中印边界冲突特殊时期响尾蛇的躁动
摘要
响尾蛇（SideWinder）为具有南亚某国背景的APT攻击组织，该组织长期针对中国和巴基斯坦等东南亚国家的政府，能源，军事，矿产等领域进行敏感信息窃取等攻击活动。
近期安恒威胁情报中心捕获到多个来自该组织的最新攻击样本。此次攻击活动的主要目标包括了我国某高校、政府部门及其他相关单位。
针对某高校的攻击活动分析
| 文件名称 | N/A |
| 文件大小 | 14.78 KB(15135字节) |
| 文件格式 | docx |
| MD5 | 524f3992a5a8fec81da1b660eb60129f |
攻击活动投递文件伪装为疫情防控期间优秀教师推荐表单。
并使用了模板注入访问远程内容，远程地址为
- http://tsinghua.gov-mil[.]cn/images/25B10B49/36537/1836/63643614/rosto
Rosto为使用了CVE-2017-0199漏洞的恶意RTF文档。
| 文件名称 | rosto |
| 文件大小 | 8.34 KB (8,543 字节) |
| 文件格式 | Rtf |
| MD5 | 90403dfafa3c573c49aa52c5fe511169 |
当打开该文档时会通过包含在文档内的恶意链接对象（http://tsinghua.gov-mil[.]cn/images/A96961AA/36604/1836/65449576/ab8feee）请求远程服务器文件并执行。
远程访问内容包含js脚本，该代码执行部分经过加密，需通过访问远程服务器获取密钥进行解密，
解密后的代码为双星漏洞之一的“CVE-2020-0674”。
Shellcode会访问远程数据解密执行，32位时访问
- http://tsinghua.gov-mil[.]cn/images/FC88A9EF/36604/1836/80e7755c/b5f4c3c/23
64位时访问
- http://tsinghua.gov-mil[.]cn/images/FC88A9EF/36604/1836/80e7755c/b5f4c3c/46
随后会释放以下文件到” AtlasFiles2.1”文件夹路径下。
将rekeywiz.exe添加到注册表启动项，实现持久化攻击。
rekeywiz.exe文件通过白利用的方式执行Duser.dll，然后加载同目录下的.tmp
文件解密出一个名为“SystemApp.dll”的.net文件。
该DLL为最终要执行的攻击载荷，其主要功能是获取用户系统信息，遍历文件列表以及文件上传等。
回连C2为cdn-gov[.]net。
并根据指令执行不同操作
其它关联
经过分析，本次事件的攻击手法与响尾蛇组织之前的活动攻击手法基本一致，如代码逻辑、代码相似度方面也与之前披露的样本高度一致。
通过对本次攻击样本的C2域名” tsinghua.gov-mil[.]cn”及历史解析记录进行关联分析，我们发现其C2命名规则与其攻击目标存在较大关联性，因此此次攻击活动针对的是国内某高校及相关部门。并且同域名解析IP（46.30.188[.]176）下还存在其它解析记录，猜测正对多目标实施攻击。
| 解析域名 |
| oimc.gov-mil[.]cn |
| poliync.gov-mil[.]cn |
| polync.gov-mil[.]cn |
| www-mofa.gov-mil[.]cn |
| www-geneva-pk.gov-mil[.]cn |
| mofa.gov-mil[.]cn |
| stinghua.gov-mil[.]cn |
| pk.gov-mil[.]cn |
| polyinc.gov-mil[.]cn |
| www-oimc.gov-mil[.]cn |
| eedow.gov-mil[.]cn |
| tsinhhua.gov-mil[.]cn |
| www-pak-emb.gov-mil[.]cn |
| tsinghua.gov-mil[.]cn |
其中通过域名关联的相关样本中，如www-oimc.gov-mil[.]cn的关联样本，其诱饵文件具有与我国政府部门相关的内容。说明政府部门也在攻击目标范围之内。
2020年5月以来中印边境冲突成持续对峙之势，南亚某国背景的APT组织早已蠢蠢欲动，根据域名注册时间，响尾蛇组织在6月初或更早就已在谋划新的攻击活动，并且域名名称正有针对之意。
总结
响尾蛇(Sidewinder)APT组织在本次攻击活动中延续了以往的代码结构与行为特性，攻击技术水平也在不断提升 (例： CVE-2020-0674)。自从中印边境冲突以来，该组织针对我国的攻击活动有明显的上升趋势，且一直处于活跃状态。
IOC
524f3992a5a8fec81da1b660eb60129f
90403dfafa3c573c49aa52c5fe511169
b32f8181e467c88bacdec0874c3b8573
bb6f3c82b3777daef6cc9be586f0bf9f
b5c408e4d9edb57d282dc3c943d725b5
1e5e6bd4ce4516c03e553949f4753069
46.30.188[.]176
tsinghua.gov-mil[.]cn
cdn-gov[.]net
oimc.gov-mil[.]cn
poliync.gov-mil[.]cn
polync.gov-mil[.]cn
www-mofa.gov-mil[.]cn
www-geneva-pk.gov-mil[.]cn
mofa.gov-mil[.]cn
stinghua.gov-mil[.]cn
pk.gov-mil[.]cn
polyinc.gov-mil[.]cn
www-oimc.gov-mil[.]cn
eedow.gov-mil[.]cn
tsinhhua.gov-mil[.]cn
www-pak-emb.gov-mil[.]cn
