透明部落”利用走私情报相关诱饵针对印度的攻击活动分析

背景

Transparent Tribe(透明部落),在2016年2月被Proofpoint披露并命名,也被称为ProjectM、C-Major、APT36。该APT组织被广泛认为来自南亚地区某国,并且与另一个由Paloalto Unit42团队披露的Gogron Group存在一定的关系。

Transparent Tribe组织长期针对周边国家和地区的政府、军队进行定向攻击活动,擅于利用社会工程学进行鱼叉攻击,向目标投递带有VBA的doc、xls文档,执行诱饵文档中的宏代码释放执行CrimsonRAT、PeppyRAT等,窃取目标的相关资料信息。

Transparent Tribe最早活动可以追溯到2012年,一直以来,这个APT组织都在对印度军方和政府人员进行持续攻击。在2019-2020年,该组织加强了其攻击活动,开始了大规模的感染运动,开发了新工具并增加了对阿富汗的关注。2020年8月以及2021年2月,奇安信病毒响应中心移动安全团队与安全厂商卡巴先后披露了APT组织“透明部落”在移动端的攻击活动【1】。在过去的几年中,Transparent Tribe组织十分勤劳,不断的更改其初始进入机制并使用新的定制恶意软件,这表明其正在积极多样化的组合攻击方式以危害更多受害者。

概述

Transparent Tribe组织一直以来都是我们的重点关注对象。近期,奇安信威胁情报中心红雨滴团队在日常的威胁狩猎中捕获了该组织多个Crimson RAT攻击样本。在此攻击活动中,攻击者使用恶意宏文件进行鱼叉攻击,当受害者点击执行诱饵文件之后,将会在本地释放并执行一个恶意程序,恶意程序就是Transparent Tribe组织自有的远控软件Crimson RAT,在后续关联中,我们还发现了Transparent Tribe组织的USBWorm组件。

样本信息

本次捕获的初始攻击样本为xlam文件,诱饵文件名为“走私者及其同伙的详细资料”,样本基本信息如下:

文件名 Details of Smuggler & their Assocaites  ftr.xlam
MD5 4EB0D5DC174A8D3643D60AD2047A20A7
文件大小 264986 bytes
样本上传地 印度 德里

查看其文件属性,可以看见该诱饵文档为近期创建,创建文档的用户名为“MY PC”。

1651733997_627375ed36788c553d9ea.png!small?1651733997516

执行诱饵文件并点击启用宏后,展示的诱饵内容如下:

1651734003_627375f321304782a6404.png!small?1651734003454

其宏代码有密码保护,实际功能为在% ProgramData%目录下创建‘Offise-(当前系统秒数)’的文件夹,并向其中拷贝样本副本,在embeddings目录下释放并执行Crimson RAT,随后在用户的Documents目录下拷贝并打开无害的诱饵文档,相关代码已在下图中注释标出。

1651734008_627375f8759bc5741b104.png!small?1651734008887

Crimson RAT

近几年来,.NET编写的RAT一直被APT 组织作为首选的恶意软件,其能够进行广泛的数据盗窃和监视。其中Transparent Tribe组织的CrimsonRAT更是由 .NET 编写的多功能恶意软件,自2016年被首次发现以来一直在不断的更新。攻击者可以利用它从浏览器中窃取凭据、捕获屏幕截图、收集防病毒软件信息并列出受害者机器上正在运行的进程、驱动器和目录等。本次捕获的Crimson RAT基本信息如下。

文件名 uebslplyr.exe
MD5 22A8FF8EB7AA7E68C634BD7937E3B915
文件类型 C# exe
时间戳 626085A8 (2022/4/21 6:14:00)

考虑上述诱饵文件的创建时间,在结合Crimson RAT的时间戳,其更改时间戳的可能性极小,由此可以判断此次攻击事件为Transparent Tribe组织最新的攻击。

1651734016_6273760039f8d60c9dd2a.png!small?1651734016596

之前我们在《Packer?对抗?“透明部落”正在寻求CrimsonRAT的新出路》【2】一文中曾提过,Crimson RAT使用加壳来对抗分析,而在Crimson RAT中普遍存在一种混淆机制。在函数名中拼接当前Crimson RAT的命名空间名称,并选择性的在功能函数名中随机插入字符来干扰分析。例如在注册表中建立持久化的功能函数,其实际函数名应该为set_run。

1651734028_6273760c6a67b77a9a612.png!small?1651734028683

而定时回调函数实际名称应该为lookup_Dns,其功能为连接C2,执行分发指令。

1651734034_62737612551dbc889cee7.png!small?1651734034720

定时回调函数首先连接C2,C2的IP由数字经ASCII码转换得到,连接的端口在端口列表中选取。

1651734039_62737617d5bff6345f6fd.png!small?1651734040199

然后通过uebslplyrseueRisp方法从C2获取分发的指令并执行。该方法在获取指令后会进行统一指令格式的操作,推测该操作可能源于通信数据中包含的指令字符串会经过变形处理,以绕过检测。

1651734045_6273761da959fc18a5169.png!small?1651734046316

整理指令功能如下(指令字符串去掉了“uebslplyr-“前缀),指令两两一组,每组指令名称之间只差一个字符”u“,但是执行相同的功能,并且指令中的数字5为统一指令格式时统一插入的。

指令名称 功能
pr5uocl
pr5ocl
获取当前所有进程信息
ge5utarvs
ge5tarvs
获取当前所有进程信息
th5uumb
th5umb
获取指定图片
pu5utsrt
pu5tsrt
设置注册表实现持久化
sc5ursz
sc5rsz
获取C2指定要截取屏幕的大小
cs5ucrsn
cs5crsn
设置截屏参数,截屏并回传
di5urs
di5rs
获取所有磁盘名称
fi5ulsz
fi5lsz
获取指定文件属性信息
ru5upth

ru5pth

获取RAT的文件路径
en5udpo
en5dpo
终止指定进程
de5ult
de5lt
删除指定文件
af5uile
af5ile
检测是否存在指定路径文件,并回传文件内容
li5ustf
li5stf
在指定目录下搜索具有指定扩展名的文件
st5uops
st5ops
停止截图
sc5uren
sc5ren
开始截图,截屏并回传
cn5uls
cn5ls
设置操作标志位
ud5ult
ud5lt
删除用户,关闭与C2的连接
fi5ule
fi5le
获取指定文件内容
in5ufo
in5fo
获取感染主机相关信息和RAT版本信息
ru5unf
ru5nf
执行指定路径的文件
fl5ues
fl5es
枚举指定目录下的文件
do5uwr
do5wr
do5uwf
do5wf
下载文件保存到指定路径
fl5udr
fl5dr
枚举指定目录下可访问的子目录

关联分析

通过对同类型的样本进行溯源关联分析,我们从样本库中关联出另一例Transparent Tribe近期的USBWorm攻击样本,使用文件夹图标进行伪装,相关样本信息如下:

文件名 ravgdvirbs.exe
MD5 EDA714CB2DD474BB4607710A6E9BAC61
文件大小 3627010 bytes
创建时间 2022-03-15 22:53:18
C2 104.129.42.102
文件图标 1651734062_6273762e7445b34990f88.png!small?1651734062669

该样本的上传地为印度普纳,可见Transparent Tribe组织持续针对印度,旨在对印度进行情报刺探或信息获取。

1651734069_62737635d7f5cb3cac205.png!small?1651734070138

该样本首先创建%ProgramData%Samsung目录,并在其中释放vmeperform.zip,解压出vmeperform.exe并执行。

1651734098_62737652826a87b55579b.png!small?1651734098983

随后执行感染功能,首先遍历所有驱动器,选取出可移动存储设备,如软盘驱动器或USB闪存驱动器 ,然后在驱动器根目录中创建文件夹‘New Folder’,将目录属性更改为“隐藏”,然后将副本拷贝到其中并命名为‘New Folder.scr’,并且列出USB驱动器中的所有目录。然后,对于每个目录,它使用相同的目录名称在驱动器根目录中创建名为‘New Folder.scr’的副本,这导致所有实际目录都有恶意软件副本。

1651734103_6273765795dce0bd287c4.png!small?1651734104008

后续将窃取存储在设备上的文件,并复制扩展名与预定义列表匹配的文件:感兴趣的文件扩名包括.pdf、.doc、.docx、.xls、.xlsx、.ppt、.pptx、.pps、.ppsx、.txt。

1651734110_6273765e9a8040cb7b1d2.png!small?1651734111009

寻找到待窃取的文件后,它将文件复制到通常命名为“data”的本地目录,并且在%ProgramData%Samsung目录下创建usbflsm文件,并写入被窃取文件的完整路径。

1651734117_627376651b55fae738719.png!small?1651734117610

释放的vmeperform.exe其功能实际为删减版的Crimson RAT,使用的ip为104.129.42.102,包含6278、8891、16862、21584、28184这5个端口。

1651734123_6273766b0e0483944f4ad.png!small?1651734123318

总结

透明部落一直以来持续针对多个目标进行活动。在过去几个月中,我们观察到针对军事和外交目标的广泛行动,使用广泛的基础设施来支持他们的行动并不断改进他们的武器库。该组织持续不断的开发Crimson RAT、USBWorm、基于Pyinstaller打包的EXE等,以执行情报活动和监视敏感目标。

一直以来网络被认为是政治的延伸领域,大国之间的网络冲突也异常激烈,在混乱的局势中,通过网络攻击活动占领情报先机,维护国家安全也显示越发重要。

虽然本次捕获的样本仅涉及南亚地区,但是我们要防患于未然。因此,奇安信红雨滴团队在此提醒广大用户,切勿打开社交媒体分享的来历不明的链接,不点击执行未知来源的邮件附件,不运行夸张标题的未知文件,不安装非正规途径来源的APP。做到及时备份重要文件,更新安装补丁。

IOCs

MD5

4EB0D5DC174A8D3643D60AD2047A20A7

22A8FF8EB7AA7E68C634BD7937E3B915

EDA714CB2DD474BB4607710A6E9BAC61

7A195036865FDBFD31C555FD78EE60C9

EF94D698E4995FED1873F60D3C986BA9

IP

66.63.162.16:{4788,14568,18551,22155,28483}

104.129.42.102:{6278,8891,16862,21584,28184}

参考链接

[1] https://ti.qianxin.com/blog/articles/Disclosure-of-recent-mobile-activities-by-TransparentTribe/

[2] https://ti.qianxin.com/blog/articles/Confuser-packed-weapon-of-TransparentTribe/

本文作者:奇安信威胁情报中心, 转载请注明来自FreeBuf.COM

本文来自投稿,不代表安强科技社区立场,如若转载,请注明出处:https://community.anqiangkj.com/archives/15255

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年5月11日 下午12:19
下一篇 2022年5月11日 下午12:22

相关推荐