01 概述

从2015年7月起至今,军刀狮组织(APT-C-38)在中东地区展开了有组织、有计划、针对性的不间断攻击。其攻击平台为Windows和Android,截止目前360烽火实验室(360 Beaconlab)一共捕获了Android平台攻击样本25个,Windows平台攻击样本4个,涉及的C2域名16个。

2018年5月,Kaspersky安全厂商发表报告《Who’s who in the Zoo》,首次批露该组织为一个未归属的专注于中东目标的间谍活动组织,并命名ZooPark,涉及的攻击武器共包含四个迭代版本的Android端RAT,载荷投递方式包括水坑和Telegram频道。

2019年,360烽火实验室捕获到军刀狮组织的最新攻击活动,除发现Android端攻击外还发现该组织带有Windows端攻击,其中Android端RAT仍属于第四代。我们结合APT攻击的地缘政治因素、攻击组织使用的语言以及该组织发起的历史攻击活动,分析后认为该组织是位于西亚的中东某国家背景的APT组织。另在此感谢我们的兄弟团队----360高级威胁应对团队对本报告Windows端RAT内容的完成。

由于军刀狮组织的攻击目标有一个主要的特色目标是西亚中东某国的库尔德人,另Windows端RAT包含的PDB路径下出现多次的“Saber”,而亚洲狮为该中东国家的代表动物,结合该组织的一些其它特点以及360对 APT 组织的命名规则,我们将该组织命名为军刀狮(APT-C-38)。

图1.1 军刀狮关键攻击活动时间事件点

02 载荷投递和网络基础设施

军刀狮组织载荷投递的方式主要为水坑攻击和Telegram频道。需要注意的是该组织在2018年5月初被首次披漏后,攻击组织在当月月底使用了新一批的网络基础设施。

  • 水坑攻击

目前已发现有两家在中东地区流行的阿拉伯新闻报纸网站(科威特Annahar和埃及Al-Nahar)曾被该组织用来水坑攻击。

图2.1 埃及Al-Nahar网站

  • Telegram频道

除了上面两个针对指定中东地区阿拉伯国家的水坑攻击外,我们还发现到该组织在攻击其主要的攻击目标中东某国的库尔德人时多采用Telegram频道传播(如伊斯兰议会前对库尔德斯坦省选举攻击和库尔德斯坦省马里万萨南达季的抗议活动攻击等)。

图2.2 伊斯兰议会前对库尔德斯坦省选举攻击的Telegram频道

  • 网络基础设施

至今军刀狮组织已经使用了多个网络基础设施。

表1 军刀狮组织使用的网络基础设施

需要注意的是其在2018年5月23日新申请了一批网络基础设施,最新的移动端攻击载荷于2019年3月部署在其中的一个服务器,这批中间服务器共有4个,有3个至今仍存活且解析后实对应同一IP,这批服务器充当着PC端和移动端RAT的中间服务器角色。

图2.3 被披露后军刀狮组织当月新部署的一批网络基础设施

03 诱导方式

军刀狮组织在这次行动中主要使用以下两种诱导方式:

  • 含有正常APP功能的伪装

为更好的躲避被察觉到,除了对文件图标进行伪装外,还会在RAT启动时显示出正常的APP界面,目前四个迭代版本的Android端RAT,运行后均会展示出正常界面,但在运行时或者接收到指定广播时,便开启在后台进行的间谍活动。

图3.1 第二代和第四代的Android端RAT运行后展示举例

  • 文件图标伪装

图3.2 伪装的应用软件图标

04 RAT攻击样本分析

截至目前,军刀狮组织已使用到针对Android和Windows平台的不同RAT,经过分析,我们认为最新的Android端RAT和PC端RAT应该购买自同一个商业开发组织,其中一名开发者昵称为“Apasec”。

  • Android

Android端共使用到四个迭代的RAT,本报告中我们仅介绍最新攻击活动使用的第四代RAT,我们命为UnitMM,该RAT目前仅在军刀狮组织中出现,其它版本RAT的信息可参考本报告前面提到的Kaspersky安全厂商报告。

UnitMM

军刀狮组织的第四代RAT。根据该RAT包含的类名和使用到的数据库名等,我们命名为UnitMM。最新版本的UnitMM通过默认的数十个功能配置,进行控制窃取短信、通讯录、地理位置、浏览器书签和搜索历史记录、剪切板信息、外部指定的应用程序数据、捕捉照片/视频/音频等多种恶意行为。

此外UnitMM还能响应来自C2的指定指令进行交互。

表2 C2指令与功能对应表

指令功能
2更新恶意功能配置
4执行shell命令
6将指定的文件/文件夹压缩并保存到预设目录
8将任务内容写入临时zip文件,从中提取所有内容并将其删除
10将指定的文件/文件夹复制到指定的目录
12将指定的文件/文件夹移动到指定的目录
14重命名指定的文件/文件夹
16删除指定的文件/文件夹
18创建指定的目录
20静默发送指定的内容短信到指定的号码
22拨打指定号码电话
24获取指定路径下的文件列表信息并将其保存到预设目录
26更新中间服务器(C2隐写图片)列表
  • Windows

Windows端目前发现到一种RAT,我们命为SpecialSaber,该RAT目前仅在军刀狮组织中出现,共有4个。

SpecialSaber

这是一个之前未被曝光的RAT。根据最新版PDB路径下的目录名,我们命为SpecialSaber。其具有检测杀软(包括Bitdefender、Kaspersky、Avira、Avast、AVG、ClamWin、ESET、Norton、McAfee、Panda、Symantec),窃取多种浏览器信息、多种邮箱信息、用户帐户信息、磁盘文件信息等,并带有键盘记录及截屏等多种恶意行为。窃取后的各种信息后会以文件的形式保存在自身的工作目录中,文件名为随机生成的字符串,文件统一用指定的格式进行存储。

图4.1 用统一格式存储的截图文件举例

表3 部分文件类型数值与文件含义对应表

文件类型数值对应的文件含义
1屏幕截图,jpeg格式
2每个驱动器所有文件列表,包括目录、文件名、文件大小信息
3键盘记录
4FireFox、Chrome、IE、Opera、Safari、Thunderbird、Outlook的账号密码信息
5FireFox、Chrome、IE、Opera、Safari浏览器的历史记录
6FireFox、Chrome、IE、Opera、Safari浏览器的书签信息
7Yahoo Messenger账号密码信息
8用户帐户列表和每个帐户的详细信息
9逻辑驱动器的大小,剩余空间和驱动器号
10所有适配器的完整TCP/IP配置
14Zip压缩的文件
24操作系统的详细配置信息,包括杀软信息、产品ID和硬件属性等

此外SpecialSaber还能响应来自C2的指定指令进行交互。

表4 部分C2指令与功能对应表

指令功能
3创建指定的目录
4重命名指定的文件/文件夹
6文件下载
7文件压缩加密 (Zip、AES)
10获取FireFox、Chrome、IE、Opera、Safari、Thunderbird、Outlook的账号密码信息
11获取FireFox、Chrome、IE、Opera、Safari浏览器的书签信息
12获取FireFox、Chrome、IE、Opera、Safari浏览器的历史记录
14获取卸载程序列表的名称
16获取逻辑驱动器的大小,剩余空间和驱动器号
17获取所有适配器的完整TCP/IP配置
18获取用户帐户列表和每个帐户的详细信息
25获取Yahoo Messenger账号密码信息
  • 疑似购买自同一家商业开发公司

通过把Android端的UnitMM RAT和Windows端SpecialSaber RAT进行比较,我们看到两者在C2通信环节采用了相似的手法,且两者窃取的信息有特殊的共同性,我们认为两者应该来自同一个商业开发组织。

此外我们在一个PDB的路径中发现一个名为“Apasec”的开发者,我们发现这个名字曾多次出现在该组织移动端的C2 panels中,这个发现更加验证了我们的判断。

05 受攻击地区分布情况

截至目前,360烽火实验室发现此次军刀狮组织攻击活动影响到的国家共有7个,其中伊朗受影响最为严重,这和我们分析过程中发现到该国家的库尔德人受到几次的针对攻击活动不无关系。

图5.1 受攻击的地区分布情况

06 攻击者画像

基于攻击者几次特别的针对攻击、使用的语言以及APT攻击的地缘政治因素等,我们总结了该攻击组织以下的画像观点:

  • 熟悉波斯语,阿拉伯语,其中波斯语使用最为频繁。

  • 主要针对位于西亚的中东某国其某省的库尔德人,能实时甚至提前对其某些时刻的活动进行部署相应的攻击,此外也针对中东数个阿拉伯国家。

  • APT攻击大部分基于内部局势和地缘政治因素(本国或敌对国家)。

  • 从受害者的背景以及攻击行动的持续时间来看,攻击者所关注的目标在政治和战略层面有重大意义,且持续时间较长。

综上所述,360烽火实验室认为攻击者为来自位于西亚的中东某国家背景的APT组织。

07 总结

近几年,我们看到APT攻击随着时代的发展,PC端不再是独有的目标,越来越多的攻击组织同时会把移动端作为攻击的另一必备目标,甚至频繁投入于中东和亚太地区部分国家背景支持下的网络战争中。

APT攻击发展迅速,尤其是移动端攻击的发展。我们看到前几年有些攻击组织能力还比较简陋,甚至一些安全厂商采用小猫等称呼进行命名表示对对应攻击组织攻击能力的低度尊重。但随着攻击获取到的价值效益,攻击组织加大投入力度,我们看到攻击越来越复杂,针对性和实效性越来越强,以前面的小猫为例进行形容的话,犹如年轻的小猫渐成成熟的狮子。此次军刀狮组织无疑又是APT攻击发展中的一个典型代表,另基于该组织的特殊背景及其隶属国家当下的时势我们认为该组织的攻击可能会有新一轮的变化。

附录A:样本MD5

Android攻击样本MD5

0745b0957aab92b6a09645e076b4f339

1874aa71c9b13eec5b587e8ed6a71606

191cc5d165472ae19e665821be71c282

232bd3dde6914db0a3dbfc21ed178887

2d91f7d1eb0d32ece0a8b1715a70b4cd

345c2325dd633099f29b6d7141a4703d

451ff729eaa1cf26943a812cd37eb4ac

4d8ddec9243bc6ac0419c561fe413cfc

519018ecfc50c0cf6cd0c88cc41b2a69

5ad36f6dd060e52771a8e4a1dd90c50c

5efddd7f0fc2125e78a2ca18b68464ec

699a7eedd244f402303bcffdee1f0ed1

6a388edbce88bb0331ae875ceeb2f319

73b0a3cae8510dd2efeca7d22f730706

7b530999847bbf43e7d6cbb76da684ae

7d7ad116e6a42d4e518378e2313e9392

a7d00c8629079f944b61c4dd5c77c8fb

a856f9de281cadad7142828dda3843b4

ac4402e04de0949d7beed975db84e594

b44b91b14f176fbf93d998141931a4aa

b714b092d2f28fcf78ef8d02b46dbf9c

c7e4d75caa8e07847e47eadce229c288

cb67abd070ae188390fc040cbe60e677

e2f62b5acf3795a62e9d54e1301c4e7b

ec5a6f0e743f4b858aba9de96a33fb0c

Windows攻击样本MD5

5b0431bbebdc48d2fa37882f7343b011

31edb7591bfeeb72e0652c17781640af

58cc3935fbfdb2990304b99fbb919dad

848193568a48f5742135667e9842890a

附录B:C&C

  • rhubarb2.com

  • rhubarb3.com

  • androidupdaters.com

  • dlgmail.com

  • dlstubes.com

  • googleupdators.com

  • adobeactiveupdates.com

  • adobeseupdater.com

  • dlstube.com

  • adobeactiveupdate.com

  • 5.61.27.154

  • 5.61.27.157

  • 5.61.27.173

  • 91.109.23.175

  • solar64.xp3.biz

  • entekhab10.xp3.biz

附录C:PDB

  • C:\Users\apasec110\Desktop\Saber1\client\Saber1-Develop\Release\Saber1-Dev.pdb

  • C:\Users\apasec110\Desktop\Saber1\client\editing saber\Saber1-Develop-changed\Release\Saber1-Dev.pdb

  • C:\Users\M&M\Desktop\Saber1\Special-Saber1-Windows-Client-binder_backup(last stable socket communication)\Release\Saber1-Dev.pdb

  • C:\Users\M&M\Desktop\Saber1\Special-Saber1-Windows-Client-binder_backup\Release\Saber1-Dev.pdb

附录D:参考链接

[1] https://en.wikipedia.org/wiki/Entekhab

[2] https://en.wikipedia.org/wiki/Islamic_Consultative_Assembly

[3] https://en.wikipedia.org/wiki/Annahar_(Kuwait)

[4] https://www.alnaharegypt.com/

[5] https://en.wikipedia.org/wiki/2017_Iraqi_Kurdistan_independence_referendum

声明:本文来自360核心安全,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。