Quick Heal Labs volg hierdie kuber-spioenasie-operasie sedert 2016. Ons het hierdie aanval as operasie m_project geïdentifiseer . Die afgelope jaar het ons 'n toename in hierdie APT-aktiwiteite gesien. Die modus operandi van die aanvallers het oor die jare dieselfde gebly. Die aanvaller stuur spies-phishing-e-pos met kwaadwillige Office-dokumente, wat óf Office-kwesbaarheid uitbuit óf VBA-makro gebruik — na suksesvolle uitbuiting lei dit verder tot die aflaai van MSIL-gebaseerde RAT. Hierdie RAT voer datasteelaktiwiteite uit en stuur dit na 'n C2-bediener.
In 'n onlangse veldtog het ons twee verskillende variante gevind, soos volg:
Variant 1:
In die waargenome dokumentlêer word gesien dat die aanvaller 'n militêre gebeurtenis, 'Die 72ste Indiese Leërdag', as lokaas gebruik om ontvangers te vra om skakels vir opleiding en ander besonderhede oop te maak.
Sodra die slagoffer op daardie skakel klik, laai dit 'n ander doc- of xls-lêer af en maak dit oop, wat die werklike kwaadwillige makrokode bevat.
Die lêer wat die makrokode bevat, dekodeer die string en skryf dit na die skyf as 'n PK (zip-argief) lêer op die masjien. Makrokode definieer waar die PK (zip) lêer onttrek moet word en onttrek dit nadat die weergawe van die bedryfstelsel bepaal is, waarna dit die PE-lêer uitvoer.
Die vrag is .NET-assemblage, 'n lêer van die Crimson Rat-familie, wat na uitvoering verbind met die CnC-bediener wat deur die aanvallers beheer word.
Sodra die slagoffergasheer aan die CnC-bediener koppel, sal dit 'n opdrag na die slagoffermasjien stuur om die OS-inligting sowel as gebruikersinligting te kry. Dit beteken ook dat as die CnC af is, die vrag niks sal doen nie.
Daar is verskeie modules wat ons waargeneem het wat verskillende funksies verrig soos om 'n skermkiekie van die huidige masjien te neem, belangrike data te verwyder, data per e-pos te stuur, lêers na die CnC-bediener te stuur, ens. Interessant genoeg kan sekere modules ook lêers van die slagoffer se bediener(s) verwyder.
Hieronder is die CnC-opdragte kommunikasie-
Variant 2:
Ons het 'n ander variant van Transparent Tribe waargeneem waarin dit verskillende tegnieke gebruik om die agterdeur uit te voer. Die inhoud van die lokmiddeldokument word gebruik om sommige regeringsamptenare te lok. Die lokmiddeldokument word soos volg in hierdie veldtog gebruik:
Teenstanders gebruik relatiewe data om die gebruiker te mislei om die dokument oop te maak en die makrokode uit te voer. Nadat die makro geaktiveer is, begin kwaadwillige aktiwiteit. Eerstens word 'n zip-lêer saam met een VBS-skrip en een CS-lêer na die '%programdata%\systemidlepref'-ligging geplaas. Anders as die vorige variant waarin makrokode self verantwoordelik is om 'n enkele zip-komponent op die skyf te plaas en te onttrek, word .vbs-kode in hierdie variant gebruik om die lêers na die skyf te onttrek. Nadat windproc.scr uitgevoer is, roep dit die Realtime.scr-lêer op wat saamgestel is uit die Realtime.cs-lêer. Die hoofdoel van die Realtime.scr-lêer is om 'n finale vrag van die CnC-bediener af te laai. Die afgelaaide lêernaam is x64.scr, wat nog 'n .NET-lêer is.
X64.scr laat 'n komponent in die %programdata%\SppExtComTel-lêergids val met dieselfde naam as die lêergidsnaam 'SppExtComTel.scr'. Die .LNK-lêer is ook van 'SppExtComTel' wat by die opstartligging val om permanent in die stelsel te bly.
Wanneer SppExtComTel.scr uitgevoer word wat werklike kwaadwillige aktiwiteit uitvoer, begin dit stelselinligting insamel, soos inligting oor die lopende proses en die PID wat dit na die CnC-bediener stuur.
Aanvanklik kyk dit of die 'rundll32.exe' teenwoordig is by die 'C:\Windows\system32'-ligging of nie. Indien teenwoordig, gaan dit in die eerste oneindige while-lus wat eindig wanneer daar 'n waarde terugkeer van die 'whatcostus()'-funksie.
Hier volg die kode van 'whatcostus()'
Dit lys die inligting oor die lopende proses soos Prosesnaam, Proses-ID, Hoofvenstertitel en stoor dit in 'n plaaslike skikking. Die versamelde inligting word na die CnC-bediener gestuur met behulp van die 'HTTP POST'-metode.
Die veranderlike adres wat die URL-inligting bevat, word gede-obfuskeerd ten tyde van uitvoering.
hxxp://awsyscloud[.]com//E@t!aBbU0le8hiInks/credit!tors[.]php
Nadat data na die bediener gestuur is, reageer dit met 'n beheerwoord (slegs indien die versoek geldig is) wat aan die teksveranderlike kan toewys om die oneindige while-lus te beëindig. As die reaksie NULL is, sal die while-lus weer voortgaan om uitgevoer te word volgens die whatcostus().
Later, afhangende van die analise van die kode, kan dit 'n ander lêer aflaai en daardie lêer uitvoer vir verdere aktiwiteit.
MITRE ATT&CK Dekking:
Volg ATT&CK-tegnieke wat in APT Transparent Tribe waargeneem is.
| Aanvanklike toegang | Uitvoering | Volharding | Verdedigingsontduiking | Discovery | versameling | Bevel en beheer | Ekfiltrasie |
| Spearphishing-aanhegsel | Opdraglyn-koppelvlak | Register-uitvoersleutels / opstartmap | Stel saam na aflewering | Prosesontdekking | Screen Capture | Aangepaste Bevel- en Beheerprotokol | Eksfiltrasie oor die bevel- en beheerkanaal |
| Spearphishing-skakel | Uitvoering deur modulelaai | scripting | Navraagregister | Afstandlêerkopie | |||
| scripting | Ontdekking van sekuriteitsagteware |
Aanhegselname:
- csoi vir dhcp-aanbodlys.xls
- 1562850317-sirkelvormig1.xls
- Spesiale voordele.doc
- Kriteria-van-Leëroffisiere.doc
- 7-Alles-Geselekteerde-lys.xls
- advies vir alle verdedigingspersoneel .doc
IOK se:
| 6099E910FC0D4C9F3D884E8DB70BB407 | XLS |
| 4B103160DAB1837CF64EBA8E9FA4C2EC | XLS |
| 1f8076bad6a2d7963a813f2f81fe0647 | Doc |
| 2fbc14f02a8325c9f40da4640349e95c | Doc |
| A3a0750d74705d235b60556f1331ae9b | PE |
| D333BAE2C45FE431BEFD7A88F1D7A540 | PE |
Verwysing-
https://blogs.quickheal.com/beware-email-attachments-can-make-victim-spear-phishing-attacks/
https://blogs.quickheal.com/quick-heal-labs-report-on-targeted-attack-named-m_project/
https://blogs.quickheal.com/wp-content/uploads/2016/03/Report.pdf
Afsluiting-
Aangesien beide variante gebruik word om geteikende aanvalle uit te voer, is sommige van die ooreenkomste die makro van lokmiddeldokumente, laai-afleweringsmeganismes en .NET-samestelling. As gevolg van die politieke en geografiese belang, sal sulke spioenasieveldtogte steeds die sensitiewe Indiese organisasies teiken.
Onderwerpkundige:
Aniruddha Dolas
Prashant Tilekar
Pawan Chaudhari
