南亚地区隐藏的獠牙—响尾蛇组织近期攻击活动简报

    响尾蛇（Sidewinder），又名APT-C-17，奇安信内部追踪编号为APT-Q-39。其攻击活动最早可追溯到2012年，该组织主要针对巴基斯坦、中国、阿富汗、尼泊尔、孟加拉等国家展开攻击，以窃取政府外交机构、国防军事部门、高等教育机构等领域的机密信息为目的，攻击活动具有强烈的政治背景。该组织具备针对Windows与Android双平台的攻击能力。

    该组织主要利用电子邮件鱼叉式网络钓鱼、漏洞利用文档和DLL侧加载技术来逃避检测并提供有针对性的植入。常采用的攻击诱饵类型为：office文档和Ink。其中Ink执行后会由Powershell释放真正的文件并下载执行hta脚本，加载后续恶意文件；Office文档则是该组织最喜欢的攻击诱饵，通过利用已知漏洞（如CVE-2017-11882漏洞）来执行后续活动。该组织也会利用白加黑的方式来加载恶意文件^[1]。

    一直以来响尾蛇组织都是我们的重点关注对象。近期，奇安信威胁情报中心红雨滴团队在日常的威胁狩猎中捕获了该组织多个攻击样本。该类样本使用与巴基斯坦相关的学校或者军队为诱饵进行鱼叉攻击，其攻击技战法(TTP)均使用了DotNetToJScript工具生成JS代码来加载.net程序。在近期的攻击活动中，我们总结了响尾蛇组织的攻击手段特点：

    (1)擅用社会工程学，使用更贴切的诱饵，诱饵甚至来自真实文件；

    (2)多阶段下载，并对后续载荷进行混淆处理；

    (3)使用轻量级远程Shell后门，甚至被曝光后仍继续使用相关C2。

    在发现该攻击活动后，红雨滴团队便第一时间向安全社区进行了预警^[2]，但这好像也导致了响尾蛇组织运营者的警觉，随即便将C2关闭了。

    此次捕获的诱饵文件基本信息如下：

    以巴基斯坦海军相关文件为诱饵，诱饵内容如下：

    Shellcode包含大量花指令，这表明响尾蛇组织逐渐在改进其shellcode，以拖慢分析人员的分析速度。Shellcode主要功能为加载mshtml.dll，调用其中的API RunHTMLApplication 函数，执行经过异或解密的命令。

javascript:eval("sa=ActiveXObject;ab=new sa("Scripting.FileSystemObject");eval(ab.OpenTextFile(ab.GetSpecialFolder(2)+"\\1.a",1).ReadAll());window.close()")

    释放的1.a文件其基本信息如下。

    1.a文件应该是由开源工具DotNetToJScript修改后生成，字符串通过多层嵌套的转换函数进行混淆处理，还将内嵌的PE文件分成了两个部分，前部分做混淆处理，后部分使用BASE64进行编码。

    后续的一些远程模板文件与前述分析基本一致，据此我们分析为响尾蛇组织近期组织的攻击活动，远程模板文件信息如下：

    此外，在后续的线索梳理中，我们还发现了响尾蛇组织另外的攻击组件，截止完稿时，下发攻击组件的C2仍然活跃。由于该组件已被友商分析过，我们只做简要披露，不具体进行分析。

    攻击组件具体信息如下：

    该攻击组件实际功能为downloader，同样是下载解密DotNetToJScript工具生成的JS代码回来执行。不同的是由于在win10系统中，微软引入了AMSI，并将基于DotNetToJScript的脚本特征加入到检测序列之中，导致如果不做绕过处理，直接运行通过DotNetToJScript生成的脚本，便会被系统直接拦截。于是响尾蛇组织在攻击组件中注册DLL通知回调，挂钩”AmsiScanBuffer”函数，从而绕过检测。

    一直以来，响尾蛇组织都擅用社会工程学进行攻击，特别是运用专门的文件窃取器，在受害者网络环境中窃取重要资料。而窃取的资料除了造成泄密外，还可用于制作新诱饵，并且在其攻击活动中，伪装的C2域名也配套出现，具有很强的迷惑性。

    奇安信红雨滴团队在此提醒广大用户，切勿打开社交媒体分享的来历不明的链接，不点击执行未知来源的邮件附件，不运行夸张标题的未知文件，不安装非正规途径来源的APP。做到及时备份重要文件，更新安装补丁。

    若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信天狗漏洞攻击防护系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

MD5

666B2B178CE52E30BE9E69DE93CC60A9

03940342FA0CCD5F3C40DA659776FD56

749A2FC5A803A5B58C2023B9D8C2B686

8934F22ED2D4390F2E6170E4CFDBD483

619885D19F4FB97E79227D61E085498E

36D40B74ACBA4C051EDC140159025AC4

3B853AE547346BEFE5F3D06290635CF6

619885D19F4FB97E79227D61E085498E

356F30BA570428A6D0896E3960DE8B70

DE4438081659A1EF086B8F060CD1C733

41E72581C919A8BC5C80B6D43F2A72B0

5D9FF132811DC200EEF3ED7860CA6251

12A69185E72B8298AE1613E9DC5DC822

AED57E12F7DD03911F48AE87413283A6

C5CF7EEDA09C88CE5415CF8FF9AF9846

URL

https://pnwc.bol-north.com/5808/1/3686/2/0/0/0/m/files-a2e589d2/file.rtf

https://pnwc.bol-north.com/5808/1/3686/3/1/1/1857934116/rFkgii1xhFzMXDgsnuPZNZc2azrtb5cpeN4bQzwX/files-f9da4b04/1/

https://pnwc.bol-north.com/5808/1/3686/3/1/1/1857177634/AxRXAaDisLX12wCdCYmCVIaTQnRk0pN3aa4eAgGn/files-9183e1c1/1/

https://paknavy-gov-pk.downld.net/14578/1/6277/2/0/0/0/m/files-75dc2b1e/file.rtf

https://paknavy-gov-pk.downld.net/14578/1/6277/3/1/1/1856303893/Fra9anCDjiaq12rCbUAhXveAk5kMltaItuPZDQRd/files-1f77d26e/1/

https://kito.countpro.info/JRUrthNk4U0Sa2YvQINfAABFBYB6QaikVRdwIa5G/29234/15853/abe617e3/resources/frAQBc8W/true

https://preag.info/JRUrthNk4U0Sa2YvQINfAABFBYB6QaikVRdwIa5G/29234/15853/abe617e3/resources/frAQBc8W/true

https://ongrep.xyz/3WBl977bWhSm4lBs7BOZv2sFGxtX25pam2yoQt5I/1713/1079/1186f965/resources/frAQBc8W/true

https://dolper.top/6FnCr8UOSOWvbObM6sv5O1cUxUCExk8iq8vBi3dV/420/100/79933470/resources/frAQBc8W/true

C2

kito.countpro.info

preag.info

dolper.top

ongrep.xyz

[1] https://ti.qianxin.com/apt/detail/5b2c7065596a10000e5f56ec?name=Sidewinder&type=map

[2] https://twitter.com/RedDrip7/status/1598252489866121216