产品中心
产品中心
基础安全
T-Sec 主机安全
容器安全服务 TCSS
T-Sec Web应用防火墙
T-Sec 云防火墙
T-Sec 安全运营中心
T-Sec iOA零信任安全管理系统
业务安全
T-Sec 天御验证码
T-Sec 天御文本内容安全
T-Sec 天御视频内容安全
T-Sec 全栈式风控引擎
T-Sec 手游安全
T-Sec 小程序安全
T-Sec 应用合规平台
数据安全
T-Sec 堡垒机
T-Sec 数据安全审计
T-Sec 云访问安全代理
T-Sec 凭据管理系统
T-Sec 密钥管理系统
T-Sec 云加密机
T-Sec 数据安全治理中心
安全服务
T-Sec 安全专家服务
一站式等保服务
T-Sec 安全托管服务
渗透测试服务
应急响应服务
重要时期安全保障服务
安全攻防对抗服务
了解全部安全产品→
解决方案
解决方案
通用解决方案
等保合规安全解决方案
直播安全解决方案
数据安全解决方案
品牌保护解决方案
高防云主机安全解决方案
腾讯安心平台解决方案
行业场景方案
游戏安全场景方案
电商安全场景方案
智慧零售场景方案
智慧出行场景方案
安全专项解决方案
勒索病毒专项解决方案
重大保障安全解决方案
NEW
最新动态
威胁研究
合作伙伴
更多
更多
关于我们
腾讯安全介绍
荣誉认证
帮助中心
帮助文档
考试认证
在线课堂
证书查询
联系我们
产品方案咨询
寻求市场合作
友情链接
腾讯云

威胁研究

正文

响尾蛇（SideWinder）APT组织使用新冠疫情为诱饵的攻击活动分析

2020-04-14 02:03:05

腾讯安全威胁情报中心就捕获到了一起响尾蛇（SideWinder）APT组织以新冠疫情为主题针对巴基斯坦军方的攻击活动。响尾蛇（SideWinder）是腾讯安全威胁情报中心最早在2018年披露的APT攻击组织，该组织最早的攻击活动可以追溯到 2012 年。

一、背景介绍

伴随新冠疫情在全球范围的爆发，疫情的动态资讯成为我们每天必会定接触到的外界信息，在这种大环境下，我们对疫情主题相关的推送信息警惕性会相对变低。而善于浑水摸鱼，披狼皮装羊的APT组织自然不会放过这种增热点的机会，以“新冠疫情”为主题的APT攻击活动从2月份起就持续不断。最近，腾讯安全威胁情报中心就捕获到了一起响尾蛇（SideWinder）APT组织以新冠疫情为主题针对巴基斯坦军方的攻击活动。

响尾蛇（SideWinder）是腾讯安全威胁情报中心最早在2018年披露的APT攻击组织，该组织最早的攻击活动可以追溯到 2012 年。该组织主要针对巴基斯坦、中国大陆的政府、军工、军事目标等进行攻击活动。攻击武器库包括PC端、移动端等。

二、技术分析

本次攻击的诱饵为一个名为Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus.pdf.lnk的快捷方式：

该lnk的基本属性

诱饵的生成时间和其他属性

可以看到攻击者的诱饵生成时间为2019年的6月19日，在vmware虚拟机生成。

执行快捷方式后，会从http://www.d01fa.net/images/D817583E/16364/11542/f2976745/966029e下载hta文件并且执行。

下载回来的hta会对受害设备上的.NET进行版本检测，删除除了V2和V4以外的版本，还通过shell指令指定执行的版本，此外，样本之后释放的的rekeywiz.exe.config配置文件目的与之相同，均为防止不同.NET版本之前出现兼容性问题。

除了对受害设备.NET版本进行版本选择之外，HTA文件还会对设备上的杀软进行检测：

之后，会创建一个HTA实例，通过url下载第二个HTA文件并将之执行，同时释放命名为“Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus.pdf”的PDF诱饵文档：

释放的诱饵文档为：

可以看到，诱饵内容跟新冠疫情、巴基斯坦军方相关。

第二个HTA文件其数据解密方式，以及总体框架与第一个HTA文件相同，主要功能是在C:\ProgramData\创建了一个fontFiles文件夹（包含释放的四个文件：Duser.dll、rekeywiz.exe、rekeywiz.exe.config、SOHYXY.tmp），利用rekeywiz.exe白文件加载Duser.dll黑文件。该白加黑的手法也是SideWinder惯用伎俩。其中TMP文件的文件名为随机字符：

Duser.dll为一个加载器，主要目的是对之前释放的SOHYXY.tmp文件进行简单的异或解密，然后进行加载：

解密后的SystemApp.dll文件，是为最终释放的RAT。

该RAT的功能跟之前的类似，包括信息收集、文件上传等。

如对用户信息、设备信息、网卡信息、已安装杀软的信息、磁盘驱动设备信息、设备已安装进程信息等进行窃取、收集：

文件上传途径有两种，对应RAT在配置模块中的两个等待上传的文件列表，C2通过下发指令修改配置模块，实现对所有文件或指定文件的上传。文件上传：

对C2的下发指令进行分析，可得出以下指令集：

命令号	指令含义
1	获取系统信息并写入.sif文件
2	获取文件列表并写入.flc文件
3	获取指定文件并写入.fls文件
4	根据下发数据修改Settings设置
5	修改C2
6	设置文件是否上传的参数
7	设置选定的文件扩展名
8	设置文件的最大尺寸
9	添加文件名到待上传文件的列表
10	返回

RAT会在fontFiles文件夹中新建名为“font”的文件，用于保存C2下发的指令，但指令是经过加密的，经过解密之后，可查看指令明文，而每一次指令下发，原指令数据都会被覆盖，生成新的font文件。

三、关联分析

除了发现的以“新冠疫情”为主题的样本以外，我们还发现了SideWinder（响尾蛇）的多个其他攻击活动。

如Additional_CSD_Rebate.pdf.lnk，以向退役军人发放csd回扣卡为主题的进行钓鱼活动：

诱饵文件除了lnk之外，还有使用office漏洞的攻击，如

但是最终执行的payload都大同小异，就不再赘述。

四、安全建议

1、建议重要机构网管培训工作人员不要随意打开不明来源的邮件附件，在邮件目的及发件人均未知的情况下，建议不要访问附件。

2、建议企业用户使用腾讯安全T-Sec终端安全管理系统修补漏洞，及时安装系统补丁，可减少被漏洞攻击的风险。同时注意打开Office文档时，避免启用宏代码。

3、推荐企业用户部署腾讯T-Sec高级威胁检测系统（腾讯御界）对黑客攻击行为进行检测。

腾讯T-Sec高级威胁检测系统，是基于腾讯安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统，该系统可及时有效检测黑客对企业网络的各种入侵渗透攻击风险。参考链接：https://cloud.tencent.com/product/nta