苦象组织近期网络攻击活动及泄露武器分析

1 概述

2012年以来，安天针对南亚次大陆方向的网络攻击进行了持续的跟踪与分析，追踪其攻击行动、溯源其幕后团伙，多年以来持续曝光相关攻击活动，震慑印方攻击组织。安天于2016年7月发布报告“白象的舞步——来自南亚次大陆的网络攻击”[1]；2017年12月发布报告“潜伏的象群—来自印方的系列网络攻击组织和行动”[2]；2019年5月发布报告“响尾蛇（SideWinder）APT组织针对南亚国家的定向攻击事件”[3]；2020年1月发布报告“折纸行动：针对南亚多国军政机构的网络攻击”[4]。

印度网络攻击组织名称纷繁复杂，主要是因为网络安全厂商对印方的组织均有各自命名，比如安天首发并命名的“白象”组织，其他厂商也称为：HangOver、VICEROY TIGER、The Dropping Elephant、Patchwork、Chinastrats、摩诃草；卡巴斯基最早发现“响尾蛇”组织，其他厂商也称为：T-APT-04、SideWinder；ASERT首先披露的“肚脑虫”组织，其他厂商也称为：APT-C-35、DoNot Team、Lucky Elephant、SectorE02。

本次报告涉及的攻击组织，安天在2017年“潜伏的象群”报告中曾披露过其苦酒行动，其他厂商也称为：BITTER、蔓灵花、APT-C-17、T-APT-04等，根据安天的攻击组织中文命名规范，结合其网络攻击活动和地缘政治特点，安天正式将该组织命名为“苦象”。经过长时间的观测发现，该组织近期十分活跃，目前发现多批次涉及钓鱼网站和投递载荷两类攻击活动：

1. 攻击者注册多个域名，架设钓鱼网站，对国内重要的机构单位进行邮箱钓鱼攻击。相关钓鱼网站地址构造特点和攻击目标符合2019年曝光过的苦象组织对国内钓鱼攻击的特点。

2. 攻击者将载荷存放于攻陷网站，通过投递快捷方式格式的攻击诱饵向目标的机器植入载荷（组织特有的.NET远控木马）。通过此前对苦象组织泄露的控制后台源码和载荷分析，我们大致还原了该组织其中一常用木马的后台控制细节。经分析比对，我们认为该攻击活动来自苦象组织。

综上所述，安天CERT认为这一系列攻击应是苦象组织的近期攻击活动。本次系列相关攻击活动特征总结如下：

表 1-1攻击活动特征

2 攻击活动分析

从目前观测到的数据来看，攻击者的主要手段有钓鱼网站攻击和木马投递。

2.1 钓鱼网站

攻击者注册多个域名，通过下设若干子域名模仿国内诸多单位的官方域名，然后架设钓鱼网站钓取目标的邮箱账号密码。此次的子域名构造（如以maill.和maiil.开头）、模仿的目标等，皆符合2019年曝光过的苦象组织对国内钓鱼攻击的特点。

图 2 1 钓鱼页面案例

受害者输入的账号密码会被传入服务器本地的php文件，最终到达攻击者手中：

图 2-2钓鱼登录框源码

攻击者注册域名后，会建立大量子域名仿冒不同目标网站，部分已捕获仿冒域名如下表：

表 2-1子域名仿冒

2.2 投递木马

近期苦象组织常用的执行流程有：漏洞文档＋MSI程序、CHM文件+MSI程序等，此次也类似，采用LNK+ MSI程序手法。攻击者以未知手段（可能是鱼叉式钓鱼邮件、社交平台等）向目标投递一份RAR压缩包，包内包含恶意快捷方式“Income tax Savings for 2020-2021.lnk”：

图 2-3 诱饵文件

表2-2 LNK样本标签

快捷方式被点击运行后，会执行一段Powershell命令：

这段Powershell负责加载运行原快捷方式的Description结构值，这个值以分号填充了多个无实际作用的字符串，最终执行的静默安装远程的恶意程序MsAulis.msi：

图 2-4 样本静态解析

MSI安装包MsAulis.msi包含木马程序MsAulis.exe，深入分析发现，MsAulis.exe属于已知的苦象组织特有.NET远控插件的最新版。

“jg****.com”属于被攻陷网站，因目录开放，可以发现攻击者在上面挂载了许多载荷。这些载荷除了开源的Invoke-Mimikatz.ps1，也包括苦象组织已知家族的窃密、远控等插件。 其中文件lg和lg2是网络日志，经过几天监控，目前发现少量巴基斯坦疑似受控IP，未发现国内受害者。

图 2-5 沦陷网站开放目录

表 2-3 开放目录载荷功能列表

除了打包的快捷方式，近期也有苦象组织常用的自解压诱饵，诱饵最终向目标机器植入audiodq类木马：

图 2-6 自解压诱饵

3 泄露武器分析

3.1后台架构

2019年苦象组织某C2服务器存在一次对后台整站的打包，并挂载于网站某公开路径下，后被情报平台爬取到，造成源码泄露：

图 3-1 泄露源码

经过分析，发现该打包文件是苦象组织常用木马的控制后台源码，整体架构比较简单，使用“Nginx+PHP+MySQL”搭建，并属于较早的版本，该后台主要负责完成对受控机的管理和功能插件下发，后台架构大致如下：

图 3-2后台大致架构

表 3-1后台文件功能

从源码整理出存放受控机信息和任务的数据库表结构（未获得数据库实例），猜测各项意义如下：

表 3-2后台数据库

通过搭建环境，并模拟一台受控机器，这套源代码的运行效果如图3-4。从整体到细节，皆符合2019年苦象组织后台被曝光事件中展现的界面和功能：

图 3-3后台源码模拟运行

图 3-4 2019年曝光的后台界面

值得注意的是，源码中不仅泄露了攻击者的一对数据库登录凭证，还记录了攻击者一个默认时区位置：Asia/Kolkata — 加尔各答时区

图 3-5 攻击者默认时区位置

3.2 攻击插件

目前收集到的插件超过20个，功能涵盖击键记录、文件窃密、远程控制等，其中某些远控插件参考自开源远控DarkAgent

表 3-3攻击插件

3.3 后台伪装

今年起，攻击活动的后台登录页面频繁变换模样。例如，某次后台打开后看似仅一张图片，实际通过鼠标点击中心的位置，会发现隐藏的账号密码输入框以及登录按钮：

图 3-6 后台登录页案例

或者背景是Windows桌面图，点击“Continue to Login”进入实际登录页面：

图 3-7 后台登录页案例

 或者无伪装，背景是风景画，输入凭证后登录：

图 3-8 后台登录页案例

4 威胁框架视角的攻击映射图谱

本次系列攻击活动共涉及ATT&CK框架中的8个阶段18个技术点，具体行为描述如下表：

表 4-1近期苦象组织攻击活动的技术行为描述表

将涉及到的威胁行为技术点映射到ATT＆CK框架如下图所示：

图 4-1 苦象组织活动映射到ATT&CK框架

5 防范建议

安天全线产品可以有效对抗上述威胁：

安天智甲终端防御系统，通过安天AVL SDK反病毒引擎有效查杀相关威胁载荷，并通过黑白双控机制，全面强化服务器、关键工作站、SCADA等关键节点安全环境；通过内核级主防有效拦截邮件、浏览器、内存注射等攻击入口，以及修改MBR、修改注册表、建立内核模块、创建服务等持久化行为；通过威胁情报拦截主机对钓鱼站点的访问和实现既往攻击追溯；并通过分布式主机防火墙有效感知、拦截各种横向移动行为。

安天铸岳资产安全运维平台通过大规模资产快速补丁分发和统一策略加固，减少系统暴露面，有效降低攻击成功率。

安天捕风蜜罐可以有效捕获发现主动攻击探测和横向移动，并可以与引流设备配合使用。

安天探海威胁监测系统可以在流量侧检测攻击活动和载荷投递，并捕获未知载荷与可疑网址。

安天追影威胁分析系统，通过安天下一代检测引擎和沙箱结合，实现深度动静态分析，有效实现细粒度揭示攻击行为和威胁情报生产。

安天威胁情报推送服务，为订阅客户提供按照相关标准或客户自定义格式的情报推送。主管部门和相关职能部门客户，可通过安天ATID威胁情报门户账号查询更多攻击关联信息，有效支撑威胁的关联分析与溯源。

参考链接

 [1] 安天：白象的舞步——来自南亚次大陆的网络攻击

https://www.antiy.com/response/WhiteElephant/WhiteElephant.html

[2] 安天：潜伏的象群—来自印方的系列网络攻击组织和行动

https://www.antiy.com/response/The_Latest_Elephant_Group.html

[3] 安天：响尾蛇（SideWinder）APT组织针对南亚国家的定向攻击事件

https://www.antiy.com/response/20190508.html

[4] 安天：“折纸”行动：针对南亚多国军政机构的网络攻击

https://www.antiy.com/response/20200115.html

时间 ：  2020年09月17日  来源：  安天CERT