusTotal中对恶意样本行为检出率最高的沙箱产品之一，部分高危样本可以通过点击BEHAVIOR选项卡查看到VirusTotal-红雨滴云沙箱的分析报告^[1]。

[2].https//sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AYnknrvxCf0-QUp-8tbS

[3].https//sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AYnkptgm9kNObtGx13J2

[4].https//sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AYnkSopo9kNObtGx12-O