【深度】ADLab针对新型黑客组织“海毒蛇”深度追踪与分析
颁布功夫 2020-09-251.分析布景
2020年8月中旬 ，宝运莱官方网站ADLab发现了一路新型攻击活动 ，该攻击背后的黑客组织利用各类技术伎俩做掩护已经活跃了多年 ，但黑客组织及攻击活动的谍报信息依然未被公开披露。本文将针对本次攻击活动及其背后的黑客组织进行深刻分析 ，并公开我们溯源出的黑客组织成员以及其使用的基础设施、攻击工具、攻击手法等的信息。在分析攻击活动的过程中 ，我们发现该黑客组织不仅是针对企业进行定向攻击的黑客团伙 ，并且还是持久从事物联网攻击的惯犯。为了便于描述该黑客组织 ，我们将其定名为“海毒蛇(SeaViper)”组织 ，该组织拥有APT攻击和物联网攻击的个性 ，定向攻击的指标集中在金融机构、敌灾事业单元、精密仪器、酒店和游览业等有关的实体 ，物联网攻击涉x86、x64、arm、spc、mips、ppc等多个CPU平台 ，甚至还蕴含摩托罗拉的宽泛用于街机和家用游戏机微处置器m68和m68k,以及日立的用于多媒体终端、电视游涝祺或机顶盒的微处置器sh4。
“海毒蛇”已经使用如CVE-2017-0199、CVE-2017-8570之类的office缝隙来攻击企事业单元 ，同时也使用了大量物联网设备的缝隙来构建物联网僵尸网络。从黑客的汗青活动迹象上能够看出该黑客组织是一个以经济利益为指标的犯罪团伙。此表针对企业攻击中 ，“海毒蛇”初次利用了钓饵文档的批注信息来暗藏恶意代码 ，同时选取多级跳板、混合加密等等伎俩来躲避追踪与检测。
在溯源分析过程中我们发现 ，该黑客组织极有可能来自于南亚的某个国度 ，至少蕴含有6名成员 ，其中一位掌管恶意代码的编写工作 ，其他人掌管配置并投放恶意代码 ，溯源到的6名成员的名称来自于黑客所使用的推算机用户名（可能并不是其真实名称）。我们首先通过恶意代码的PDB蹊径及其宽泛造作的恶意文件锁定了其中一个成员“Eng Moha” ，其后通过大量的数据分析锁定了其他五名成员：“mnb joker”、“Lye Gomes”、“Joselio Bonin”、“Emanoel Brito”和“aSmarany”。其中 ，“Eng Moha”掌管恶意法式开发、缝隙利用等工作 ，其他人掌管攻击代码的配置和分发。在从前的一年多功夫里 ，该黑客组织先后利用Gafgyt、Mirai木马组建僵尸网络进行DDoS攻击、并利用OneDrive云存储空间和鱼叉式网络等方式向贸易公司投放AgentTesla、Remcos RAT和Masslogger窃密木马牟利。同时 ，“海毒蛇”还持有大量恶意域名和用于托管恶意文件的虚构主机等网络基础设施。通过深度的关联 ，我们发现“海毒蛇”组织似乎与Gorgon APT组织还有肯定关联。
2.追踪与溯源
2.1 缘起
2020年8月中旬 ，宝运莱官方网站ADLab监测到一封题为“电子转账付款账单”的恶意邮件 ，该邮件以“美国银杏妆的名义提议垂钓邮件攻击 ，其附件为一个excel表格文件(图1为本次攻击的一个邮件样本 ，指标为美国阿拉巴马州亨茨维尔市公共事业公司“Huntsville Utilities”) ，通过多级代码跳转最终向指标植入Remcos RAT ，以窃取指标主机的机密信息。在初步分析后,除了零散的样本信息表 ，我们没有在公开谍报和私有谍报库中找到任何与攻击及攻击背后的黑客组织有关的信息。通过对基础设施的关联分析 ，发现该黑客组织与屡次物联网攻击有着缜密的关系 ，因而我们决定对本次攻击活动及其背后的攻击团伙进行一次摸底。我们很快关联到8月初另表几起一样手法的攻击 ，这几起攻击假装成了“美国大通银杏妆和“美国富国银杏妆向金融机构“ENGS”投放攻击代码（图2）。
图2 假装成大通银行的垂钓邮件
为了还原“海毒蛇”攻击活动的全貌 ，我们对其活动的线索进行全面地网络和分析 ，发现了他们使用的大量基础设施、定向攻击样本、使用的缝隙以及攻击物联网设备所使用的一些攻击兵器 ，并进一步挖掘出了该组织的组成成员。
2.2 基础设施分析与溯源
在追踪黑客的初期 ，我们首选黑客使用的几个典型节造号令服务器进行分析 ，从定向攻击的几个样本中提取的基础设施来看 ，用于节造Remcos RAT的服务器“boyflourish.myq-see.com”解析到了IP为“79.134.225.32”的这台主机。同时 ，我们发现另表一个解析到该IP地址的黑客域名“rapture666.myq-see.com” ，该域名是黑客另表一批Remcos RAT的节造号令服务器。由于黑客对使用的域名都做了隐衷�；� ，因而从域名注册信息上无法进一步得到溯源线索。但黑客域名“rapture666.myq-see.com”所节造的这批木马文件让我们进一步找到了黑客的另表一个服务器“plaitt.com” ，该服务器重要用于托管恶意代码。我们通过解析域名“plaitt.com”得到另表一个IP地址“104.219.248.49” ，并通过该IP地址关联到了成百上千个域名 ，这些域名当前都同时唯一解析到“104.219.248.49”。起初 ，我们以为这些域名可能与黑客有关 ，但经过我们查证后发现这些域名均是正常域名 ，这些域名绑定的网站散布于“房地产公司”、“社区银杏妆、“网站设计公司”和“购物网站”等多个行业 ，也蕴含一些幼我站点 ，部门域名信息如表1。
域名 | 注明 |
www.propiedadescarazo.com | 房地产公司网站 |
www.carecounselling.co.uk | 焦虑护理征询网站 |
www.aerainfosolutions.com | 网站设计公司网站 |
www.api.btcmagnum.com | 数字投资公司网站 |
www.trustwalletbd.com | 钱币网站 |
www.celebgod.com | 娱乐时尚网站 |
www.plaitt.com | 恶意文件托管服务器 |
www.shayari.basantmallick.com | 幼我站点 |
www.younginnovatorslearning.org | 幼我站点 |
www.otechvich.com | 购物网站 |
www.passionsq.com | 游览有关网站 |
www.fo2sh.info | 幼我站点 |
www.rockshorebank.com | 社区银行网站 |
www.aliance-finances.com | 金融公司网站 |
www.codycruz.com | 幼我站点 |
通过对IP地址“104.219.248.49”的验证 ，确认其只是一个CDN服务的中转地址。黑客组织在域名服务商“NameCheap（见图3）”上注册了“plaitt.com”域名并采办了CDN服务 ，利用NameCheap的CDN服务来暗藏黑客组织的存储服务器。图4是其目前仍使用的一个注册自NameCheap的恶意文件托管服务器地址 ，该地址托管了黑客的木马中转器、恶意剧本文件以及窃密法式。
图4 目前仍存活的恶意文件托管服务器
至此 ，使用以上步骤我们已经无法找出更进一步的线索 ，但是我们得到了更多样本和黑客的活动功夫信息。因而 ，我们转而对8月份攻击活动的另表两个存储服务器（IP:185.172.110.210 和185.172.110.214）进行分析 ，并找到了“海毒蛇”对这两台服务器的使用纪录 ，表格2为我们整顿出来的恶意代码上传记录。
从表2中我们能够看出 ，“海毒蛇”组织持久维持着对物联网攻击的兴致 ，他们在从前一年功夫里持续使用Gafgyt、Mirai等物联网僵尸以获取物联网攻击资源。从物联网僵尸的上传记录来看 ，他们至少从2019年6月（这个功夫应该会更早 ，由于我们并不能看到该黑客组织的所有基础设施的使用纪录)起头就利用Gafgyt、Mirai等物联网僵尸入侵物联网设备 ，以构建僵尸网络。2020年7月 ，使用OneDrive云存储空间作为媒介向指标投放AgentTesla窃密木马。2020年8月 ，起头利用垂钓邮件向各企业投放Remcos RAT木马。这期间这些服务器同时依然存放着黑客的物联网攻击代码以供活跃的僵尸法式使用。
为了把握更多的信息 ，我们加大了对该组织使用的物联网僵尸的网络 ，关联出1384个该组织使用的攻击样本 ，并通过ADLab物联网自动化分析平台对这些样本进行自动化分析 ，进一步关联出了100多个C&C服务器。分析了局批注 ，该组织以往几年时时利用华为HG532系列路由器缝隙CVE-2017-17215、爱尔兰公司“Eir”的D1000调造解调器TR064服务缝隙CVE-2016-10372、Realtek路由器缝隙CVE-2014-8361、D-Link Devices HNAP SOAPAction-Header号令注入缝隙CVE-2015-2051、D-Link DSL-2750B 系统号令注入缝隙等主流的物联网设备缝隙攻击并节造设备。图5是某个样本的攻击代码片段。
图5 样本使用的物联网缝隙
我们对这些样本的活跃数量和活跃功夫进行关联统计 ，绘造了物联网僵尸活跃功夫散布图 ，见图6。从这批样本的攻击功夫来看 ，至少从2018年1月起头 ，攻击者就起头利用Gafgyt、Mirai组建物联网僵尸网络 ，而后利用组建好的僵尸网络进行DDoS攻击牟利。2019年3月攻击起头活跃 ，2019年10月出现了一个幼顶峰 ，攻击的最顶峰则呈此刻2020年8月。
攻击者通过弱口令爆破或者缝隙利用成功攻击路由器、调造解调器等物联网设备后 ，使用shellcode下载shell剧本 ，再通过shell剧本下载基于多个系统平台的Gafgyt、Mirai木马法式习染指标设备 ，进而利用这些木马组建重大的物联网僵尸网络。如图7 ，攻击者曾在2020年6月利用Gafgyt变种向HooToo路由器（蕴含有远程号令执行缝隙CVE-2018-20841）提议过持续一个月的网络攻击活动。
图7 利用Gafgyt攻击HooToo路由器
2020年7月前后 ，攻击者扩大了攻击活动 ，其在恶意文件托管服务器上增长了新的目录用于存放AgentTesla木马 ，而后利用OneDrive云存储空间传布并向攻击指标投放该木马（见图8）。
图8 利用OneDrive云存储空间传布AgentTesla木马
紧接着在2020年8月前后 ，也就是我们在8月中旬发现的这起攻击事务前后 ，该攻击者釉祓头利用鱼叉式网络垂钓邮件向贸易公司投放带有缝隙利用（CVE-2017-0199、CVE-2017-8570）或恶意宏代码的钓饵文档 ，进而向指标投放Remcos RAT木马。
“海毒蛇”黑客组织持有大量恶意域名和用于托管恶意文件的虚构主机等网络基础设施 ，我们对把握的该黑客组织持有的142个基础设施资源进行了地理地位散布统计 ，发现它们重要散布在21个国度和地域 ，其平散布较为密集的国度为荷兰、美国、加拿大、俄罗斯和德国 ，尤以“荷兰”和“美国”最为密集 ，别离是55个和31个 ，图9是我们绘造的海毒蛇黑客组织基础设施全球散布图。
图9 海毒蛇黑客组织基础设施全球散布图
从攻击指标上看 ，“海毒蛇”组织是以获取经济利益为主张 ，因而其攻击指标应该是不限度的。固然其同时对准了物联网设备 ，但从使用的恶意代码上来看 ，应该重要以构建僵尸网络为主张 ，最终也是以提供攻击服务为指标 ，所以具体攻击指标是不受限度的。但是 ，近期起头活跃的定向攻击看起来是有肯定指标导向的 ，好比上文提到的攻击者假装成美国银行和美国大通银行提议的定向攻击,因而这里我们重要以此类攻击为主进行攻击指标简直定。通过对近期攻击事务的分析 ，我们得到了31种分歧的钓饵文档。这些钓饵文档的攻击指标重要集中在金融机构、敌灾事业单元、精密仪器、酒店与游览等有关实体。
攻击指标蕴含驰名的贸易金融公司“ENGS”、敌灾事业机构“Huntsville Utilities” ，精密仪器设计公司“PrecisionConnector Design (Pcd)”等等。攻击使用的钓饵文档大多以“保密和谈”、“预算表”、“付款通知”、“采购订单”、“订单确认”、“住客名单”、“发票”和“汇款”等定名 ，使用了蕴含英语、德语、波兰语、保加利亚语、罗马尼亚语、葡萄牙语、加利西亚语、意大利语、西班牙语以及马耳他语等十多种说话 ，能够说攻击者的攻击指标遍布全球。钓饵文档的内容有如酒店订单图片、行政客户预按功夫表、预算图片 ，也有有意吞吐化以诱使指标用户启用宏查看更清澈的图片。图11是我们绘造的攻击指标语种散布图 ，从图中能够看到占比最大的别离是英语、葡萄牙语和西班牙语。
图11 攻击指标语种散布图
2.4 黑客组织溯源
由于黑客的基础设施根基都做了隐衷�；ず虲DN防护 ，在没有更进一步的数据和线索的情况下无法更深刻地去深挖黑客组织。因而 ，我们但愿从恶意代码动手来挖掘线索 ，寻找突破口 ，而后通过黑客对恶意代码的操作功夫来做时区定位分析 ，确定黑客地点区域。
首先 ，该组织投放的钓饵文档是我们首要关注的 ，这些钓饵文档通常都是由黑客组织内部人员造作和分发。在恶意代码分析过程中 ，我们发现好多钓饵文档（大部门都是excel或者word文档）的创建者都来自统一幼我——“Eng Moha”。通常情况下 ，钓饵文档的创建者都是黑客伪造的 ，但若是黑客未做这方面的思考 ，该名称就会是黑客主机的用户名。起初我们也没太把稳这个信息 ，直到我们在其中一款恶意代码上发现现实有效的证据。该名称位于恶意代码中未被断根的PDB蹊径中（见图12） ，该蹊径中明确批示了造作该恶意代码的推算机用户名 ，那么能够注定“Eng Moha”就是“海毒蛇”黑客组织的关键成员。同时 ，我们还通过其他伎俩印证了该组织在造作、升级、批改和颁布钓饵文档时 ，险些都没有做钓饵文档的隐衷数据处置。
图12 恶意代码中未被断根的PDB蹊径
编译功夫也暗示我们该黑客是在2020年7月21日天生的该恶意代码 ，并在接下来的功夫构建了一套齐全攻击规划。接下来我们将“Eng Moha”作为沉要线索来追踪并得到了一批更宽泛的攻击样本 ，通过度析确认这些样本选取的攻击手法和本次攻击极度类似。更沉要的是我们在这批样本中找到了该黑客组织的其他成员（“mnb joker”、“Lye Gomes”、“ Joselio Bonin”、“Emanoel Brito”和“aSmarany”等）。
这一系列攻击文档大部门都由“Eng Moha”创建 ，最早可追忆到2015年6月。通过创建功夫溯源揣度“Eng Moha”造作了最初的攻击模板文件 ，而后将模板文件分发给其他成员 ，这些成员会对恶意文件进行配置并传布出去。我们为什么会将他们认定为统一组织的成员呢 ？重要有以下三个原因：
（1）这些钓饵文档都是向攻击指标投放Remcos RAT和AgentTesla木马法式；
（2）他们都使用了高度一致的多阶段嵌套下载技术和极为类似的加密和混合脚正本投递木马；
（3）这些钓饵文档被某个黑客创建的功夫和被其他成员批改的功夫极度靠近。好比：攻击文件“Ostatnia notatka.docx”是“Eng Moha”在2020/4/1 4:07创建的一个蕴含有缝隙（cve-2017-0199）的docx钓饵文档 ，而一分钟后 ，该文档就被“mnb joker”编纂批改；另表一个攻击文件的文件信息显示“mnb joker”在2019/8/8 18:13创建一个蕴含恶意宏代码的ppt文档 ，一天后该文档又被“Joselio Bonin”编纂。类似地我们找到了至少有5个黑客之间存在类似这样的关系 ，如表3。
钓饵文档名称 | 造作者 | 颁布者 | 造作功夫 | 配置功夫 | |
Ostatnia notatka.docx | Eng Moha | mnb joker | 3/10/20 22:23 | 3/10/20 22:24 | |
Споразумение за неразгласяване.docx | Eng Moha | mnb joker | 3/11/20 23:41 | 3/11/20 23:42 | |
Noul PO pentru AEC Amersham Pharma Ltd.docx | Eng Moha | mnb joker | 4/1/20 04:07 | 4/1/20 04:08 | |
CNH.ppt | mnb joker | Joselio Bonin | 8/8/19 18:13 | 8/12/19 02:13 | |
Order.dotm | mnb joker | aSmarany | 5/25/20 06:09 | 5/25/20 06:09 | |
… | … | … | … | … | |
表3 黑客关联关系
经验批注 ，若是这个几名黑客属于不有关的组织关系或者产业链的高低游关系 ，他们操作统一个恶意代码的功夫不会如此靠近 ，最短功夫甚至只差几分钟 ，同时攻击手法也不会如此类似 ，因而我们揣度这几个关联出来的黑客属于统一个组织 ，并且他们都是“海毒蛇”组织的成员。同时能够注定的是 ，“Eng Moha”是该黑客组织掌管缝隙利用和恶意代码编写的工程师 ，他为组织提供攻击代码 ，而其他成员掌管守护基础设施、定造钓饵文档和攻击工具、分发和投放恶意代码等工作（见图13）。
图13 黑客成员合作关系图
更进一步的证据是 ，我们尔后还发现这些黑客成员已经使用统一个C&C服务器地址“gritodopovo.com.br”来节造恶意代码 ，当该C&C被曝光后 ，他们起头使用分歧的经过隐衷�；さ挠蛎魑狢&C。此表 ，我们还发现这样的C&C服务器地址也已经被APT组织Gorgon使用过 ，或许他们之间存在着某种关联 ，并且通过期区定位法发现他们同属于一个时区 ，但是我们依然没有证据证明两个组织之间的关系 ，由于他们的攻击指标和使用的兵器差距都比力大�；蛐硭侵浯嬖谀持炙缴系暮献� ，那么极有可能“海毒蛇”组织和“Gorgon”APT组织一样位于巴基斯坦 ，后续我们会通过期区定位法来确定其所属的国度。（注：“Gorgon”APT组织是一个被以为来自巴基斯坦的攻击组织 ，在从前的2年里 ，该组织成怨仉对英国、西班牙、俄罗斯和美国确当部门门发起了一系列攻击）。
为了进一步确定“海毒蛇”组织地点的区域 ，我们对黑客的活动功夫做了一个时区定位分析。首先我们尽可能多地网络了黑客基础设施上的文件创建功夫、批改功夫以及所有钓饵文档的原始功夫 ，而后祛除日期信息保留时辰秒信息 ，并将留取的功夫数据归化成为UTC功夫（见图14）。
图14 黑客活动功夫散布
图15 黑客时区映射图
单纯通过期区定位法 ，我们是无法更进一步确认“海毒蛇”组织地点的具体国度的 ，但是从他们与来自巴基斯坦的“Gorgon”APT组织共用过统一个基础设施上来看 ，“海毒蛇”组织似乎位于巴基斯坦的可能性更大 ，我们尔后还将持续跟踪 ，但愿可能找到进一步的证据。
3.最新攻击案例分析
在这次攻击活动中 ，“海毒蛇”黑客组织使用了新型的恶意代码隐身技巧来暗藏恶意代码。在以往的此类攻击中 ，攻击者大多将恶意代码或数据存放在excel电子表格的单元格内容中暗藏显示 ，或者暗藏到VBA工程中的用户控件里 ，也有黑客将恶意代码放入文档的内建属性中。而在本次攻击中 ，黑客将恶意代码加密存放在了电子表格空缺单元格的批注内容里 ，这种恶意代码暗藏方式在此类攻击中还是初次出现。恶意代码执行后 ，会通过多阶段的嵌套下载和解密执行来向受害者主机植入Remcos RAT木马。攻击过程中下载的多个中央文件都进行了代码变形、数据加密和垃圾数据填充 ，这样处置后的文件能在很大水平上绕过Web利用防火墙、入侵检测系统等网络安全设备的检测。
我们将最新攻击的整个流程绘造成如图16所示：攻击者将带有恶意附件的垂钓邮件发送给美国阿拉巴马州亨茨维尔市公共事业公司“HuntsvilleUtilities”的员工 ，垂钓成功后 ，附件中的恶意宏代码便会执行；恶意宏代码执行后会解密执行一个Powershell剧本 ，该剧本是一个下载器 ，其会从远程服务器下载一个恶意VBS文件；VBS文件执行后 ，同样会解密执行一个Powershell剧本 ，该剧本也是一个下载器 ，其会从远程服务器下载一个后缀为“.jpg”的恶意文件；该恶意文件并不是一个jpg体式的图片文件 ，而是经过字符变形和垃圾代码填充的Powershell剧本文件 ，该剧本文件执行后 ，会解密出内嵌在其中的两个PE文件并执行它们。这两个PE文件一个是RemcosRAT木马 ，一个是用C#编写的经过混合的Dll注入器文件 ，掌管把Remcos RAT木马注入到“RegAsm.exe”过程中执行� Ｄ芄豢吹� ，攻击者使用了多阶段的嵌套下载和解密执行将木马植入到了受习染主机上 ，木顿时线后会从攻击者节造的C&C服务要求指令来执行恶意操作。
图16 恶意攻击流程图
3.1 钓饵邮件投递
这次攻击始于一封将起源假装成“美国银杏妆的垂钓邮件（见图17） ，此邮件是发送给美国阿拉巴马州亨茨维尔市公共事业公司“HuntsvilleUtilities”的员工的。整个邮件看起来像是一个付款通知账单邮件：邮件以“美国银行美林付款通知”为主题 ，“电子转账付款账单-00130820”为钓饵文档名称 ，正文中单一描述了账单的支付方式和必要支付的金额 ，在邮件的末尾还提醒这封邮件是发送给该公司的应收账款部门。
图17 垂钓邮件
该钓饵文档被假装成该公司8月份的付款通知账单 ，从钓饵文档打开后的内容（如图18所示）能够看到 ，整个excel表格仅蕴含一张图片 ，图片中的文字大意为：要想看到被�；さ哪谌� ，必要启用宏选项。一旦受害者被诱骗启用了宏选项 ，恶意宏代码便会立即执行。
3.2 恶意宏代码执行
恶意代码被加密保留在钓饵文档excel表格的D500单元格的批注中（见图19）。在以往的此类攻击中 ，攻击者大多将恶意代码或数据存放在excel电子表格的单元格内容中暗藏显示,或者暗藏到VBA工程中的用户控件里 ，也有黑客将恶意代码放入文档的内建属性中。而在本次攻击中 ，攻击者将恶意代码加密存放在了电子表格空缺单元格的批注内容里 ，这种恶意代码暗藏方式在此类攻击中还是初次出现。
图19 以文档批注大局存放的恶意代码
恶意宏代码执行后 ，会首先使用“.ActiveSheet.Range("D500").Comment.Text”函数读取D500单元格批注里面的恶意代码 ，而后挪用自界说的“Reverse”函数逆序分列该恶意代码 ，最后挪用自界说函数“eZoKg”启动Powershell过程执行该恶意代码（见图20）。
图20 恶意宏代码
最后执行的恶意代码是图21所示的一个Powershell剧本 ，不外该剧本执行的号令做了字符混合处置。剧本在执行时先是将混合过的字符串转换成字符数组 ，而后挪用Reverse函数逆序分列该字符数组 ，再将逆序后的字符数组拼接成字符串 ，后面的操作是将字符串中的填充字符‘&’去掉再转化成16进造编码。经过这样的几步处置 ，执行号令就被还原出来了（见图22） ，从图22中我们能够看到该Powershell剧本现实上是一个下载器 ，它会从远程服务器http://185.172.110.214/dkhh/venus.vbs高低载一个VBS文件来执行。
图22 还原后的执行号令
3.3恶意VBS文件执行
托管在远程服务器的VBS文件的部门内容见图23 ，能够看到该文件经过了字符混合和代码加密。
图23 VBS文件
VBS文件经过字符去混合和代码解密 ，最终执行的Powershell见图24 ，我们能够看到这段Powershell也是一个下载器。其先是使用ping google.com的方式确定自身地点的受习染主机可能正常联网 ，而后挪用Net.WebClient.DownloadString函数从远程服务器“http://185.172.110.214/dkhh/wit.jpg”高低载一个名为“wit.jpg”的文件。
我们抓包得到的“wit.jpg”文件的部门内容见图25� Ｄ芄豢吹轿募菥俗址湫魏突旌洗χ� ，这在很大水平上可能绕过Web利用防火墙、入侵检测系统等网络安全设备的检测 ，同时也增长了安全钻研人员的分析成本。
图25 抓包得到的服务器返回的恶意代码
3.4 恶意“jpg”文件执行
名为“wit.jpg”的文件并不是一个jpg体式的图片文件 ，而是经过字符编码和加密混合后的Powershell剧本文件。图26是该剧本文件还原后的部门内容 ，我们能够看到 ，经过混合和变形后的可执行PE文件数据是以字符串的大局存储在剧本代码中的。剧本执行后会解密出内嵌在其中的两个PE文件并执行它们。这两个PE文件一个是Remcos RAT木马 ，另一个是C#编写的经过混合的Dll注入器文件 ，其会将Remcos RAT木马注入到“RegAsm.exe”过程中执行 ，我们下文将对Remcos RAT木马进行分析注明。
图26 还原后的Powershell剧本文件
3.5 Remcos RAT木马分析
自2016年在暗网上的地下黑客社区起头销售以来 ，Remcos RAT非�；钤� ，根基上每个月城市颁布两个左右的新版本。其拥有键盘纪录、屏幕纪录、挪用摄像头和麦克风进行录像灌音、远程执行Shell号令、远程执行剧本、上传文件以及下载文件等职能。该工具由一家名为BreakingSecurity的公司刊行销售 ，图27是Remcos RAT的官网界面。通过公开的信息能够发现 ，其已被黑客频仍地使用在各类攻击活动中。
图27 Remcos RAT的官网界面
这次攻击活动开释的Remcos RAT版本为Remcos Professional 2.6.0(见图28),该版本颁布于2020年7月10日 ，目前Remcos RAT官网上最新的版本为2.7.1 ，颁布于2020年9月14日。
图28 Remcos RAT的版本信息
Remcos RAT木马将其“工作”必要用到的配相信息蕴含C&C服务器地址、网络通讯加密的key、互斥对象名、licence编号 ，以及和截屏、灌音操作等有关的其他信息 ，使用RC4算法加密存储在其PE资源名为“SETTINGS”的数据块中（见图29）。数据块由三部门组成 ，别离是key的长度、key和密文数据 ，图29中第一个字节0x66为key的长度 ，紧接着被选中蓝底的数据为key ，最后是密文数据。
图29 资源中加密存储的配相信息
Remcos RAT木马运行后会提取并使用RC4算法解密这些配相信息 ，图30是RemcosRAT木马提取SETTINGS数据的代码部门。
图30 提取SETTINGS数据的代码部门
RC4算法中sbox的初始化操作代码见图31。
图31 RC4算法的sbox初始化操作代码
解密出来的配相信息如图32所示 ，配相信息蕴含C&C服务器地址“boyflourish.myq-see.com:46617”、网络通讯加密的key“C4C3E3D83BE2B509C679E52AD999FFF8”、互斥对象名“Buddha-UL8D7Q”、licence编号“DCB9C483DA3351BB8231C303CAA1CA0F”以及和截屏、灌音操作等有关的一些其他信息。
图32 解密出来的配相信息
Remcos RAT木马会创建互斥体对象“Buddha-UL8D7Q”（互斥对象名称来自上面解密出的配置文件） ，以保障受习染主机当前只运行一份自身的事俘（见图33）。
图33 创建互斥体
Remcos RAT木马会启动键盘纪录线程来窃取受习染主机的键盘输入信息和剪切板数据。木马将窃取的这些信息保留在本地文件“%Appdata%\remcos\logs.dat”中。在以前的有些版本中logs.dat文件是加密的 ，不外在这次我们分析的这个版本中log.dat文件没有加密 ，数据的纪录体式和之前的版本根基类似（如图34） ，木马后续会将网络到的这些纪录日志发送到C&C服务器。
图34 纪录日志文件内容
Remcos RAT木马会网络受习染主机设备信息用于上线。网络的设备信息蕴含：受习染主机的用户名、CPU信息、操作系统名称、键盘纪录日志齐全蹊径、木马的齐全蹊径和版本等等（如图35所示） ，木马会将网络到的以上信息加密发送到攻击者节造的C&C服务器进行上线 ，通讯使用的加密算法为同为RC4 ，密钥为“C4C3E3D83BE2B509C679E52AD999FFF8”（来自前文解密出的配置文件）。
图35 网络习染主机信息上线
成功上线后 ，木马则期待C&C服务器下发节造指令以执行恶意职能。木马解析C&C服务器节造指令的代码片段见图36。这些节造指令的职能蕴含执行文件治理、过程治理、键盘纪录、屏幕纪录、挪用摄像头和麦克风进行录像灌音、远程执行Shell号令、远程执行剧本、上传下载文件 ，注册表操作、装置卸载远控等,我们将重要的节造号令和职能描述列在表4中。
图36 木马解析节造指令的代码片段
节造号令 | 职能描述 |
0x01 | 获取受习染主机最顶端法式标题 |
0x03 | 网络受习染主机所有已装置软件的有关信息 ，蕴含其软件供给商信息、版本信息、装置的蹊径信息、装置的日期等 |
0x04 | 从给定的URL下载文件并执行 |
0x05 | 接管从C&C服务器发送的文件并执行 |
0x06 | 网络受习染主机所有在运行的过程信息 |
0x07 | 实现指定的过程 |
0x08 | 枚举所有的窗口并获取窗口标题 |
0x09 | 关关指定的窗口 |
0x0A, 0x0B, 0xAD | 显示/暗藏指定的窗口 |
0x0C | 获取指定窗口的PID |
0x0D | 执行指定的号令行号令 |
0x10 | 处置jpeg数据 |
0x11 | 关关socket |
0x12 | 网络键盘信息 |
0x13 | 启动在线键盘纪录器 |
0x14 | 终场在线键盘纪录器 |
0x15, 0x16 | 读取指定的文件并将其发送到C&C服务器 |
0x17 | 删除指定的文件或蹊径 |
0x18 | 断根IE、Firefox、Chrome等浏览器的登陆信息和cookie信息 |
0x1B | 节造受习染设备摄像头 |
0x1D | 纪录受习染主机周围的声音信息并发送到C&C服务器 |
0x1E | 终场纪录受习染主机周围声音信息 |
0x20 | 删除指定文件 |
0x21 | 实现木马自身过程 |
0x22 | 卸载自身 ，同时会移除木马产生的有关文件 |
0x23 | 执行vbs剧本“restart.vbs”来沉启自身 |
0x24, 0x25 | 更新木马 ，该号令会从指定的URL下载文件并执行 |
0x26 | 在受习染主机显示信息 |
0x27 | 注销用户 ，关关系统或沉启习染主机 |
0x28 | 获取受习染主机剪切板数据 |
0x29, 0x2A | 清空受习染主机剪切板 |
0x2B | 创建一个共享内存来共享数据 |
0x2C | 从指定的URL下载数据并将数据共享到创建的共享内存中 |
0x30 | 衔接给定的服务器并与之通讯 |
0x31 | 在注册表中保留用户名 |
0x32 | 设置代理 |
0x34 | 执行服务节造 ，蕴含更改指定服务配置 ，启动、暂停、终止指定服务 ，将指定的服务状态返回给C&C服务器 |
0x8F | 枚举指定蹊径的文件 ，并将文件列表发送给C&C服务器 |
0x92 | 设置受习染主机桌面图片风格 |
0x94 | 批改指定窗口标题 |
0x95 | 获取实时物理内存状态并汇报给C&C服务器 |
0x98 | 向C&C服务器上传文件或从C&C服务器下载文件 |
0x9E, 0xA2 | 在习染主机播放忠告声音 |
0xA3 | 节造受习染主机播放或者终场音频文件 |
0xAB | 在受习染主机上提权 ，并将了局返回到C&C服务器 |
0xAC | 在受习染主机显示弹出菜单 |
表4 C&C服务器的节造号令和职能描述
可见 ，一旦Remcos RAT被成功植入到指标主机 ，其背后的黑客便可齐全节造这台主机 ，对其进行监控、数据窃取甚至是粉碎活动。
4.总 结
本文中 ，我们对“海毒蛇”组织使用的基础设施、攻击兵器、活动汗青等信息进行了全面而深刻的分析 ，并结合活动功夫分析以实时分辨析等步骤对该组织的成员及其所属国度进行溯源追踪 ，发现了其中的六名黑客成员并分析了该组织与“Gorgon”APT组织之间的关系 ，最后我们对最近出现的一次攻击进行了具体的逆向分析。
从我们分析的了局来看 ，“海毒蛇”组织持有大量恶意域名和用于托管恶意文件的虚构主机等网络基础设施 ，同时还利用物联网僵尸节造大量的物联网设备 ，其同时具备APT攻击和物联网攻击的个性。在最近的这次攻击活动中 ，黑客还定造了大量的拥有蛊惑性的钓饵文德反捕获指标。“海毒蛇”组织长于使用加密和变形的恶意脚正本躲避Web利用防火墙、入侵检测系统等网络安全设备的检测 ，其恶意剧本通过多阶段的嵌套下载和解密执行 ，以从远程服务器下载更多的恶意法式执行。
鱼叉式垂钓拥有定造化、精准化的个性 ，且拥有很强的蛊惑性 ，一旦员工失慎点击了垂钓邮件 ，就可能会对企业带来严沉的后果。黑客能够将窃取到的数据转售投机 ，或者利用这些数据进行更进一步的攻击活动。除此之表 ，攻击者还能够使用鱼叉式垂钓攻击部署恶意软件来劫持推算机 ，将指标推算机地点的网络造成可用于DoS攻击的重大僵尸网络。建议企事业单元不定期为员工进行安全教育培训 ，提升员工的安全防备意识。务必把稳不要轻易打开未知起源的电子邮件 ，出格是带有附件的电子邮件。如有必要 ，可通过打开office文档中的：文件-选项-信赖中心-信赖中心设置-宏设置 ，来禁用所有宏代码执行。并做好邮件系统的防护工作 ，督促员工实时更新系统和office利用补丁。若是发现系统或服务器出现异常 ，该当实时汇报并请专业人员进行排查 ，以解除安全隐患。
IOC:
Hash | 注明 |
c1ad13e65ca16578fe507339eb92ee40 | 钓饵文档 |
b687bbc1c9ab0d3b2313766d38b3db61 | vbs剧本 |
f2dbb624c007f0d041f6646638f4976d | Powershell |
71ebdb4ebcef964c45193e2df0968ade | 注入器 |
31539c9ae3f23ef851ca6e9a3c59227e | Remcos RAT |
d77e6878fe18848abd4264ed7641ad33 | 钓饵文档 |
085f0912018f137fc35173a2f118712b | Remcos RAT |
2f0126e9145e12a1e9b498ca55d3a245 | 钓饵文档 |
c8fdf886ae4301918b79995330634a37 | vbs剧本 |
e5a478872b61c8b4ff309d38954874b9 | Powershell |
143c76586eb02d515ae68046c34849fe | 注入器 |
dc295718025e3cc7013db7df026ad3ad | Remcos RAT |
6da083f6d4ddda45cc06b257ea43e6de | 下载器 |
95dac87cec4a40d4626ee710402c1d70 | Powershell |
3da5021331de7a4593219b93fe9ac5ba | Masslogger |
0a4fa8c861ed733b116ce6ed790629d0 | Powershell |
4f00af0f16b5010ba7a0c4ecca7312b0 | Powershell |
eb1ac927ff3f3a9f2230cb4138389fe7 | Mirai |
db23c3dbb5d21d6daab22c548a3b6522 | Mirai |
4703788977bd0d98d41531766fa91e98 | Gafgyt |
f63a7d569c019de1f0ff401c4cc22b41 | Gafgyt |
…… |
IP和域名 | 注明 |
185.172.110.214 | 恶意文件托管服务器 |
185.172.110.210 | 恶意文件托管服务器 |
185.244.30.243 | C&C服务器 |
79.134.225.32 | C&C服务器 |
boyflourish.myq-see.com | C&C服务器 |
rapture666.myq-see.com | C&C服务器 |
plaitt.com | 恶意文件托管服务器 |
…… |
宝运莱官方网站积极防御尝试室（ADLab）
ADLab成立于1999年 ，是中国安全行业最早成立的攻防技术钻研尝试室之一 ，微软MAPP打算主题成员 ，“黑雀攻击”概想首推者。截止目前 ，ADLab已通过CVE累计颁布安全缝隙近1100个 ，通过 CNVD/CNNVD累计颁布安全缝隙900余个 ，持续维持国际网络安全领域一流水准。尝试室钻研方向涵盖操作系统与利用系统安全钻延注移动智能终端安全钻延注物联网智能设备安全钻延注Web安全钻延注工控系统安全钻延注云安全钻研。钻研成就利用于产品主题技术钻延注国度沉点科技项目攻关、专业安全服务等。
京公网安备11010802024551号