疑似TA555针对乌克兰国家边防卫队的最新攻击活动分析

最新推荐文章于 2024-09-16 07:22:11 发布

systemino

最新推荐文章于 2024-09-16 07:22:11 发布

阅读量429

点赞数 1

本文链接：https://blog.csdn.net/systemino/article/details/98072911

版权

近日，奇安信威胁情报中心红雨滴团队在日常的样本监测过程中，捕获一例针对乌克兰国家边防卫队伊斯梅尔支队的攻击样本，该样本伪装成乌克兰国家财政局进行鱼叉邮件投递，诱导受害者启用带有恶意宏代码的附件文档。一旦恶意宏代码得以执行，便会在受害者机器上运行PoshAdvisor恶意软件，从而控制受害者计算机。

经溯源关联，该攻击文档疑似来自TA555组织[1]，TA555是国外安全组织Proofpoint追踪命名的黑客组织，在以往的攻击活动中，该组织的目标通常为酒店，餐厅，电信行业，本次攻击活动是该组织第一次针对政府机构的活动。PHP大马

文件名	Звернення керівнику підприємства.eml
MD5	4423c37da26868ec578baa5514b8308a

攻击者伪装为乌克兰财政部门以致领导人为主题进行鱼叉邮件投递

诱导受害者打开带有恶意宏代码的附件постанова_29_07_2019(2).doc（2019/7/29 决议）

一旦受害者启用宏，恶意宏代码便会执行powershell从远程https://23.227.194.58/（7位随机字符）.png获取恶意代码执行

在分析该样本时，服务器已失效，无法获取后续，但奇安信威胁情报中心高对抗沙箱在捕获该样本时，已成功获取后续。

从远程服务器下载powershell执行，该段powershell继续从远程服务器https://23.227.194.58/（9位随机字符）.png获取后续执行

红雨滴团队高对抗沙箱获取后续如下：

该段powershell首先加载c#dll到内存中，并调用其B6ILdR()函数

B6ILdR()获取系统版本号等信息

之后执行一段base64解码的powershell

此段powershell主要功能为获取系统信息上传，通过cmd命令获取系统信息

之后调用c#中的fqlw函数生成URL路径，该函数主要将B6ILdR()函数获取系统信新格式化后的字符经异或等处理后组成url路径，并在post方法后加上.asp后缀，其他方法加上.jpg后缀。天天好彩

将通过cmd命令获取的系统信息上传到23.227.194.58/（urlpath）.asp

接着从注册表中获取outlook邮箱配置信息上传

截取当前屏幕上传

当此段powershell执行结束后，进入接受指令流程，从23.227.194.58/（urlpath）.jpg获取指令执行，当获取的数据长度大于等于48时，进入远控功能流程

获取数据的第一位为指令位，通过判断第一位的数据从而执行不同功能

远控指令功能如下表

指令	功能
0	调用Ka2l7Xn3O函数执行shellcode
1	通过iex执行powershell指令并将执行结果上传
2	下载dll保存到%temp%目录下并通过ChlVniP4q6函数调用执行
3	下载exe报道%temp%目录下并执行
99	退出
其他	根据偏移4的id下载执行shellcode