摩诃草（APT-Q-36）Spyder 下载器新变种及后续组件分析

虽然 Spyder 下载器的核心功能没变，仍是从远程下载的加密 ZIP 包中释放出后续组件并执行，但在代码结构和 C2 通信格式等方面做了一些改动。以下是本次发现的 Spyder 下载器和窃密组件的攻击过程。

相关样本信息如下：

样本 689c91f532482aeff84c029be61f681a 以 Word 文档图标作为伪装，程序带有数字签名。签名者名称为 “Xi’an Qinxuntao Network Technology Co., Ltd.”，签名时间为‎ 2024 ‎年‎ 6 ‎月 ‎4 ‎日 15:21:35 UTC。

新型 Spyder 下载器中的配置数据直接存放在代码中，不像之前的版本将其加密后保存在资源区。

使用 curl 产生对 retail.googleapis.com 和 api.github.com 的网络通信，进行流量伪装。

重新映射多个系统 DLL 的 .text 段，以解除对这些模块设置的挂钩。

样本设置多个只触发一次的计划任务，指向 “%LocalAppdata%zlib1.exe”，并将自身复制为 “%LocalAppdata%zlib1.exe”。

样本与 C2 服务器的通信数据放在 POST 请求首部的自定义字段（该样本为 “boop” ）中，数据为经过 Base64 编码的 JSON 字符串，Base64 编码后还会对部分字符进行替换处理。

样本向 C2 服务器的 “/soup/pencil.php” 发送的 JSON 字符串包含两部分固定的内容，分别是：”xdid”（感染设备的 Machine GUID）和 “about”（样本配置数据中的字符串 “0.0.0.1”，可能是版本号）。

（1）是否收集设备信息；

（2）获取关于后续组件压缩包的信息。

收集设备信息

样本根据第一次请求 C2 服务器 “/soup/pencil.php” 的响应判断是否需要收集设备信息并回传，如果响应为 “1”，则执行信息收集操作，否则跳过该步骤。收集的信息添加为 JSON 字符串中的 jupiter 字段。

下载后续组件

压缩包中的组件解压到 INTERNET_CACHE 目录（即 “C:Users[user_name]AppDataLocalMicrosoftWindowsINetCache”），然后调用 CreateProcessW 执行。

目前观察到通过上述 Spyder 下载器释放的后续组件有两类，均带有与 Spyder 下载器相同的数字签名（”Xi’an Qinxuntao Network Technology Co., Ltd.”），主要功能分别为截屏回传和文件信息窃密。

组件一：截屏

发送的请求数据中仍以设备的 Machine GUID 作 为 uid。

组件二：文件窃密

从资源区释放文件，保存为 INTERNET_CACHE 目录下的 MsEngLU.dll（MD5：c568d613ba74fd6cd5da730f6ce38626）。

最后加载 MsEngLU.dll，调用导出函数 DriveBackup。

MsEngLU.dll 带有数字签名 “GJT AUTOMOTIVE LTD”。

该 DLL 从用户的 Desktop、Documents、Downloads、OneDrive 子目录，以及所有非系统盘的根目录开始递归收集文件信息。

窃密软件关注的文件类型包括文档、压缩包、图片、音频、电子邮件。

文件信息存放在 SQLite 格式的本地数据库 “%APPDATA%MicrosoftWindowsLibrariespolicy.db”中。

最后将数据回传到 “hxxp://93.95.230.16/domcomtwit/hen.php”。

释放该窃密软件的样本（MD5：e19e53371090b6bd0e1d3c33523ad665）同样将其保存为 INTERNET_CACHE 目录下的 MsEngLU.dll 文件，并调用其导出函数 DriveBackup。

689c91f532482aeff84c029be61f681a

887d76e305d1b2ac22a83a1418a9fc57

47b4ed92cfc369dd11861862d377ae26

0dc0816bd46f3fe696ed0a2f1b67cfa8

e8a9b75c5e41f6d4af9f32c11d0057cb

7a177ef0b1ce6f03fa424becfb9d37ac

85d0f615923af8196fa7d08ef1c68b64

e19e53371090b6bd0e1d3c33523ad665

c568d613ba74fd6cd5da730f6ce38626

339ce8f7b5f253f2397fc117f6503f1f

C&C：

onlinecsstutorials.com

l0p1.shop

firebaseupdater.com

93.95.230.16:80

89.147.109.143:80

URL：

hxxp://onlinecsstutorials.com/soup/pencil.php

hxxp://onlinecsstutorials.com/soup/download.php?mname=

hxxp://onlinecsstutorials.com/soup/upsman.php

hxxp://l0p1.shop/ares/pencil.php

hxxp://l0p1.shop/ares/download.php?mname=

hxxp://firebaseupdater.com/gandalf/cane.php

hxxp://firebaseupdater.com/gandalf/download.php?mname=

hxxp://93.95.230.16/domcomtwit/hen.php

hxxp://89.147.109.143/lightway/hex.php

[2].https://ti.qianxin.com/blog/articles/Delivery-of-Remcos-Trojan-by-Mahaccha-Group-APT-Q-36-Leveraging-Spyder-Downloader-CN/