依托国家情报机构发动的网络战日益频繁。在各国的网络战博弈中，俄美等国家凭借其长期的情报机构建设积累以及强大的武器库资源储备在公众眼中暂处第一梯队。国内情报分析人员接触到的有关这类高度复杂的 APT 组织相关情报信息大多数来源于国外安全机构。拥有俄罗斯联邦对外情报局（SVR）背景的APT29 组织即是如此，近半年时间内，随着 SolarWinds 供应链攻击的曝光以及后续多家安全机构的调查分析，疑似幕后黑手的 APT29 开始回归大众视野中。

• 梳理当前公开情报信息，APT29 组织结构分析及各分支机构经典攻击事件分析；
• 探究 The Dukes、WellMess、Nobelium（Solarwinds）归因点及可信度；
• APT29 关键 TTPS 剖析；
•  微步视角下的 APT29 组织画像。

据维基百科记载，俄罗斯联邦对外情报局（俄语：Служба Внешней Разведки，英语：Foreign Intelligence Service of the Russian Federation，简称 SVR）是俄罗斯的情报机关之一，专门负责俄罗斯境外的情报活动。对外情报局的前身是苏联国家安全委员会第一总局，即克格勃第一总局，是1954年3月13日–1991年11月6日期间苏联的情报机构，在当时被认为是全球效率最高的情报收集机构。

 

图【1】克格勃第一总局&SVR标志性徽章

1991年苏联解体后，俄罗斯境内的原克格勃机关改制为俄罗斯联邦安全局（FSB），其第一总局改制为俄罗斯对外情报局（SVR）。白俄罗斯则完整保留境内克格勃机关的建制及原有名称。其总部位于俄罗斯莫斯科亚先捏沃，有一万三千名员工，特工会化身为外交人员或记者进行情报活动。

APT29 至少自2008年开始活跃，其最初映入公众眼帘是在2009年 Dukes 早期工具集曝光，木马的新颖之处在于使用 Twitter 社交平台存放恶意网络资产、以此为跳板进行后续网络交互行为。“Duke” 的命名源于卡巴斯基安全研究人员，由臭名昭著的 Duqu 蠕虫（与 Stuxnet 震网蠕虫存在关联）联想而来，此后一直延用至今。值得注意的是 Duke 系列木马组件与 Duqu 蠕虫无任何实质性关联，切勿混为一谈。自此至2019年10余年时间内，公开披露的 APT29 活动中均可看到 Dukes 工具集的使用，只是后续的 Dukes 工具集已经扩充成包含 PolyglotDuke、RegDuke、MiniDuke、FatDuke、SeaDuke 等在内的复杂武器库工具集。在此期间，最让人印象深度的是2016年美国总统大选期间 APT29 针对美国民主党全国委员会（Democratic National Committee，简称DNC）的间谍活动（据NCCIC、FBI披露，该活动由APT28、APT29协同参与，于2015年夏季开始对目标系统渗入）。

微步情报局整合了自2015年至今关于 APT29 的公开披露报告，披露来源为权威的国家情报部门机构和安全研究机构，披露内容包括武器库特马组件、特定攻击事件、阶段性总结报告、取证溯源调查报告等内容。研究人员对其进行时间先后排序，整理如下表所示。

Table 1 APT29公开披露报告：

在历史披露报告中，各安全机构对某一时间节点的攻击组件、攻击活动、幕后攻击团伙（有些攻击事件在披露时未能关联至已知组织，产生了一系列全新的命名）存在多种不同的命名，其中部分命名是由特马组件指纹演变而来。为了便于整合这些信息，我们可以依据特定的木马工具集（主要指初始投递到PC端的前阶段载荷）对其进行分类，总共可以分成三块：The Dukes 系列、WellMess 系列、Nobelium 系列。其中各个系列除了前期攻击载荷中使用的特马工具存在较大差异之外，在攻击目标、参与攻击事件、攻击活跃时间区段等均会存在一些重合。各系列分支简要说明如下：

Table 2 APT29分支结构：

图【3】 APT29三大系列分支活跃时间示意

接下来，我们针对 The Dukes 系列、WellMess 系列以及 Nobelium 系列分开总结梳理 APT29 特有的攻击活动特点。

基于上述对 APT29 的组织结构分类，我们分开探讨 The Dukes、WellMess、Nobelium 三大分支特有的攻击偏好、攻击战术、代表性攻击事件。

4.1 The Dukes系列

The Dukes 系列是最早公开披露的 APT29 组织，同期别名包括 HamMertos、Cozy Bear、CozyDuke 等，活动时间从2008年到2018年，攻击目标包括全部欧洲国家、多数中东地区国家、部分亚非国家、以美国为主的北美国家，具体行业目标包括政府实体、政府智库、车臣极端主义机构等。2015年9月，F-Secure 团队对 Dukes 的攻击活动、攻击组件进行总结披露；随后 ESET 团队在2019年10月对 Dukes 的后续攻击活动及武器库进行扩充披露。

图【5】 2015.08鱼叉邮件“选举结果可能会被修改”

除了发现这类常见的鱼叉网络攻击之外，Dukes 也存在一些“异常”的攻击行为。2014年10月，Levithan 安全团队披露 Dukes 通过控制部分 Tor 网络出口节点进行中间人攻击，劫持用户流量后投递 Dukes 特马，此种发散式的攻击迅速组建了一个超过千余台 PC 主机的僵尸网络（肉机主要分布在蒙古和印度）。对于这种一反常态的发散式攻击行为，攻击动机存在较大争议，其中一种观点是 Dukes 攻击目标为与俄罗斯相关的毒贩等犯罪团伙。除此之外，2015年1月至2016年年底，Dukes 发动了多起针对美国政府机关、智库、非政府单位的鱼叉邮件钓鱼攻击，具体攻击目标达到数千数量级别。在该系列鱼叉邮件攻击活动的早期，Dukes 向超过一千个目标邮箱发送了同一封钓鱼邮件，邮件内容并未像之前那样伪装时政热点这类诱骗性更高的话题内容，反而采用了勒索团伙常用的“电子传真”这类具备垃圾邮件特点的话题，这种对千余个目标采用完全相同的钓鱼邮件而且内容粗糙的行为特点在 APT 攻击案件中较为罕见。当然，从攻击者角度来看，这种大批量的攻击只是用于前期甄别有价值目标，服务于前期社攻阶段。

附件解压后是一个名为“37486-the-shocking-truth-about-election-rigging-in-america.rtf” 的 LNK 文件，命令行语句启动 powershell 进程执行 base64 编码的 ps1 脚本，ps1 脚本进行当前 PC 机器环境检测之后按照既定文件偏移提取 LNK 文件中数据，然后进行异或解密，写入落地文件。落地文件包括：

%TEMP%37486-the-shocking-truth-about-election-rigging-in-america.rtf（诱饵文件）、

%APPDATA%Skypehqwhbr.lck（PowerDuke特马加载器）、%APPDATA%Skypehqwhbr.lck: schemas（PNG格式的文件流数据，携带加密 PowerDuke 载荷，以图片格式打开将正常显示装酒的高脚杯）。内存态的 PowerDuke 特马与攻击者交互实现常见的窃密、监控、后门等行为。

图【7】 PowerDuke鱼叉邮件攻击流程示意图

LNK 文件在真实用户环境中打开后将展示释放的诱饵文档。

上述鱼叉邮件攻击活动中投入使用的 PowerDuke 组件是 The Dukes 在美国总统大选期间使用频率较高的一款特马，自2008年至2019年期间，Dukes 组件经过一系列扩充改进已形成一套功能齐全的工具集，实现功能包括简单的下载器、加载器、窃密木马、高级远控木马、提权组件（曾披露投入使用0day漏洞）、加密组件、横移组件等。在实际攻击活动中，投递载荷会根据实际情况选择多阶 Dukes 特马渗入。参考 ESET 披露的 “Ghost行动” 中的 Dukes 工具集使用流程如下：

基于 F-Secure 在2015年总结的 Dukes 各攻击组件活跃时间区间轴线图，我们整合后续系列的 Dukes 组件，绘制完整的 Dukes 组件使用时间区间图如下所示。

图【10】 The Dukes工具集各组件投入使用时间区间

4.2 WellMess系列

WellMess 系列攻击组件最早于2018年7月由 JPCERT在“针对 Linux 和 Windows 的恶意软件 WellMess ”一文中披露，该木马采用 golang 和 .Net 环境进行开发设计，实现基础的窃密监听恶意功能，并存在针对 Windows、Linux 平台的攻击样本。当时只是作为恶意软件进行披露，并未关联归因，所以并未引起公众关注，直到两年后的2020年7月，正值全球新冠疫情紧张时期，英国国家网络安全中心（National Cyber Security Centre（United Kingdom），简称NCSC）联合 NSA（美国国家安全局）、CISA（美国网络安全和基础设施安全局）、CSE（加拿大通信安全机构）披露了 APT29 使用 WellMess 组件（还包括新命名的 WellMail 同源组件）攻击全球 COVID-19 疫苗研制机构（主要国家为英国、美国、加拿大），随后英国普华永道公司披露了 WellMess 组件归因至 APT29 的部分细节。

WellMess 组件使用的 C&C 通信协议包括 HTTP、HTTPS、DNS，其中 HTTP 协议通信最为常见。WellMess 木马上线之后会立即与 C&C 端交互协商用于后续通信数据加密的 AES key，更新的 AES key 采用 RSA 算法加密传输。木马与 C&C 端的交互数据加密协议可分为两部分：HTTP Header 部分的 Cookie 字段、Body data 部分。其中头部的 Cookie 数据用于传输 C&C 下发指令，Body 部分为具体功能指令对应的上传数据。其 HTTP 通信数据加密协议结构如下：

截取 WellMess 木马 HTTP 通信加密流量如下：

4.3 Nobelium（SolarWinds）系列

据 CrowdStrike 团队和 Volexity 团队披露信息，Nobelium 疑似采用 Microsoft Exchange 0day（根据 Sunspot 木马编译时间为2020年2月推测）漏洞渗入 Solarwinds 供应商产品构建系统，植入 Sunspot 木马。该木马劫持 Orion 软件编译过程、植入恶意代码，导致恶意的 Sunburst 后门被编译到 Orion 产品发布版本中。此后该携带后门的 Orion 软件将通过供应链渠道合法下发到用户环境，Nobelium 借助 Sunburst 后门模块筛选有价值目标实施后续攻击行为。该供应链攻击流程图如下：

Solarwinds Orion 产品构建过程中替换的恶意源代码 SolarWinds.Orion.Core.BusinessLayerBackgroundInventoryInventoryManager.cs 在 Sunburst 后门组件中的反编译表现如下：

Sunburst 后门检测真实用户环境之后，动态解密 ZIP+Base64 存储的配置信息后，使用 DGA 域名算法组合多级域名前段部分生成 C&C 回连域名，然后进入 RAT 分发函数进行 C&C 交互。

图【17】 Sunburst ZIP+Base64 编码 C&C 配置信息

Solarwinds 供应链攻击事件披露之后，MSTIC、FireEye 以及其他安全机构陆续披露了多个 Nobelium 攻击组件，包括 Teardrop、Raindrop 自定义的Cobalt Strike 加载器，Goldmax 后门，GoldFinder HTTP 跟踪器工具，Sibot 下载器以及早期的 EnvyScout、BoomBox 等 dropper 组件。对该系列组件的调查发现 Nobelium 发起的一系列鱼叉邮件攻击事件，攻击目标为美国智库、非营利组织、公共部门、石油和天然气、化学和酒店行业的教育机构和私营部门公司。

图【19】 引自MSTIC、Fire Eye，Nobelium鱼叉邮件

APT29 自2008年开始活跃，至今已活跃13年时间，与同属俄罗斯政府背景的 Turla 组织处于同一历史舞台，其凭借长时间的攻击战术演进以及网络武器库积累在国际情报窃取领域中处于较高地位。鉴于其 TTPS 指纹的复杂性，本章节仅探讨部分较为独特且“有趣的”指纹特征。

6.1 落地环境检测

在绝大多数的 APT 攻击活动中，落地攻击载荷会对当前 PC 环境进行探测，以决定是否进行或调整后续攻击行为，比如杀软检测、虚拟机检测、安全分析工具检测等等。在早期的 The Dukes 系列工具集中，存在一种应用简单的数理统计思维的检测方式，在环境检测代码中，设置一个初始为0的 score 变量，然后逐一检测是否存在杀软产品、是否处于虚拟环境、是否存在安全工具、是否包含异常 PC 用户名称、是否存在异常文件名称，如任一匹配，则 score 加上对应权值，待检测代码执行之后将 score 指与给定阈值进行比较，以此判断当前环境是否为目标环境。其代码实现如下图所示：

图【36】 The Dukes工具集 PC 环境检测

6.2 木马上线延时

通过特定算法计算休眠时间实现木马上线延时是核心 APT 特马隐藏自身行为的一种有效方法。APT29 自研的 Sunburst 木马在初始化之后进行12-14天的休眠。

图【37】 Sunburst 休眠时间计算

6.3 网络 C&C 托管

在 The Dukes 系列工具集中，MiniDuke、CozyDuke、OnionDuke、HammerDuke、PolyglotDuke 等组件均会使用 Twitter 社交平台托管攻击 C&C 地址，以 PolyglotDuke 下载器组件为例，下载器落地后先解密特定Twitter URL，然后请求该 URL 获取特定分隔符之间的流数据，对其进行解密处理得到真实的 C&C 地址。攻击者提前准备的 Twitter 动态信息如下：

图【38】 引自 ESET 报告，使用 Twitter 托管加密 C&C 配置信息

6.4 图像隐写术

使用图像隐写术进行攻击指令或攻击载荷下发是一种有效对抗流量检测设备的方法。常见的图像隐写术是通过在各个像素（每个像素二进制数据共24bit，红绿蓝三元素依次各占据8bit）的各字节低位填充隐藏数据，解密代码通过提取各隐藏数据进行拼接解密处理得到真实载荷，而对像素中三色素进行小数值范围内改动并不会明显改变图片质量。APT29 组件中 RegDuke 即是通过这种方式实现攻击载荷传递。参考 ESET 绘制的像素嵌入结构如下：

图【39】 引自ESET，RegDuke图像隐写结构

图【40】引自ESET，PNG图像载体及隐藏数据提取

6.5 应用协议加密算法

图【41】 WellMess C&C 通信流量加密协议

基于前文组织结构划分部分内容，对 APT29 三大分支特有的攻击偏好及活跃时间总结如下：

Table 5 APT29三大分支概述

Table 6 APT29 武器库资产梳理

参考 MITRE ATT&CK 对 APT29 的 ATT&CK 画像如下：

图【42】引自https://attack.mitre.org/groups/G0016/

9.1 机构名词缩写解释

Table 7 机构名字解释