網(wǎng)絡(luò)間諜的威脅
現(xiàn)在被Fireeye命名為APT32(OceanLotus海蓮花組織)的網(wǎng)絡(luò)間諜行動,正在對橫跨多個行業(yè)的私人企業(yè)和外國政府，異議人士和記者進(jìn)行入侵。Fireeye評估APT32利用獨特且功能全面的惡意軟件套件與商業(yè)滲透工具相結(jié)合。開展符合對越南國家利益的有針對性的行動。
APT32和Fireeye的社區(qū)響應(yīng)
FireEye的Mandiant事件響應(yīng)顧問對在越南有商業(yè)利益的幾家公司進(jìn)行入侵調(diào)查的過程中，發(fā)現(xiàn)了入侵活動，并且攻擊者控制的基礎(chǔ)設(shè)施指示了一個重要的入侵活動。2017年3月，為響應(yīng)FireEye客戶的主動定位，該團(tuán)隊發(fā)起了社區(qū)保護(hù)事件(CPE)—就是Mandiant事件響應(yīng)團(tuán)隊，F(xiàn)ireEye即服務(wù)(FaaS)FireEye iSight情報和FireEye的產(chǎn)品工程師去保護(hù)所有客戶免受APT32活動的攻擊。
在接下來的幾周內(nèi)，F(xiàn)ireEye向客戶發(fā)布威脅情報產(chǎn)品和更新的惡意軟件配置文件，同時為APT32的工具和釣魚誘餌開發(fā)新的檢測技術(shù)。這種集中了情報與檢測于一身的努力讓我們識別出新的外部受害者，并獲得足夠的技術(shù)證據(jù)來連接十二個以前的入侵，將之前無關(guān)的四個威脅成員集合到FireEye的最新命名的高級持續(xù)威脅組織APT32.
APT32針對東南亞私營公司的業(yè)務(wù)
至少自2014年以來，F(xiàn)ireEye已經(jīng)觀察到APT32針對越南國家的制造業(yè)，消費品和酒店行業(yè)有既得利益的外國企業(yè)。此外有跡象表明，APT32攻擊者正在瞄準(zhǔn)周邊的網(wǎng)絡(luò)安全和技術(shù)基礎(chǔ)設(shè)施公司，以及可能與外國投資者有聯(lián)系的咨詢公司。
以下是FireEye對APT32的入侵調(diào)查概述：
2014年，一家歐洲公司在越南制造工廠前受到攻擊
2016年，在越南工作的外資企業(yè)如：網(wǎng)絡(luò)安全，技術(shù)基礎(chǔ)設(shè)施，銀行業(yè)和媒體行業(yè)工作都受到攻擊。
2016年中，F(xiàn)ireEye認(rèn)為APT32獨有的惡意軟件在全球酒店業(yè)開發(fā)商計劃擴大越南的業(yè)務(wù)時，在網(wǎng)絡(luò)中被發(fā)現(xiàn)的。
從2016年到2017年，位于越南境內(nèi)的美國和菲律賓消費品公司的子公司是APT32的入侵行動目標(biāo)
2017年，APT32入侵全球咨詢公司的越南辦事處。
表1顯示了APT32活動的細(xì)目，包括每個活動使用的惡意軟件家族。
APT32對政治勢力和外國政府的興趣
除了專注于與越南有關(guān)的私營部門外，APT32還至少在2013年以來針對外國政府以及越南持不同政見者和記者。這是對此活動的概述：
public blog published by the Electronic Frontier Foundation 電子前沿基金會EFF發(fā)布一個公開博客聲明，記者，活動家，持不同政見者和博客作者在2013年被APT32操作一致的惡意軟件和戰(zhàn)術(shù)進(jìn)行攻擊。 2014年，APT32利用一項封名為“打算在越南的大使館進(jìn)行抗議的計劃.exe”的釣魚附件，針對東南亞越南流亡人士中持不同政見的活動，2014年，APT32進(jìn)行針對西方國家立法機關(guān)的入侵。 released a report 2015年，中國企業(yè)奇虎360的安全研究部門SkyEye Labs發(fā)布一份報告，詳細(xì)介紹了針對中國公共和私人機構(gòu)，包括政府機構(gòu)，研究機構(gòu)，海事機構(gòu)，海上建設(shè)和航運企業(yè)的威脅行為。報告中的資料表明，肇事者使用與APT32相同的惡意軟件，重疊的基礎(chǔ)設(shè)施和相似的目標(biāo)。 2015年和2016年，兩家越南媒體都面臨著惡意軟件的攻擊，F(xiàn)ireEye評估屬于APT32 2017年，攻擊者在社會工程中的內(nèi)容誘餌上提供證據(jù)，證明他們是在澳大利亞的越南移民以及菲律賓的政府雇員。
APT32戰(zhàn)術(shù)
在目前的活動中，APT32利用ActiveMime文件和社工手段來誘使受害者啟動宏。一旦執(zhí)行，初始化的文件從遠(yuǎn)程服務(wù)器下載多個惡意有效載荷。APT32攻擊者繼續(xù)通過釣魚郵件傳播惡意附件。
APT32攻擊者設(shè)計了針對特東受害者的多語言誘餌文件。雖然這些文件具有“.doc”文件擴展名，但恢復(fù)后的釣魚誘餌是ActiveMime”.mht”包含文本和圖像的網(wǎng)頁歸檔。這些文件可能是通過將Word文檔導(dǎo)出到單個文件網(wǎng)頁創(chuàng)建的。
表2包含了已經(jīng)恢復(fù)的APT32多語言誘餌文件示例。
表2：APT32誘餌文件樣本
Base64編碼的ActiveMime數(shù)據(jù)還包含帶有惡意宏的OLE文件。當(dāng)打開的時候，許多誘餌文件會顯示虛假的錯誤信息試圖欺騙用戶啟動惡意宏。圖1顯示一個假的Gmail主題和十六進(jìn)制錯誤代碼匹配，要求收件人啟用內(nèi)容來解決錯誤。圖2顯示了另一個APT32的誘餌，它使用一個令人信服的虛假的Windows錯誤消息，指示收件人啟用內(nèi)容以便正確的顯示文檔的字體字符。
圖1：APT32釣魚誘餌—假的Gmail錯誤信息
圖2：APT32釣魚誘餌示例—假的文件編碼錯誤信息
APT32操控人員實施了集中新穎的技術(shù)來跟蹤其網(wǎng)絡(luò)釣魚的功效，監(jiān)控惡意文件的分發(fā)，并建立持久性機制來動態(tài)更新注入內(nèi)存的后門
為了跟蹤誰打開了釣魚郵件，查看了鏈接并實時下載了附件，APT32使用了針對銷售組織設(shè)計的基于云端的郵件分析軟件。在某些情況下，APT32干脆直接放棄郵件的附件，并完全依賴此跟蹤技術(shù)，鏈接到他們的ActiveMime誘餌的外部托管的合法云存儲服務(wù)上。
為了增強對進(jìn)一步分發(fā)其釣魚誘餌的可見性，APT32利用其ActiveMime文檔的本地web頁面功能鏈接到APT32監(jiān)控的外部托管服務(wù)器上。
圖3包含一個示例釣魚誘餌，帶有HTML圖像標(biāo)簽，用于APT32的附加跟蹤。
圖3：包含用于附加跟蹤的HTML釣魚圖像標(biāo)簽
打開具有此功能的文檔時，即便禁用了宏，Microsoft Word也會嘗試下載外部圖像。在分析所有的釣魚誘餌后，外部圖像不存在。Mandiant顧問懷疑APT32正在監(jiān)控Web日志以跟蹤用于請求遠(yuǎn)程圖片的公共IP地址。結(jié)合電子郵件跟蹤軟件，APT32能密切關(guān)注釣魚的傳播，成功率，并對受害組織進(jìn)行下一步的分析，同時監(jiān)控安全公司感興趣的事情。
一旦目標(biāo)系統(tǒng)上啟用了宏，惡意宏將兩個命名為計劃任務(wù)有持久機制的后門在受感染系統(tǒng)上創(chuàng)建。第一個命名的計劃任務(wù)啟動一個應(yīng)用白名單腳本保護(hù)以繞過執(zhí)行COM腳本，動態(tài)下載APT32服務(wù)器的第一個后門并將其注入到內(nèi)存中。第二個命名的計劃任務(wù)作為XML文件加載以偽造任務(wù)屬性，運行Javascript代碼，該代碼下載并啟動一個輔助后門，為多階段Powershell腳本提供。在大多數(shù)誘餌中，一個計劃任務(wù)持續(xù)存在于一個特定的APT32后門中，另一個計劃任務(wù)將初始化一個商業(yè)可用的后門(Cobaltstrike)作為備用。
為了說明這些誘餌的復(fù)雜性，圖4顯示了恢復(fù)后的APT32誘餌。“2017年員工工資性津貼額統(tǒng)計報告.doc”。
圖4：APT32 ActiveMime誘餌創(chuàng)建兩個命名計劃任務(wù)
在此示例中，一個計劃任務(wù)命名為“Windows Scheduled Maintenance”的計劃任務(wù)被創(chuàng)建運行CaseySmith的“Squiblydoo”應(yīng)用白名單。雖然所有有效載荷都可以動態(tài)更新，但在推送的時候，這個任務(wù)加載了一個COM scriptlet(“.sct”的文件擴展)它下載并執(zhí)行托管在images.chinabytes.info的Meterpreter然后加載Cobalt Strike的BEACON，使用Safebrowsing可延展C2配置通信進(jìn)行網(wǎng)絡(luò)流量的融合(進(jìn)行下一步橫移!!)另一個計劃任務(wù)命名為“Scheduled Defrags”的任務(wù)在加載原始任務(wù)XML的后期任務(wù)創(chuàng)建時間戳為2016年6月2日被創(chuàng)建。第二個任務(wù)每50分鐘運行一次“mshta.exe”，它啟動一個APT32定制的后門Powershell包含shellcode的腳本。被配置為與域名blog.panggin.org,share.codehao.net,和yii.yiihao126.net通信。
圖5顯示了APT32成功通過釣魚誘餌利用動態(tài)注入兩個多階段惡意框架到內(nèi)存的事件鏈。
圖5：APT32釣魚鏈?zhǔn)录?/p>
令人印象深刻的是APT32操作并未沒有在受害環(huán)境建立立足點后停止。幾個Mandiant調(diào)查顯示，APT32在獲得訪問權(quán)后，會定期清除選定的事件日志條目，并嚴(yán)重混淆其基于Powershell的工具和Daniel Bohannon的shellcode加載器–Invoke-Obfuscation框架。
APT32經(jīng)常使用隱身技術(shù)與合法用戶活動相融合：
在一次調(diào)查期間，APT32使用特權(quán)提升漏洞(CVE-2016-7255)偽裝成Windows補丁程序。 I在另一項調(diào)查中，APT32入侵了McAfee Epo服務(wù)器，將其惡意軟件載荷作為所有系統(tǒng)推送由Epo服務(wù)器專有SPIPE協(xié)議分發(fā)的軟件部署任務(wù)。 APT32還使用隱藏或非打印字符來幫助視覺上偽裝其系統(tǒng)上的惡意軟件。例如：APT32安裝一個后門作為持久服務(wù)，其中附帶一個Unicode無休止空格字符的合法服務(wù)名稱。另一個后門使用填充由非打印的系統(tǒng)命令控制符作為其合法的DLL。
APT32惡意軟件和服務(wù)器
APT32似乎擁有資源豐富的開發(fā)English，并且使用多套定制的多協(xié)議后門。APT32操作者的特征表現(xiàn)在部署包括WINDSHIELD, KOMPROGO,SOUNDBITE, 和 PHOREAL特征在內(nèi)的惡意軟件有效載荷。APT32經(jīng)常部署這些后門以及商業(yè)出售的Cobalt Strike Beacon后門。APT32還擁有MAC OS的后門開發(fā)能力backdoor development capabilities for macOS。
獨特的惡意軟件套件功能如表3
表3：APT32惡意軟件功能
APT32的操作者似乎資源充足和受到支持的，因為它們使用大量的域名和IP地址作為控制服務(wù)器。FireEye Isight Intelligence MySIGHT Portal包含有關(guān)這些后門系列的更多信息，這些信息基于Mandiant對APT32入侵的調(diào)查。
圖6提供了一個APT32工具和技術(shù)映射到整個攻擊生命周期每個階段的摘要。
圖6: APT32 攻擊生命周期
展望和啟示
FireEye根據(jù)時間響應(yīng)調(diào)查，產(chǎn)品檢測和情報觀察以及相關(guān)運營商的其他出版物，評估APT32是與越南政府利用相一致的網(wǎng)絡(luò)間諜組織。APT32對私營部門利益的定位是值得注意的，F(xiàn)ireEye認(rèn)為，攻擊者對該國進(jìn)行業(yè)務(wù)或準(zhǔn)備投資的公司構(gòu)成重大風(fēng)險。雖然每個APT32的部門入侵的動機有所不同，在某些情況下是未知的，未經(jīng)授權(quán)的訪問(泛指入侵)(竟)可作為執(zhí)法部門，知識產(chǎn)權(quán)盜竊和反腐敗措施的平臺。最終可能腐蝕目標(biāo)組織的競爭優(yōu)勢。此外APT32繼續(xù)威脅到東南亞和全球公共部門的政治活動和言論自由。各國政府，記者和越南一名的成員均可能繼續(xù)成為其目標(biāo)。
APT32 檢測
圖7包含一個Yara規(guī)則，可用來識別與APT32的釣魚誘騙有關(guān)的惡意宏：
圖7：APT32惡意宏的Yara規(guī)則
表4包含F(xiàn)ireEye與APT32 C2相關(guān)聯(lián)的服務(wù)器樣本
表4：APT32 C2服務(wù)器樣本
最后，海蓮花對我國的政府單位，企業(yè)造成很大影響，很多時候我們總以為APT離我們很遠(yuǎn)，但在最近遇到的DFIR過程中，SkyEye Lab和安天發(fā)布的報告中已經(jīng)對關(guān)于海蓮花后門的有了相當(dāng)詳盡的分析。當(dāng)然樣本也很多，但由于對其組織內(nèi)部了解相當(dāng)?shù)纳伲斐珊荛L時間對其組織的分析和定位都相當(dāng)模糊(譬如準(zhǔn)APT的說法)，本文暫且填補了部分人的好奇心，介紹了某國的決心。。。 如FireEye所說的相關(guān)日志和PS的混淆基本不會給你任何線索，所以唯有寄托于類似SIEM的平臺進(jìn)行關(guān)聯(lián)回溯。與FireEye所說的也是1-3月份期間這個組織開始又重新活躍了起來，并且在某次調(diào)查發(fā)現(xiàn)此組織對入侵的該國習(xí)俗節(jié)日相當(dāng)熟悉。打個比方，在某次異常流量發(fā)生的過程中集中在1月26日，后來得知1月27日是除夕放假。。。并且常常掌握管理員習(xí)慣，和所在國的安全公司情況(比如安全人員經(jīng)常會使用AWVS，然后它們就發(fā)了個破解版的，然后你就中招了)，并且相當(dāng)熟悉信息的收集。如下圖為在3月調(diào)查過程中的文件。
下圖為海蓮花利用regsvr32.exe下載并加載icon7.gif后門的過程。此目的用于繞過Applocker
下圖為icon7.gif樣本截圖，并調(diào)用System.dll模塊。
sha256:95DFCCF3933A43676A967DE39A8A6C1297729836EEAA5833B5EEE46102B1E1BB
甚至到目前為止，眾多payload還是處于免殺狀態(tài)。
下面是哈勃的分析報告：
https://habo.qq.com/file/showdetail?md5=569797689d2f779668b107224d36beb0
其IOC符合我們一直追蹤的海蓮花。
SHA256:0692DF991CB7CCC2DC50E13817AE682BD2C1ECC0F8F46CFDC9CC9D34CE7215AD
最近wannacry勒索事件導(dǎo)致大量主機淪陷，與此同時，海蓮花不知為何也在12日來了個趁火打劫。雖然目前對此組織內(nèi)部的認(rèn)識還是相對較少，但對于有點比較確定的是該組織確實會利用越南本國公民進(jìn)行身份掩護(hù)，對于總體來說，其行動都相對隱蔽的，但也許個別成員的因素或者某些任務(wù)或者需要擴大戰(zhàn)果等原因，有時候會采取相當(dāng)冒進(jìn)的攻擊行為(如攻擊核心交換機，ARP攻擊等)或許FireEye的曝光會暫時讓其消停一會兒吧。
