APT攻击组织"黑格莎（Higaisa）"攻击活动披露

一、概述

腾讯安全御见威胁情报中心曾经在2019年年初捕获到一次有意思的攻击活动，该攻击活动一直持续到现在。根据对该组织活动中所使用的攻击技术、被攻击人员背景等分析研判，我们认为该攻击组织为来自朝鲜半岛的一个具有政府背景的APT攻击组织。

根据腾讯安全御见威胁情报中心的大数据分析发现，该组织的攻击活动至少可以追溯到2016年，而一直持续活跃到现在。该组织常利用节假日、朝鲜国庆等朝鲜重要时间节点来进行钓鱼活动，诱饵内容包括新年祝福、元宵祝福、朝鲜国庆祝福，以及重要新闻、海外人员联系录等等。此外，该攻击组织还具有移动端的攻击能力。被攻击的对象还包括跟朝鲜相关的外交实体（如驻各地大使馆官员）、政府官员、人权组织、朝鲜海外居民、贸易往来人员等。目前监测到的受害国家包括中国、朝鲜、日本、尼泊尔、新加坡、俄罗斯、波兰、瑞士等。

对于该组织的归属，腾讯安全分析了大量样本，我们确信其来自于朝鲜半岛。对攻击背景分析后，我们认为该组织为来自韩国的一个攻击组织。从样本的技术细节、基础设施等经过详细分析后，我们尚无证据证明该组织跟韩国的另一攻击组织DarkHotel（黑店）有关联，即便是攻击对象、某些攻击手法跟DarkHotel（黑店）有一些类似。

我们决定把该组织列为来自韩国的又一独立的攻击组织，取名为"黑格莎（Higaisa）"。源于作者喜欢使用的RC4的解密密钥为“Higaisakora”，取Higaisa的英译。

“黑格莎（Higaisa）”组织攻击流程图：

目前尚不排除该组织为DarkHotel的某一分支。由于受限于样本、受控机、基础设施等等客观情况，可能在组织归属上存在一些细节的误判和遗漏，我们希望安全社区同仁来共同完善该组织的一些细节。

值得注意的是，我们曾在腾讯安全2019年上半年APT总结报告中有提及该组织的攻击活动，当时我们错误的把该组织归属到了Group123。因此也借本文对该错误归属进行勘误和致歉，同时本文也对该活动进行更为详细的活动披露。若存在错误，望安全同仁一起来指正。

有关“黑格莎（Higaisa）”攻击活动的完整报告，请从这里下载：

https://pc1.gtimg.com/softmgr/files/higaisa_apt_report.pdf

二、攻击过程

最初始的攻击，从邮件钓鱼开始，邮件内容如下：

邮件内容为韩语的元旦祝福：

而从后面的分析可知，在节假日发祝福邮件投递恶意文件，是该组织的惯用伎俩。

邮件的附件为一个压缩包，解压后为一个可执行文件，该可执行文件其实为一个dropper木马：

执行后，会释放并打开诱饵，以及释放恶意文件carsrvdx.sed到系统目录并通过设置注册表创建服务使得该dll以系统服务的方式开机自启动实现持久化：

其中，payload文件加密存储在资源中，释放的过程涉及简单的RC4解密，密钥为ssove0117：

释放的carsrvdx.sed实际为一个downloader，该文件首先会构造url，从http://info.hangro.net/file/start?session=[8位随机数字]&imsi=0获取要下载的文件名：

得到文件名avp.exe、avpif.exe后再构造以下URL进行下载后再构造以下URL进行下载：

http://info.hangro.net/file/start?session=[8位随机数字]&imsi=avp.exe

http://info.hangro.net/file/start?session=[8位随机数字]&imsi=avpif.exe

下载回来的文件同样需要经过简单的RC4解密，密钥为Higaisakora.0。下载回来的文件avp.exe（fca3260cff04a9c89e6e5d23a318992c），是一个基于gh0st开源远控框架修改而来远程控制木马，除了命令分发和数据包压缩算法弃用原来的之外，其他内容未发现重大改动，基本保留的原来的框架。

而命令分发部分改动较大，删除了绝大部分的命令处理函数，只保留了插件管理功能，木马的所有功能都将通过插件完成，成功下载了回来的插件为FileManager.dll（dd99d917eb17ddca2fb4460ecf6304b6，注：内存加载不落地），为文件管理插件，其命令分发与gh0st源码相似性达90%以上：

下载回来的另外一个文件为avpif.exe （77100e638dd8ef8db4b3370d066984a9），该文件的功能主要是收集系统信息，并回传。

收集的信息包括：

• 系统信息：计算机硬件、系统版本、用户信息、系统补丁、网卡信息等
• 网络信息：本地网络信息
• 进程列表
• 显示域、计算机、等共享资源的列表
• C盘文件列表
• D盘文件列表
• E盘文件列表

收集完成后加密上传到服务器中，上传url为：http://180.150.227.24/do/index.php?id=ssss

三、关联分析

通过腾讯安全御见威胁情报中心的大数据分析和挖掘，我们发现大量跟该攻击相关的样本。我们对该组织的攻击活动进行梳理，使我们对该组织的攻击活动有更深入的了解。

1、初始攻击

通过监测发现，攻击活动均为使用鱼叉邮件攻击的方式。而攻击的时间窗口基本都在重要节假日。通过发送节日祝福，附带恶意文件的方式进行攻击。

我们根据payload解密的密码" Higaisakora.0"进行搜索，搜索到了另一篇分析文章：https://malware.prevenity.com/2018/03/happy-new-year-wishes-from-china.html

虽然无法获取该报告中的样本，但根据报告中的截图和描述，可以确定为同一木马的不同变种。而根据该文章的披露，攻击方式同样为通过在节假日发送祝福邮件，并附带恶意文件的方式：

此外，有意思的是，我们发现该邮件的发送邮箱为gov.cn的邮箱，我们猜测攻击者可能首先攻破了某gov.cn的邮箱，然后利用该邮箱继续进行钓鱼工作。同样我们发现发件人邮箱同样存在china字眼，因此我们猜测，该组织习惯利用跟中国有关的邮箱做为跳板来进行下一步的攻击。

2、攻击诱饵

诱饵的类型根据文件种类分为两类，一类为可执行文件，另一类为恶意文档类。

1） 可执行文件类诱饵：

可执行文件类又分为两个类型：

类型一：伪装为图像文件或文档文件，运行后会释放相关的图片或文档

该类型的可执行文件的图标一般要么伪装成word、excel、pdf、txt、邮件等软件的图标，要么直接是图片的内容图标：

内容主要分为：

（1）传统节假日问候，如新年、元宵节、端午节、圣诞节等：

（2）朝鲜国庆、领导人纪念日等相关：

（3）新闻：

（4）其他（包括色情图片或文本）：

所有该类型的诱饵的技术特点为：

a)  将payload及伪装文件存放在PE资源中；

b)  伪装文件未加密无需解密，payload需使用RC4解密后释放；

c)   字符串以局部数组的形式存储，绝大部分API函数使用动态调用；

d)  释放payload后，创建系统服务将其加载执行；

此外，我们发现这些诱饵内容都非常的及时，如某一诱饵为一个新闻，讲的是牡丹峰团长玄松月在平昌冬奥会前访问韩国：

通过搜索，该新闻是2018年1月22日：

而发现的利用该诱饵攻击的另一攻击样本（fa8c53431746d9ccc550f75f15b14b97），其编译日期为1月26日：

可以发现该组织非常擅长利用最新热点新闻。

类型二：伪装成Winrar、Teamview、播放器等常用软件

如运行后，除了释放原本的安装文件外，还会释放gh0st木马：

释放文件路径：C:\WINDOWS\system32\dilmtxce32.dll，而释放的文件同样需要通过解密，密钥为HXvsEoal_s。

2） 恶意文档型诱饵：

我们发现的另一个攻击母体为（a5a0bc689c1ea4b1c1336c1cde9990a4），其路径为\AppData\Roaming\Microsoft\Word\STARTUP\winhelp.wll，而该目录为word的启动文件夹，当word启动的时候，会自动加载该目录下的模块文件。因此该手法常做为office后门加载方式的重要手法。

遗憾的是，我们并未获取到相关的文档文件，因此尚不知该启动文件是执行了某一恶意文档释放的（因为有很多攻击诱饵会利用漏洞等方式释放相关恶意文件到word启动目录），还是其他的母体释放到该目录的。不过我们认为由某一恶意文档通过漏洞释放的可能性更大。

该wll文件加载后，会释放文件在%USERPROFILE%\PolicyDefinitions\MMCSnapins.exe，该文件是个downloader，下载回来的文件有3个，分别为infostealer木马，用于窃取文件目录结构；gh0st RAT插件版；另一个未知的完整功能的RAT木马。

3、解密密码

我们发现该组织非常喜欢使用RC4加密算法，如解密释放的payload，解密下载回来的文件等。我们发现他的payload的解密密码跟随着时间而进行变化，但是downloader下载回来的文件解密木马始终都为Higaisakora.0。目前其解密payload的最新使用的密码为XsDAe0601。我们整理了一份时间和密码的对应表如下（相同的密码只取了一个）：

可以看到，随着时间的变化，密码也相应的进行了变化。虽然密码上并未有相应的规律可以获取，但是至少也说明了作者一直在进行更新。

4、其他文件分析

我们还在相关受控机上发现大量其他文件，相信是该组织下发用来进行持续渗透和横向移动的工具。具体如下：

1） 键盘记录器

文件BioCredProv.exe（6e95c5c01f94ef7154e30b4b23e81b36），用于记录按键、窗口信息。

2） 邮件相关

out1 .exe （901e131af1ee9e7fb618fc9f13e460a7），pdb为：E:\code\PasswordRecover\do_ok\OutlookPassRecover\Release\OutlookPassRecover.pdb

该文件的功能是outlook密码窃取，窃取的outlook账号密码保存到c:\\users\\public\\result.dat。

文件out12.exe （08993d75bee06fc44c0396b4e643593c），pdb路径为：

E:\code\PasswordRecover\outlook\OutlookPasswordRecovery-master\OutlookPasswordRecovery\obj\Release\OutlookPasswordRecovery.pdb

该文件的功能同样为窃取outlook账号密码，窃取的信息保存为Module.log。

根据pdb的路径在github上搜索，发现了该工程：

https://github.com/0Fdemir/OutlookPasswordRecovery

跟文件里的完全一致：

3） 非插件版的Gh0st RAT

之前发现的gh0st RAT均为插件版的gh0st RAT，也就是说所有功能通过插件来完成，但是我们在某台受控机上还发现一个非插件版的gh0st RAT，并且通过Installer解密数据文件.vnd后执行。

安装器的文件路径为：E:\360Rec\sun.exe（cc63f5420e61f2ee2e0d791e13e963f1）

最后解密后生成的文件C:\\Windows\\system32\\PRT\\WinDef32.dll（c5f0336b18a1929d7bd17d09777bdc6c）就为非插件版的gh0st。其中主命令分发，只保留了部分gh0st功能，包括文件管理、屏幕监控、键盘记录、远程Shell等，而文件管理功能，保留了gh0st RAT文件管理的全部指令，并增加了获取和设置文件时间的功能。

5、移动端木马分析

通过拓展分析，我们还发现了几个安卓木马，如검찰청（翻译：监察厅）.apk（8d3af3fea7cd5f93823562c1a62e598a）：

该apk执行后界面如下：

伪装韩国检察厅APP，主要为访问网站http://www.spo.go.kr/spo/index.jsp。

实际上该app为一个远控木马，能够实现手机截屏、GPS位置信息获取、SMS短信获取、通话录音、通讯录获取、下载木马、上传文件等功能。

6、 攻击归属分析

1） 攻击样本中的地域分析

我们抽取了部分样本对编译的时间戳进行了分析（不包含被篡改的）：

可以发现编译的时间主要发生在上午8点后，大部分时间都在晚上23点前。按照普通人的生活习惯，我们认为可能是在东9区的攻击者。正好覆盖朝鲜半岛。

其次我们发现样本中出现的naver.com字符：

naver为韩国最大的搜索引擎和门户网站。

2） 攻击对象分析：

因为诱饵内容几乎都跟朝鲜有一定的关系，包括朝鲜的国庆、朝鲜的联系人名单等；

从钓鱼目标对象来看，基本都为朝鲜的外交官、海外居民、和朝有贸易往来人员等等；

从受控机属性来看也几乎都为中朝贸易人员。

因此我们判断攻击的对象为与朝鲜相关的人员。

3） 攻击手法

攻击手法包括钓鱼、伪装常用软件、下载插件等等，并且还具有多平台的攻击能力。

4） 结论

从上述分析我们认为，攻击者可能来自朝鲜半岛，由于攻击目标为跟朝鲜相关，我们判断攻击者可能来自韩国。其次，从攻击手法、对象来看，跟韩国的另外一个APT攻击组织DarkHotel（黑店）比较类似。但是，从样本、基础设施等分析来看，我们并未发现有跟DarkHotel重叠的部分，也未有明确证据证明跟DarkHotel相关。但我们并不排除该组织或为DarkHotel的分支。

鉴于此，我们决定暂时把该攻击小组列为一个独立的攻击组织，取名为"黑格莎（Higaisa）"。归属过程可能因信息有限，或存在错误，我们希望安全同仁一起来完善该组织的更多信息。

四、 总结

当节假日来临，我们往往会收到来自各地的祝福信息，尤其是单位的邮箱。但是一些别有用心的攻击者往往利用此机会，附带恶意文件进行攻击。而本次攻击主要是针对朝鲜相关的一些政治实体、人权组织、商贸等关系单位和人员，因此也有波及中国境内和朝鲜进行贸易的一些人员。

此外，该攻击组织的攻击武器库也一直在进行更新，而且除了pc端，也具有移动端攻击的能力。我们判断，该攻击活动必然还会继续进行下去，因此我们提醒相关人员，一定要提高安全意识，避免遭受不必要的损失。

五、安全建议

我们建议外贸企业及重要机构参考以下几点加强防御：

1、通过官方渠道或者正规的软件分发渠道下载相关软件；

2、谨慎连接公用的WiFi网络。若必须连接公用WiFi网络，建议不要进行可能泄露机密信息或隐私信息的操作，如收发邮件、IM通信、银行转账等；最好不要在连接公用WiFi时进行常用软件的升级操作；

3、提升安全意识，不要打开来历不明的邮件的附件；除非文档来源可靠，用途明确，否则不要轻易启用Office的宏代码；

4、及时安装操作系统补丁和Office等重要软件的补丁；

5、使用杀毒软件防御可能得病毒木马攻击，对于企业用户，推荐使用腾讯御点终端安全管理系统。腾讯御点内置全网漏洞修复和病毒防御功能，可帮助企业用户降低病毒木马入侵风险；

6、推荐企业用户部署腾讯御界高级威胁检测系统及时捕捉黑客攻击。御界高级威胁检测系统，是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。（https://s.tencent.com/product/gjwxjc/index.html）

六、附录

1、IOCs

MD5：

7c94a0e412cc46db5904080980d993c3

6febd1729c49f434b6b062edf8d3e7f3

fca3260cff04a9c89e6e5d23a318992c

77100e638dd8ef8db4b3370d066984a9

dd99d917eb17ddca2fb4460ecf6304b6

7d6f2cd3b7984d112b26ac744af8428d

8d3af3fea7cd5f93823562c1a62e598a

C2：

info.hangro.net

console.hangro.net

register.welehope.com

www.phpvlan.com

wiki.xxxx.com

180.150.227.24

39.109.4.143

103.81.171.157

2、参考文章

1)    https://malware.prevenity.com/2018/03/happy-new-year-wishes-from-china.html

2)    https://s.tencent.com/research/report/762.html