宝运莱官方网站ADLab：对近期某未知黑客组织攻击活动追踪与分析汇报
颁布功夫 2024-08-301.分析简述
在从前几个月里 ，宝运莱官方网站ADLab陆续发现一批利用贸易木马remcosRAT攻击全球多个大型企业的网络攻击活动 ，这些攻击活动试图将窃取的敏感数据回传至美国的多台C2服务器上 ，这其中被攻击的企业还蕴含一家中国央企控股的表运企业 ，通过组织溯源发现这批攻击活动并不属于已知的任何黑客组织(蕴含APT组织) ，因而 ，为了进一步把握该黑客组织的活动情况 ，我们从4月份起头对该黑客有关的活动进行出格关注和追踪 ，直到本文实现时仍未有该攻击活动的披露汇报。
通过长功夫的攻击样本网络 ，最后我们获得了跨度5个月功夫的190多个攻击样本 ，这些攻击样本中有140多个都试图回连到位于美国地域的节造号令服务器上。其中服务器重要集中在173.255.204.62、107.173.4.18和107.175.229.143。通过溯源分析确定这批攻击活动从2024年3月份就已经起头了对指标企业进行攻击 ，在接下来的几个月里攻击活动变得越来越活跃 ，直到7月份达到活跃顶峰后 ，8月份攻击活动慢慢变少。
通过基础设施和样本分析发现 ，这是一个自动化水平极度高的黑客组织 ，其甚至可能将整个攻击周期都进行了自动化 ，我们发现攻击组织将黑客邮箱注册、域名注册、缝隙利用代码、loader即时编译、木马天生、攻击投放等过程都进行了自动化。当然除了自动化表 ，黑客组织也会凭据自身把握指标的水平而选择进行定造化的攻击。
从攻击指标来看 ，这批攻击活动除了攻击我国某表运企业表 ，还蕴含一些全球性的国际业务企业以及化学制品、机械造作、金融保险等领域有关企业。我们追踪到的攻击活动重要以鱼叉邮件和早期office缝隙为主 ，大量样本的文件特点阐发为高度自动化出产与自动化投放的特点 ，同时一些攻击邮件也阐发出与指标产品和客户关系细节有关的高度定造化的个性。投放的窃密木马重要为5.1.0 Pro版本的remcosRAT ，相较于我们之前分析的remcosRAT版本 ，新版本允许黑客通过Telegram机械人与木马端交互 ，如此一来 ，黑客能够使用手机、平板电脑等移动设备随时随地进行木马节造 ，攻击场景越发矫捷。
从匹敌手法上来看 ，该未知黑客组织利用了多阶段远程加载技术、混合技术、AD技术和过程镂空技术来躲避流量监测和杀毒软件的查杀 ，其中AD（ADD-TYPE）技术是一种较为少见的技术 ，在混合的powershell代码中 ，其时时被用来实现荫蔽的.net法式集的挪用 ，黑客在本攻击活动中用来实现远程恶意代码的荫蔽下载。
2.攻击活动分析
我们在追踪这批攻击活动的过程中 ，总共网络了190多份攻击样本 ，从每个攻击样本的入侵蹊径上分析 ，发现黑客重要有两种攻击伎俩。
第一种是通过投递恶意的带有缝隙利用代码的office文档（xls和doc文档）来进行 ，其中的缝隙利用法式会从黑客服务器高低载一个带有JS剧本的hta文件并加载执行 ，此时JS剧本内一段被混合的VBS剧本便会被启用 ，而这段VBS执行后最终会挪用一段被混合的powershell代码。这段powershell剧本选取了AD技术 ，其为当前法式增长了一个新的 .NET 类型 ，该类型蕴含一个从 urlmon.dll 动态链接库中导入的 URLDownloadToFile 函数 ，powershell利用该函数从黑客服务器高低载一个被二进造混合过的loader法式并执行 ，该loader最终会解密并执行窃密木马remcosRAT。
第二种攻击手法就是直接将混合过的hta文件（或其链接）和loader法式假装成为正常文件/链接附在垂钓邮件中 ，诱使指标执行钓饵文档。
我们先以7月25日的一路鱼叉垂钓邮件攻击起头来单一分析黑客的攻击过程 ，在整个攻击周期中 ，有大量类似的攻击邮件 ，如图1这样。这个案例里黑客将发件人假装成了印度高档面料造作商“Raymond”有关工作人员 ，将一个恶意文件投递到我国某表运公司的工作人员。邮件主题为 “RFQ”（报价要求） ，邮件附件为“Quotation.xls”（报价.xls） ，正文翻译成中文是“请查收附件所需项主张报价单 ，并以报价单确认 ，请确认收条”。
图1 针对我国某表运公司的攻击邮件
这种以报价为钓饵的攻击邮件重要通过某些模板自动化天生 ，其合用领域较广 ，成功率也较高。这种类似的攻击或许流程如图2所示：
图2 黑客攻击流程图
黑客首先将木马存坊嵩己成立的文件服务器上 ，在配置好邮件payload后 ，通过自动化法式（以邮件模板库与谍报库中指标信息为凭据）天生攻击邮件 ，并向指标企业投放木马。当受害者失慎打开邮件的附件文档 ，其中被精心构建的缝隙利用法式便会被触发 ，获得执行权限的shellcode接下来会通过多级级联下载（为了便于躲避查杀） ，最后成功投放木马remcosRAT。黑客利用该木马可齐全收受和节造指标主机 ，且能够对指标地点的网络进行下一步的入侵 ，以追求更具价值的数据。其他类似攻击如图3所示。
图3 关联到的部门网络攻击邮件截图
这一系列攻击活动中 ，黑客的假装对象还蕴含我国某海运服务集团、我国某国际物流公司、美国物流公司“Expeditors”、新加坡物流航运公司“Interion Pte Ltd” 等实体。
表1 部门定向攻击邮件有关信息
攻击指标还蕴含韩国“船舶燃油系统、推动系统和把持系统等系统”代理商“Boema Hi-Tec Ltd”、智利网络信息中心“Network Information Center Chile（NIC Chile)”、 捷克气动元件、机床、食品加工设备公司“Stransky a Petrzik”以及墨西哥“称沉、鉴别和检测系统”造作商“Grupo IPC”等企业 ，部门受害企业有关信息如图4。
而对于一些特定的指标 ，黑客会凭据这些指标的分歧业务内容和企业情况进行邮件定造。如图5所示：黑客宣称自己来自一个泵工业企业 ，向韩国船舶加工、轮船推动有关代理商“Boema Hi-Tec Ltd”发送了主题为“Inquiry - Pumps & Accessories - (Oasis Pump Indusry LLC)（查问-泵和配件-绿洲泵业有限责任公司）”的邮件 ，正文中宣称是要从该企业采办水泵和配件产品 ，附件为“Pumps Product List & Drawing Dimensions.xls（泵产品清单及图纸尺寸）”是其必要的产品规格和图纸尺寸。类似的主题和内容还佑装New Enquiry”（新询盘）、“New Items order”（新项目订单）和“PAYMENT”（付款）等。
图5 定造化攻击邮件示例
3.基础设施分析
在我们持续的追踪和分析后 ，总共得到了194个攻击样本 ，这些样本分别呈此刻黑客攻击的分歧阶段 ，我们把这些样本大体分为四大类 ，其中第一类是利用office缝隙的xls和word恶意文档；第二类是内嵌有js剧本的hta文件；第三类是存储在黑客文件托管服务器上的remcosRAT木马的loader；第四类是用于直接通过邮件进行木马投递的压缩包文件。
通过最终分析确认 ，黑客窃密木马的节造号令服务器为“bossnacarpet.com”和“vegetachcnc.com” ，目前这两个域名都解析到位于美国73.255.204.62服务器上 ，回传端口为2556。除了用于节造指标主机的节造号令服务器表 ，黑客还有一些用于存储hta和remcosRAT木马loader的托管服务器 ，大部门的样本托管服务器都位于美国境内。这些托管服务器有关信息如下。
窃密木马节造号令服务器域名“bossnacarpet.com”注册于2023年8月4日 ，但是一向未有使用直到2024年4月解析到了服务器107.175.229.143。从4月份到8月份更换了2次服务器别离为5月更换为服务器107.173.4.18 ，7月份更换为服务器173.255.204.62。服务器173.255.204.62一向使用到此刻。
而节造号令服务器域名“vegetachcnc.com”是2024年3月21日新注册的域名 ，其直到2024年7月才被配置到服务器107.173.4.18和服务器173.255.204.62上。
此表 ，从这两个域名的注册信息来看（见图6） ，黑客极有可能使用了自动化注册工具来实现 ，若是揣摩成立 ，那么我们所发现这批攻击可能只是该黑客组织某一个分支。
当然除了域名注册存在自动化的痕迹表 ，该黑客组织的攻击样本看起来也拥有很强的自动化个性。部门文件信息如表4所示 ，在我们网络到的样本中存在大量8字节十六进造名称的缝隙利用文档如“A5570000”和“00870000”类似的大局 ，这些攻击文档无疑是黑客通过自己的攻防平台自动化天生的恶意文件。这类文件的出现功夫重要集中在2024年3月份到8月份。
表4 恶意钓饵文档
对于前面提到的第二类文件并不多 ，如表6所示。这是黑客攻击蹊径中的一类中央文件 ，一部门攻击将此类文件的链接附着在垂钓邮件中 ，诱使指标点击；一部门通过缝隙利用文档从远程下载执行。这些文件现实上是一些蕴含多层混合和编码的JavaScript剧本文件 ，JavaScript剧本文件中再嵌套混合的VBScript和混合的PowerShell号令 ，最后利用PowerShell号令从黑客服务器高低载被二进造混合过的loader法式并执行。
表5 恶意hta文件
恶意hta文件执行后 ，会从黑客服务器高低载被二进造混合过的loader法式并执行 ，这些loader最终会解密并执行窃密木马remcosRAT。
表6 恶意loader法式
通过该表我们还能够看出 ，有很多loader法式在编译好后就在很短功夫里便投入使用了 ，和我们观察到的功夫极度靠近 ，有的最短距离甚至不到半幼时 ，这显然是通过自动化的木马即时编译即时投放平台实现的。
4.攻击案例分析
图7 攻击流程图
4.1 钓饵邮件投递
这次攻击始于一封试图假装成印度高档面料造作商“Raymond”有关工作人员的报价要求邮件（见图8） ，此邮件是发送给我国某表运公司的工作人员的。邮件主题是“RFQ（报价要求）” ，附件钓饵文档名称为“Quotation.xls（报价.xls）” ，正文翻译成中文是 “请查收附件所需项主张报价单 ，并以报价单确认 ，请确认收条”。从邮件的主题和正文内容来看 ，攻击者是想假装成印度高档面料造作商“Raymond”对我国某表运公司执行邮件攻击。
图8 攻击者投放的攻击邮件
附件文档“Quotation.xls”（见图9）是一个“CVE-2017-0199”缝隙利用的恶意文档 ，若是受害者设备上的Office未实时更新 ，而受害者又由于忽略打开了该文档 ，缝隙利用代码便会执行。
图9 钓饵xls文档
缝隙利用代码会加载和执行攻击者部署的恶意hta文件：“http://192.3.118.15/xampp/mnu/gdfc.hta” ， gdfc.hta文件的内容如图10所示 ，该文件只蕴含一个混合处置过的Javascript剧本。
图10 gdfc.hta文件部门内容
这段 JavaScript 剧本使用了 unescape() 函数来解码一个经过编码的字符串‘%3C%73%63%72%69%70%74%20%6C%61%6E%67%75%61%67%65%3D%4A%61%76%61%53%63%72%69%70%74%...... 69%74%65%28%64%29%3B%3C%2F%73%63%72%69%70%74%3E’ ，并通过 document.write()步骤将解码后的内容输出到页面上。这段经过编码的字符串解码后见图11 ，我们来看这段代码都干了些什么：m 变量蕴含了齐全的 HTML 和嵌入的 恶意VBScript 代码（这部门代码使用了 JavaScript）；unescape(m) 函数用于解码 m 中的转义字符 ，将其还原为原始文本；document.write(d)将解码后的 HTML 和恶意 VBScript 代码写入到文档中 ，这一步相当于动态加载恶意代码到用户的浏览器环境中。
图11 解码后的代码结构
恶意VBScript 代码如图12所示 ，我们看到这段代码混合了变量名和号令并使用了超长变量名“FZmVzmbnJlDsrDPejjREhoSUpLccYGThfiITYHmlYTerSIATfMkpyNZNbIRRjmhWgbmEymiqenIvsgxmwrNLYaeXZijiaptaxmbXnjqXRcpyedgHXEBNUiJUXUhXLWgRSybTIFmCYTdxsJdzwjCoDvqZLzLfGqVOgsqmVJ”和“BMheopsbVrJXHOKkrGKTzUVwCTPAsCMcYpVBKRxInxQgxxxJNQGzAmHManmtkLfnoAWzQzvWZLNeeRnjqUjxMjVNGzutUDKfYPYGIjBZFBqBFTwUBnhvlFXGUZbhzaOLDDQDpQeYIpmdbxmXWpqbaweBsgWtZWGnHmnaLp”。这样操作既躲避了一些安全软件的检测又增长了分析人员的阅读难度 ，能够说是“两全其美”。这段代码的主张是执行一个PowerShell号令（绿色部门）。
图12 恶意VBScript代码
执行下载的可执行文件。我们能够看到 ，这段代码的重要职能是从指定的 URL 下载恶意可执行文件 ，并鄙人载实现后运行它。
图13 PowerShell要执行的号令
4.2 恶意法式分析
通过前面下载并执行的恶意法式为“http://107.173.143.46/T2307W/csrss.exe” ， 经过度析 ，我们发现csrss.exe是一个恶意loader ，由于该恶意loader经过了严沉的混合 ，并且好多函数使用了动态加载技术 ，因而仅通过静态分析我们很难知路它的关键执行逻辑。结合动态分析 ，我们发现 ，该loader在执行后会在内存中解密出贸易木马remcosRAT ，而后新起一个傀儡过程如“msbuild.exe” ，接着使用过程镂空技术将remcosRAT木马注入到新起的傀儡过程空间中执行。过程镂空技术常被恶意软件用于注入恶意代码 ，以逃避杀毒软件的监测和防御机造 ，并在指标系统上执行恶意活动。
loader会在指标推算机上Microsoft.NET Framework的装置目录下选择一个合法的.NET有关法式如“msbuild.exe”、“ regsvcs.exe”、“ jsc.exe”和“installutil.exe”等作为指标来创建傀儡过程。如图14所示 ，恶意loader首先使用CreateProcessW函数创建C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\msbuild.exe过程 ，必要把稳的是 ，这个过程的主线程被设置为挂起状态 ，在后续注入实现恶意代码后 ，loader会挪用ResumeThread函数来复原指标线程的执行。
图14 创建指标过程
创建完傀儡过程后 ，loader通过挪用ZwUnmapViewOfSection函数来取缔傀儡过程中的内存映射 ，如图15所示。
图15 取缔指标过程中的内存映射
接着 ，loader挪用VirtualAllocEx函数来为傀儡过程分配内存（如图16） ，为的是将后续的恶意代码写入到傀儡过程的地址空间。
图16 为傀儡过程分配内存
分配完内存后 ，loader再挪用NtWriteVirtualMemory函数将remcosRAT的PE头注入到傀儡过程地址空间 ，如图17所示。
图17 注入remcosRAT的PE头
注入PE头后 ，如图18所示 ，loader持续将remcosRAT 的“.text”section注入到傀儡过程空间。接着 ，loader会以同样的方式顺次注入remcosRAT的“.rdata”、“ .data”、“.tls”、“ .gfids”、“ .rsrc”和“.reloc”section。
图18 注入remcosRAT 的“.text”section
如图19所示 ，在整个remcosRAT恶意代码注入实现后 ，loader则挪用ResumeThread函数复原指标傀儡过程的主线程 ，这样 ，remcosRAT木马就在指标傀儡过程中执行了。
图19 复原傀儡线程
4.3 remcosRAT木马
通过前面的分析 ，我们知路 ，恶意loader通过内存解密和过程镂空技术 ，最终在习染设备上执行了贸易远控木马Remcos RAT ，其版本号为“5.1.0 Pro”（如图20所示）。自2016年在暗网上的地下黑客社区起头销售以来 ，Remcos RAT非�；钤� ，根基上每个月城市颁布两个左右的新版本。该工具由一家名为Breaking Security的公司刊行销售 ，其拥有键盘纪录、屏幕纪录、挪用摄像头和麦克风进行录像灌音、远程执行Shell号令、远程执行剧本、上传文件以及下载文件 ，文件治理、过程治理、注册表操作和装置卸载远控等职能 ，只有Remcos RAT被成功植入到指标设备 ，其背后的黑客便可齐全节造指标设备 ，对其进行监控、数据窃取甚至是更进一步的粉碎活动。我们此前在汇报《【深度】ADLab针对新型黑客组织“海毒蛇”深度追踪与分析》和《关于近期俄乌网络攻击活动追踪分析汇报》中曾对其进行过具体的技术分析 ，在此不做过多赘述 ，下面仅对其配置文件部门进行简要注明。
图20 最终执行的贸易远控木马remcosRAT
如图21所示 ，Remcos RAT运行后会从自身资源中解密出配相信息 ，里面蕴含C&C服务器地址“bossnacarpet.com:2556 ，vegetachcnc.com:2556”、互斥对象名“chrome-6W1HCC”、键盘纪录文件名“logs.dat”、Licence ID“C90245FEC67A6F41723337BDF4A60126”以及和截图、灌音等操作有关的其他信息。
图21 解密出来的配相信息
相较于旧版本 ，Remcos从 v5.0.0版本起头增长了移动端的节造支持 ，图22是Remcos官网下有关的更新介绍 ，由介绍可知 ，Remcos v5.0.0版本允许黑客通过Telegram机械人与木马端交互 ，因而黑客能够通过智能手机、平板电脑和浏览器实现对指标主机的节造。同时Remcos Telegram机械人支持以实时通知的方式让黑客实时相识指标设备运行情况。
图22 Remcos新职能
图23是Remcos Telegram机械人支持的节造号令列表 ，黑客能够通过其实现对指标主机的各项节造 ，如屏幕纪录、挪用摄像头录像、远程执行Shell号令、远程执行剧本、下载和文件 ，浏览器操作等。
图23 Remcos Telegram机械人节造号令
固然Remcos Telegram机械人支持的节造号令目前没有原始的 C2节造端多 ，但是借助于Telegram的跨平台支持 ，黑客能够使用手机、平板电脑等移动设备随时随地进行木马节造 ，极大拓展了黑客的攻击场景。借助于Telegram的实时通知 ，黑客能够实时接管受习染设备的状态更新和通知 ，便于其实时采取下一步行动。另表 ，由于 Telegram 在国表是常见的通讯工具 ，使用它进行节造能够躲避一些安全软件和网络监控的检测。这些优势使得 Remcos RAT 在 5.0.0 版本后变得越发壮大和矫捷 ，进一步提升了其在恶意活动中的利用价值。黑客采办新版Remcos进行攻击 ，能够凭据他们自己的具体需要选择相宜的节造方式。而针对新版Remcos的这些个性 ，安全人员和厂商必要不休提升检测和响应能力 ，选取多档次的防御战术 ，并维持对最新威胁谍报的持续关注。
5.总 结
我们就近几个月观测到的一系列利用托管在多个黑客服务器公开蹊径上的大量恶意文件进行的网络攻击活动进行了分析 ，我们对这些攻击活动使用的基础设施、攻击兵器、活动汗青和攻击手法等信息进行了全面的分析 ，并且我们对最近出现的一次针对我国某表运公司的攻击进行了具体的逆向分析。从这些攻击活动的攻击指标和攻击手法来看 ，其背后的攻击者很或许率上是一个以经济利益为指标的犯罪团伙。几个月来 ，他们一方面对于沉点指标定造恶意文件进行定向攻击 ，一方面大批量自动化天生邮件、缝隙利用文件和loader进行广撒网式的攻击 ，随后窃取指标公司的贸易机密、沉要工业技术信息等敏感信息 ，以实显熹经济利益 ，也不排除该犯罪团伙以这些攻击指标为跳板 ，进一步向有关企业的高低游公司、合作同伴、当局高校等机构进行攻击 ，以获取更多的“攻击成就”。这些攻击不仅会对有关企业的运营和名誉造成严沉影响 ，还可能导致工业配方、客户资料等主题涉密数据泄露 ，后果不胜设想。
截至目前 ，该犯罪团伙的攻击活动依然活跃 ，仍将有不少公司会成为其新的猎物 ，我们会持续关注和跟进该黑客团伙的有关攻击活动。
宝运莱官方网站积极防御尝试室（ADLab）
ADLab成立于1999年 ，是中国安全行业最早成立的攻防技术钻研尝试室之一 ，微软MAPP打算主题成员 ，“黑雀攻击”概想首推者。截至目前 ，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计颁布安全缝隙5000余个 ，持续维持国际网络安全领域一流水准。尝试室钻研方向涵盖基础安全钻延注数据安全钻延注5G安全钻延注人为智能安全钻延注移动安全钻延注物联网安全钻延注车联网安全钻延注工控安全钻延注信创安全钻延注云安全钻延注无线安全钻延注高级威胁钻延注攻防系统建设。钻研成就利用于产品主题技术钻延注国度沉点科技项目攻关、专业安全服务等。
京公网安备11010802024551号