概述
近日，奇安信红雨滴团队在日常高价值威胁挖掘过程中，捕获两例哈萨克斯坦地区上传样本，样本以哈萨克斯坦Kazchrome企业信息为诱饵，Kazchrome据称是全球最大的高碳铬铁生产商。诱导受害者启用恶意宏，一旦宏被启用后，恶意宏将释放执行远控木马到计算机执行，经分析溯源发现，释放执行的木马疑似是奇幻熊组织常用Zebrocy变种。
奇幻熊组织，业界对其有各种别名：APT28、Sednit、Pawn Storm、Sofacy Group、STRONTIUM，主要针对高加索和北约开展网络攻击活动，近期其目标越来越多出现在中亚地区，主要攻击领域为对政府军事和安全组织。
样本分析
基本信息
捕获的样本诱饵名均是俄语，且都采用相同的恶意宏进行攻击，基本信息如下：
诱饵类型伪装成备忘录以及高碳铬铁生产商Kazchrome登记表以诱导受害者启用宏。诱饵信息如下图所示。
c9a43fd6623bf0bc287012b6ee10a98e (左)
49696043b51acca6ced2ab213bd4abef (右)
详细分析
以c9a43fd6623bf0bc287012b6ee10a98e样本为例，利用奇安信威胁情报中心自研文件深度解析引擎OWL对样本进行解析，解析后可见样本中存在宏，如下图所示。
该恶意宏脚本将放置在VBA窗口textbox控件中的数据经过base64解码后的PE文件释放到%temp%目录执行。
Textbox控件数据如下所示，释放文件的文件名从控件的标题中获取。
释放执行的PE文件信息如下：
该文件执行后首先会创建一个全局消息钩子来进行键盘记录，并将记录用户的键盘输入保存在 % ALLUSERSPROFILE % \Cache \arial-debug.log文件中。
记录的信息如下：
同时会启动一个线程与C2进行通讯进行上传键盘记录的内容以及获取后续命令执行：
在temp目录生成随机16个字母为名字的文件作为标识：
每次dispatch_function都会将键盘记录的内容以如下格式发送：
其中IB=0表示当前的访问计数，每次访问C2失败或者返回状态码分发异常时候就会使访问计数增加1，当访问计数在0-5时候数据以POST方式上传至C2：
https[:]//www[.]xbhp.com/dominargreatasianodyssey/wp-content/plugins/akismet/style.php，当访问计数在6-15时候数据上传至C2：
https[:]//www[.]c4csa.org/includes/sources/felims.php，当访问次数为16时候则清零访问计数，并使用第一个C2上传数据。
后面的16个字母为之前随机生成的，作为当前电脑的标识，接着log=URL编码后键盘记录的文本内容。
后续根据http请求的返回值来进行命令分发：
指令与对应功能如下表所示：
溯源关联
红雨滴安全研究员关联发现本次样本与2019年疑似该组织的样本存在相似代码，并且本次的C2也是使用十六进制字符串存放，与之前的APT28常用手法类似，综上所述，我们判定此次攻击活动幕后黑手疑似APT28组织来源。
总结
APT28组织近年一直活跃，它的目标越来越国家，其Zebrocy家族木马包括Delphi、GO、AutoIT等多个语言版本。攻击手法复杂多变，是一个技术极高的攻击组织。
此次捕获的样本主要针对南亚某国开展攻击活动，暂未发现影响国内用户。但防范之心不可无，奇安信威胁情报中心再次提醒各企业用户，加强员工的安全意识培训是企业信息安全建设中最重要的一环，如有需要，企业用户可以建设态势感知，完善资产管理及持续监控能力，并积极引入威胁情报，以尽可能防御此类攻击。
目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括威胁情报平台（TIP）、天眼高级威胁检测系统、NGSOC、奇安信态势感知等，都已经支持对此APT攻击团伙攻击活动的精准检测。
IOC
49696043b51acca6ced2ab213bd4abef
c9a43fd6623bf0bc287012b6ee10a98e
df6c6ee05898ce35ce5963ff0ae2344d
https[:]//www[.]xbhp.com/dominargreatasianodyssey/wp-content/plugins/akismet/style.php
https[:]//www[.]c4csa[.]org/includes/sources/felims.php
声明：本文来自奇安信威胁情报中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
版权归原作者所有，如若转载，请注明出处：https://www.ciocso.com/article/240.html
