产品中心
产品中心
基础安全
T-Sec 主机安全
容器安全服务 TCSS
T-Sec Web应用防火墙
T-Sec 云防火墙
T-Sec 安全运营中心
T-Sec iOA零信任安全管理系统
业务安全
T-Sec 天御验证码
T-Sec 天御文本内容安全
T-Sec 天御视频内容安全
T-Sec 全栈式风控引擎
T-Sec 手游安全
T-Sec 小程序安全
T-Sec 应用合规平台
数据安全
T-Sec 堡垒机
T-Sec 数据安全审计
T-Sec 云访问安全代理
T-Sec 凭据管理系统
T-Sec 密钥管理系统
T-Sec 云加密机
T-Sec 数据安全治理中心
安全服务
T-Sec 安全专家服务
一站式等保服务
T-Sec 安全托管服务
渗透测试服务
应急响应服务
重要时期安全保障服务
安全攻防对抗服务
了解全部安全产品→
解决方案
解决方案
通用解决方案
等保合规安全解决方案
直播安全解决方案
数据安全解决方案
品牌保护解决方案
高防云主机安全解决方案
腾讯安心平台解决方案
行业场景方案
游戏安全场景方案
电商安全场景方案
智慧零售场景方案
智慧出行场景方案
安全专项解决方案
勒索病毒专项解决方案
重大保障安全解决方案
NEW
最新动态
威胁研究
合作伙伴
更多
更多
关于我们
腾讯安全介绍
荣誉认证
帮助中心
帮助文档
考试认证
在线课堂
证书查询
联系我们
产品方案咨询
寻求市场合作
友情链接
腾讯云

威胁研究

正文

TransparentTribe APT组织2019年针对印度政府、军事目标的攻击活动报告

2019-03-05 13:02:50

进行2019年以来，腾讯御见威胁情报中心检测到了多起针对印度政府部门、军事目标等的攻击活动，诱饵内容包括"印度空袭分裂主义组织（英译汉）"、"联合国军事观察员（英译汉）"等。经过分析关联确认，攻击组织为TransparentTribe APT组织。

一、报告背景

TransparentTribe APT组织，又称ProjectM、C-Major，是一个来自巴基斯坦的APT攻击组织，主要目标是针对印度政府、军事目标等。该组织的活动最早可以追溯到2012年。该组织的相关活动在2016年3月被proofpoint披露，趋势科技随后也跟进进行了相关活动的披露。

腾讯御见威胁情报中心对该组织进行持续和深入的分析和跟踪，掌握了该组织的相关攻击TTPs（“攻击者的战术，技术和过程”的缩写），并且认为该组织跟另一个由Paloalto Unit42团队披露的Gogron Group也存在一定的关系。

二、攻击活动分析

1、攻击诱饵

该组织的攻击采用鱼叉攻击的方式，诱饵主要有两种类型，xls和doc，诱饵内容跟印度相关，具体如下：

1）

文件hash	7fa6689ec0a8863e5084d30de4b9b252
文件名	UNITED_NATIONS_MILITARY_OBSERVERS____COURSE___UNMOC-19_.xls
文件类型	MS Excel Spreadsheet
文档作者	Cloner
最后修改者	Cloner
最后修改时间	2019:01:07 07:58:00
上传到VT时间	2019/1/30 11:31

其中，CUNPK为联合国维持和平中心，是一个在印度新德里的一个组织，该组织的主要职能是为联合国的相关人员提供服务，如为联合国观察员提供培训服务等。

该诱饵提到的就是在2019年2月的对联合国军事观察员的一个培训的相关内容。

此外，根据该诱饵文件，我们还找到了一个跟该诱饵文件非常相似的文件，包括内容、恶意代码等都一致，仅个别字节有改动：

文件hash	f2260694b2ecb02bf03181e774140f29
文件名	N/A
文件类型	MS Excel Spreadsheet
文档作者	Cloner
最后修改者	Cloner
最后修改时间	2019:01:07 07:58:00
上传到VT时间	2019/2/5 16:26

2）

文件hash	b16d4956f6609104eb93a521b60c6f42
文件名	EoMA_PGA_2019.xls
文件类型	MS Excel Spreadsheet
文档作者	Cloner
最后修改者	Roche
最后修改时间	2019:02:18 07:13:14
上传到VT时间	2019/2/25 11:19

该诱饵主要提到的内容是在2019年印度共和国日，印度总统给印度空军人员办法杰出服务奖和英勇奖的相关内容。

其中IAF为印度空军，因此该报告疑似跟军事目标相关：

3）

文件hash	1b7b5c85fe5b9daf2264b7d5f6b364e9
文件名	contacts.doc
文件类型	MS Word Document
文档作者	swear
最后修改者	swear
最后修改时间	2019:02:03 12:59:00
上传到VT时间	2019/2/7 13:07

该诱饵文档没什么实际的意义，为一堆乱码，攻击背景不详。

4）

文件hash	41b70737fa8dda75d5e95c82699c2e9b
文件名	Exclusive_Pictures__destruction_of_Jaish_Camp_and_dead_bodies_of_terrorists.doc
文件类型	MS Word Document
文档作者	sara123
最后修改者	sara123
最后修改时间	2019/2/28 0:56
上传到VT时间	2019/2/28 4:17:25

该诱饵提到了最新的印度空袭巴基斯坦恐怖组织训练营的事件。

2、宏技术细节

这些攻击诱饵的宏代码基本类似，如下：

宏代码启动后，都会将窗体控件内容进行解密后释放到相关的文件夹中，并解压出可执行文件运行。

但是细节上，doc版本的诱饵文档跟xls版本的诱饵文档，稍微有点差异。

如doc版本的诱饵文档：

Doc文档打开后，首先会调用内置VBA函数ShadrifileLdr,随后将其窗体UserShiForm控件文本内容显示到文档中。

因此未启动宏的时候，显示空白：

然后VBA函数ShadrifileLdr的功能则是解密窗体kashForm控件文本内容，并写入到创建在”ALLUSERSPROFILE”\\Hurmz\rgiwsdasxa.zip压缩文件中，随后在调用内置解压缩函数解压到”ALLUSERSPROFILE”\\Hurmz\rgiwsdasxa.exe并执行。

但xls版本的诱饵文档：

启动宏代码后，VBA函数同样将窗体UsersobiForm控件文本内容释放到%USERPROFILE%\Documents\Hadram.zip文件，并且将Hadram.zip解压到当前目录下Hadram.exe。但是会判断相应的系统版本，来释放不同的内容（以win7和win8&win10做分界线）：

3、恶意文件分析

Doc版本和xls 版本在释放的恶意文件上也有一定的差异。

1） Doc版本释放的恶意文件分析，以诱饵4释放的文件rgiwsdasxa.exe来进行分析：

文件执行后，首先会上传本地机器信息和当前rat信息到服务器，并设置注册表自启动：

随后接受远程指令进行下一步操作，该rat支持超过20多个指令功能，包括截屏，键盘记录，木马跟新，上传文件等功能：

木马会通过内置两个ip和多个端口号进行通讯，如果当前默认无法联通c2服务器则更换另一个ip或者端口号进行通讯：

最终的通信c2为：216.176.190.98。

该RAT最终被确认的RAT家族为CrimsonRAT。

2） Xls版本释放的恶意文件分析，以诱饵1释放的文件Hadram.exe来进行分析：

Hadram.exe实际名为lioeek.exe，lioeek.exe首先会尝试是否能访问google，如果能访问则释放exe到%ALLUSERSPROFILE%\ekeoil\ekeoil.exe并启动，最后结束时创建lnk文件设置注册表自启：

Ekeoil.exe分析：

首先会去访问

https://www.quora.com/If-programming-languages-had-honest-slogans-what-would-they-be，并且查找该html页面中<span>标签是否为”Quora”：

如果存在则会去ping firebasebox.com，如果firebasebox.com存活，则会继续访问C2服务器：

http://firebasebox.com/tootie292/reboshw/c0_nCussi0N.php，并判断返回值是否为”7375636b6d796469636b”：

如果正确则会判断是否存在C:\ProgramData\ekeoil\ekeoil.xml文件并读取xml文件中的username和password，用于与C2服务器通讯。否则通过本地信息已经木马版本号创建username和password并创建xml写入：

随后继续收集本地信息和进程列表带上username和password分别发送给不同url：

如本地机器信息：

如进程列表：

随后进行循环访问c2服务器，根据返回的内容进行上传下载文件，卸载，设置注册表自启等操作：

而最终，会下载执行一个基于python的恶意文件Axess.exe。

Axess.exe分析：

首先检查注册表和自身文件名和路径，如果不正确则设置注册表自启并且在”%appdata%”下创建axess文件夹，并复制自身到该文件夹下并重命名为axess_xxxx.exe，xxxx为1000-9999的随机数。然后重新启动自身：

重新启动后，首先在配置文件中选择服务器地址，判断服务器是否存活。随后创建本地数据库文件”axess.db”，然后创建username和password，并且将username和password发送到服务器。随后对通过配置文件规则对本地进行文件收集：

最后循环访问c2服务器，等待服务器下发的功能指令，等待的过程中会上传收集到的本地文件：

该版本支持下载，更新，上传，获取当前执行任务等功能：

该RAT最终确认为PeppyRAT。

三、关联分析

根据该轮的攻击样本，我们又从腾讯御见威胁情报中心的大数据库中关联到了一些相似的攻击样本：

如诱饵文件：

文件hash	91e5c5afcf42f8912d5ae3b7dafcda22
文件名	Officer_Course_for_FY_2018_19-4.xls
文件类型	MS Excel Spreadsheet
文档作者	Qaatil
最后修改者	Qaatil
最后修改时间	2018:10:23 06:53:39
上传到VT时间	2018/10/29 19:04

文件内容依然跟印度相关。

该文件的宏跟上述分析的基本一致，不过也有一些小的区别：

该文件的宏执行后，会解密窗体控件文本内容释放到%USERPROFILE%\AppData\下文件名为6个字符的scr文件，并执行：

src文件执行后会释放一个可执行文件到”ALLUSERSPROFILE”\ewbusm\ewbusm.exe 并且在启动文件夹下创建同名lnk文件用于自启：

从版本号上来看，该版本为2.1.2.9，该.net文件跟上述分析的.net（xls版本释放的恶意文件）基本一致：

而从关联到的样本来看，该版本恶意文件也是经过了持续的迭代，从版本号1.0.0.0一直更新到了8.7.18.11。

虽然在持续进行迭代，但是该些.net文件变化不大，功能和代码结构基本一致。

四、攻击TTPs总结

事项	说明
攻击目标	印度政府、军事目标等
投递方式	鱼叉攻击
诱饵类型	带有VBA宏的doc、xls文档等。并且把相关的内容和恶意文件以整形的数据形式存放在窗体控件中。
诱饵内容	以攻击目标感兴趣的新闻和通知等内容
特马家族	CrimsonRAT、.net loader、.net droper、PeppyRAT
攻击目的	窃取相关资料文件