疑似 Mysterious Elephant 组织利用 CHM 文件攻击南亚多国

CHM 样本带有图片诱饵，结合文件名称中的 “.pdf.chm” 双扩展名伪装为 PDF 文件，诱饵内容与巴基斯坦、孟加拉国、缅甸等南亚多国有关，涉及政府机构、军事、外交、经济等行业。在样本关联过程中，我们还发现攻击者模仿红队手法制作的钓鱼样本，诱饵内容表明攻击对象为巴基斯坦国防军事部门。

CHM 执行的外部文件实际是用 C# 编写的后门，后门代码与一篇披露 Bitter 组织攻击武器库的报告^[4]涉及的恶意样本相似。这篇报告提到的用于存放攻击武器的服务器（libraofficeonline[.]com）也与 Mysterious Elephant 有关，上面托管的一些攻击武器正是已披露的 Mysterious Elephant 恶意软件^[5]（包括 ORPCBackdoor、WalkerShell、DemoTrySpy 等）。

由于南亚地区 APT 组织之间错综复杂的联系和多方安全研究人员不同的追踪视野，目前业界对于是否将 Mysterious Elephant 和 Bitter 区分开来还没有达成一致意见。为避免引入更多分歧，本文基于恶意样本相似性认为这些特殊的 CHM 攻击样本和 C# 后门很可能来自 Mysterious Elephant 组织。

部分诱饵图片如下所示：

相关的 C# 后门信息如下：

根据已披露的样本^{[8, 9]}，攻击者通过加密压缩包的方式投递钓鱼样本。CHM 文件和 C# 后门均存在于压缩包中，但 C# 后门设置了文件隐藏属性，导致解压后受害者只能看到 CHM 文件。即使有些具备安全意识的受害者会用杀毒软件扫描 CHM 文件，但由于 CHM 文件本身不携带太多的恶意脚本，很可能被判定为安全，进而使受害者直接打开诱饵 CHM 文件，启动隐藏的 C# 后门。

C# 后门采用 Task 异步编程，其中一部分经过 ConfuserEx 加壳处理。功能较为简单，主要执行 C2 服务器下发的 cmd 命令，个别后门还支持其他攻击指令。

获取C2

C# 后门获取 C2 服务器信息的方式各有不同，包括如下几种。

（1）C2 服务器信息直接硬编码在代码中。

（2）从配置文件中解密。

比如 00f2df1829893caa85f3968961b6e736 和 316e8d798f7db625c207532e2f7a5d38 均是读取同目录下的 SysConfig.enc 文件，再用 AES 解密得到 C2 服务器的信息。

（3）伪装为看似合法的网络服务访问请求，从远程服务器响应内容中解析。

以 a3a06d50438681fc9917e22c41bd2cab 为例，GetIpInfo 函数请求 “hxxp://easyiplookup.com:5080/main/get_ip_data?userId=zqlCYqgp4f&ip=8.8.8.8”

从响应内容的 RequestId 字段提取内容，base64 解码得到 C2 信息 “91.132.92.231:5959”。除了 5959 端口，同一 IP（91.132.92.231）的 6060 端口也被发现作为 C2 信息传递给 C# 后门。通过这种方式，攻击者可以灵活地更改后门实际连接的 C2 服务器 IP 地址和端口。

easyiplookup.com 域名的 80 端口看起来运行着 IP 查询服务，网站脚本 custom.js 调用 fetchIpInfo 函数从 ip-api.com 获取访问者的 IP 信息，并显示在页面上。点击网页的 IP 查询按钮 “Lookup” 提交表单后，会访问与后门请求 C2 信息一样的 URL（“hxxp://easyiplookup.com:5080/main/get_ip_data”），表明该网站在攻击者的控制之下。

其他用相同方式获取 C2 信息的 C# 后门有：

winfreecloud.net 和 easyiplookup.com 均解析到相同的 IP（151.236.9.75 和 84.32.84.32）。

后门功能

后门连接 C2 服务器后用感染设备的主机名和用户名作为受害者标识信息。

大多数后门的功能只有远程命令执行或者创建 cmd.exe shell，用于攻击者进行后续操作。

部分后门还支持其他 C2 指令。

样本 a59fe2c89b0000a360a8468f2b990c73 支持的 C2 指令如下。

样本 27ac8eb519679530999e786281e9a578 支持的 C2 指令如下。

后门样本 316e8d798f7db625c207532e2f7a5d38 还出现在另一个压缩包中，从配置文件 SysConfig.enc 解密出 C2 信息 46.183.187.42:443。

根据压缩包中一个似乎不会发挥作用的文件 filename.lnk（MD5: ae55cb4988f2f45197132631f5a86632）可以关联到具有类似压缩包目录结构的钓鱼样本。

上述关联样本可分为两类，样本 1~4 以简历文档作为诱饵，后门为 C++ 编写，使用腾讯云服务作为 C2，属于国内红队的攻击样本。

而样本 5 和 6 的诱饵 PDF 内容与巴基斯坦国防军事有关，使用的 C# 后门（MD5：5e7dba4aafb8176ab026e2f4aa3211dd）代码与前面提到的 CHM 文件相关后门一致，连接的 C2 服务器信息也通过 AES 解密从配置文件 “license” 中获取。两个压缩包的配置文件相同，C2 均为 158.255.215.115:443。

基于这些样本在 VT 上的上传时间和压缩包中的文件时间戳，我们认为攻击者在已公开的红队钓鱼样本基础上，模仿制作了针对巴基斯坦的攻击样本。

C# 后门与报告^[4]提到的 libraofficeonline[.]com 服务器上 op 目录托管的恶意样本相似。

以后门 a59fe2c89b0000a360a8468f2b990c73 为例，op 目录中与该样本相似的恶意软件如下表所示，相似之处包括：使用Task异步编程，向 C2 服务器发送机器名和用户名作为受害者标识，使用相似的函数名称和输出信息字符串。

报告^[4]将 libraofficeonline[.]com 归属于 Bitter 组织，而该服务器上托管的恶意软件有一些是其他安全厂商披露的 Mysterious Elephant 组织攻击武器^[5]。

由于 ORPCBackdoor 一开始被认为是 Bitter 组织的新后门，后面一些国内外安全厂商将使用 ORPCBackdoor 的团伙作为新组织 Mysterious Elephant 追踪，这或许是导致上述归因不一致的原因。本文为和以往披露 ORPCBackdoor 攻击活动的开源报告保持一致，避免引入更多分歧，因此认为此次针对南亚多国的 CHM 文件和 C# 后门很可能源自 Mysterious Elephant 组织。

若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

(CHM)

3df2d899d6d8d827adf2d92c91b3b32b

b38aca4f2d80484d5523f1eada9afe76

75ee4f79a3ed4137a918888482ded6a1

8e2377022b80cdc51d2c98bbf0c9d313

2f7ee7c1c75fbfdc1d079fcc6e325d19

19b767974205b66a12a28ccdb69943ed

aeb0b7e40f12ba093ff523fc124383ae

1645f406ab4e0d54e477330473c76664

d0030f5411698bb65f1cd281c5d302bc

232bb5b436c0836370fde34ca7b7138a

f26435785dd856ddb1fbcc682547aab0

68d458d1df36eaf885116a1b6801ab42

(C#后门)

27ac8eb519679530999e786281e9a578

115fb536e981c87873b0f35cb0059d93

4e8e1339f9754d8d2c5f74cb03f44fbb

00f2df1829893caa85f3968961b6e736

a59fe2c89b0000a360a8468f2b990c73

a3a06d50438681fc9917e22c41bd2cab

316e8d798f7db625c207532e2f7a5d38

616b29bd9e20fc032bc54acd5ed8aff0

ee64e70388e422dd9a620c3d18613268

(压缩包)

b28bb7cabfb12e9bc5b87692b065c83a

7728fee377137e83e9bd1c609cc166c0

dad7d9528e9506ebd0524b3ebd89ddf2

162.252.172.67:443

95.156.206.105:443

46.183.187.42:443

158.255.215.115:443

91.132.92.231:5959|6060

162.252.175.131:8246

46.183.186.208:6060

hxxp://easyiplookup.com:5080/main/get_ip_data

hxxp://winfreecloud.net:6396/athena/identification

[2].https://paper.seebug.org/2075/

[3].https://paper.seebug.org/3000/

[4].https://strikeready.com/blog/open-sesame/

[5].https://mp.weixin.qq.com/s/Uf708Khax2rJaUhNo1Mz1Q

[6].https://www.securonix.com/blog/analysis-of-phantomspike-attackers-leveraging-chm-files-to-run-custom-csharp-backdoors-likely-targeting-victims-associated-with-pakistan/

[7].https://x.com/StrikeReadyLabs/status/1834599289391108556

[8].https://x.com/__0XYC__/status/1843593304010813479

[9].https://x.com/__0XYC__/status/1800129922054447220