响尾蛇APT组织利用“一带一路”话题针对相关参会人员发起网络攻击

2020年11月19日猎影实验室 Comments 0 Comment 10,019 次浏览

概述

响尾蛇( Sidewinder)为印度背景的APT攻击组织。该组织长期针对中国和巴基斯坦等东南亚国家的政府，能源，军事，矿产等领域进行敏感信息窃取等攻击活动。SideWinder的最早活动可追溯到2012年，被捕获的诱饵文档中包含“巴基斯坦政府经济事务部”等关键字，可见是对特定目标的定向攻击行为。从近几年该组织活动来看也会针对国内特定目标进行攻击，如驻华大使馆，特定部门等。

响尾蛇组织攻击活动较为活跃：

2019年6月~9月左右对我国敏感单位进行的鱼叉式钓鱼邮件攻击，涉及到的部门包括：驻华大使、敏感单位

2020年6月中印边境冲突特殊时期对我国某高校、政府部门及其他相关单位发起攻击

2020年7月，借麦加朝圣宗教活动事宜，以“2020年麦加朝圣政策计划”为主题，对巴基斯坦展开攻击

2020年9月，以波兰与巴基斯坦双边合作和安全政策为主题发起攻击活动

2020年10月，又利用巴菲双边协议为诱饵进行攻击活动

近日，安恒威胁情报中心猎影实验室在日常威胁追踪过程中捕获到一个以“第二届一带一路能源合作伙伴关系论坛参会回执”为内容的恶意Doc文档。通过对样本进行详细分析，我们发现该样本与响尾蛇（Sidewinder）APT组织有极大关联，疑似该组织针对第二届“一带一路”参会单位与相关人员的定点攻击活动。

样本分析

样本最初由一个Doc文档作为诱饵进行传播。

名称	NYBZK-BREP_reg.form_1113.docx
MD5	1afb77b2f0ef2e082b37d9ff4b2e7e78
文件类型	docx
文件大小	23.9 KB (24,545 字节)

打开文档后首先通过远程模板注入技术从远程服务器下载带有“CVE-2017-11882”漏洞的rtf文档。

http://brep.cdn-edu[.]net/images/943D1884/45321/2195/9a9b6778/main.file.rtf

文档使用与“一带一路”相关的内容迷惑受害者，以此来减少受害者对该文档的安全警惕。文档内容如下图所示：

Rtf文档会通过“CVE-2017-11882”漏洞执行ShellCode，首先加载执行1.a文件，该文件是使用“DotNetToJScript”生成的经过混淆处理的js脚本，

js脚本主要功能是内存解密“StInstaller.dll”，反序列化调用“Work”函数

Work函数主要功能是：拷贝rekeywiz.exe（系统白文件）到指定目录，并将其添加到Run注册表（“AtlasFilesMap1”）自启动，然后在同目录下释放Duser.dll等文件，最后通过创建计划任务（“UpdateService”）来执行rekeywiz.exe用于加载Duser.dll进行白利用。