服务粉丝

我们一直在努力
当前位置：首页 > 财经 >

Sidecopy组织使用新木马对印度展开攻击

日期： 来源：奇安信威胁情报中心收集编辑：威胁情报中心

一、团伙背景

2020年9月，Quick Heal披露了一起针对印度国防军和武装部队陆军人员的窃密行动并将其命名为Operation Sidecopy。此次行动始于2019年初，由于攻击者主要以复制Sidewinder APT组织的TTPs进行攻击，而被命名为Operation Sidecopy。


2021年7月，Cisco Talos研究人员已将该活动背后的攻击者作为独立组织进行跟踪，并称其为Sidecopy APT组织。报告中披露了该组织多种攻击武器包括CetaRAT、ReverseRAT、MargulasRAT、AllakoreRAT等，以及多款C#插件[1]。


Sidecopy主要以作为电子邮件附件的ZIP压缩包所包含LNK文件或DOC文件分发恶意软件。Sidecopy组织主要对印度国防军和武装部人员进行大量的攻击，对印度政府和军事人员的进行情报收集行动，使用鱼叉钓鱼技术在印度的国防组织和其他政府组织中引诱受害者，或通过感染USB设备来攻击印度和阿富汗的政府和军事组织。


二、事件概述

继3月份对Sidecopy的追踪报告发布以后，奇安信威胁情报中心红雨滴团队在日常威胁情报狩猎中再次捕获了一批Sidecopy以印度为目标的攻击样本。在此攻击活动中，攻击者主要以沙特阿拉伯代表团访印为诱饵，将下载器伪装为快捷方式文件并通过钓鱼邮件发送给受害者。当受害者解压并执行诱饵文件之后，程序将会从远程服务器下载数据文件到本地并解密执行，最终加载远控软件AckRAT。


在此攻击活动中，Sidecopy的感染链与之前的攻击活动保持相对一致，使用恶意LNK文件作为入口点，然后是一个复杂的感染链，涉及多层文件嵌套以传递最终的有效负载。其最终载荷疑似Sidecopy组织新开发的木马，在与C2的通信过程中不断发送’ACK’字符，故此我们暂时将其命名为AckRAT。


三、详细分析

（一）基本信息

在威胁狩猎过程中，我们并未捕获到初始攻击载荷，结合压缩包文件，根据Sidecopy一贯的攻击手法来看，我们猜测初始攻击载荷应该是鱼叉攻击邮件，通过邮件中的附件诱骗受害者点击打开压缩包文件，并且点击其中的lnk文件。


文件名

Saudi_Delegation.zip

MD5

6D724445E65B6407F26A5B0251FDD1E4

文件大小

3989544字节

文件类型

Zip

解压后包含隐藏文件夹Adobe和诱饵lnk文件，lnk文件名翻译为“沙特代表团”。



对诱饵lnk文件进行分析，其使用系统的mshta.exe访问挂载在印度Ssynergy公司官网下的后续载荷执行。



Ssynergy公司是印度大型制造商和出口商，提供各种化妆品原料、复合材料、营养保健品等，在材料科学领域拥有超过75年的历史，其官网简介中称其客户包含印度总理办公室、印度理工学院等。



我们猜测Sidecopy组织通过漏洞将载荷上传至Ssynergy公司官网，通过正常网站地址来中继后续载荷，以此绕过部分安全软件的监控。其页面挂载的文件为delegation.hta，是Sidecopy惯用的JS脚本。



（二）preBotHta.dll

delegation.hta其主要功能是内存中加载preBotHta.dll，并调用preBotHta.dll中的PinkAgain函数。



PinkAgain函数首先解密JS代码中嵌套的数据，释放诱饵PDF文件以迷惑受害者。



释放的诱饵内容与诱饵lnk文件名相关，内容是沙特阿拉伯医疗代表团访问印度，与印度武装部队医疗官员讨论医疗问题，并且右上角时间是2023年3月17日，这表明攻击活动发生在近期。



随后通过JS脚本传递的杀软信息来决定后续执行方式，但在当前版本中，不管是何种杀软都走同一个分支，解密传递的数据后释放并执行一个可执行文件。



（三）AckRAT

释放的Trex.exe伪装成Trex公司软件。



首先收集当前受害者信息，包括电脑名、用户名、杀软信息、系统版本等。



然后将收集到的信息发送至C2：209.126.81.42，端口为444，并解析C2返回的数据，当C2返回的数据大于1字节时，才会进入远控流程，否则一直循环，而实际调试过程中C2一直返回单字符’y’。



鉴于该RAT常发送’ack’字符串向C2请求数据，我们将其暂时命名为AckRAT，其指令对应的功能如下：


指令1

指令2

功能

非no

b

获取指定路径下的所有文件和文件夹的名称，并将它们发送到指定的网络接收端

no

d

向C2发送三次’ack’后，接收C2返回的数据并写入文件但不执行

e

与指令’d’功能一致，区别在于向C2发送三次’ack’后，接收C2返回的数据写入文件并执行

f

删除指定文件或文件夹

g

远程shell

c

上传C2指定路径下的文件

a

发送磁盘信息

z

结束进程、退出

h

截屏并发送

i

结束进程、退出

 

四、溯源关联

其攻击流程与我在上个月披露的《Sidecopy组织近期以印度国防部相关文档为诱饵的攻击活动分析》[2]一文中基本一致。



并且其中lnk文件均从同一开发者环境中生成。



据此还能狩猎到3月份Sidecopy攻击的所使用的DetaRAT，C2为185.136.161.129，端口是4987，并且其C2指令较老版本相比并未更改。



其次Sidecopy保持从互联网上获取代码丰富自己RAT的风格，根据开源项目在新的DetaRAT中添加抓取浏览器密码的功能。



五、总结

此次Sidecopy组织的攻击是3月份攻击的延续，其攻击组件涉及了AllaKoreRAT、ActionRAT、DetaRAT、C++木马等，攻击手法及武器代码方面较为单一，擅于使用网络上开源的代码及工具。早些时候我们还披露过其对Linux，MacOS等多平台的攻击[3]，奇安信威胁情报中心会对其进行长期的溯源和跟进，及时发现安全威胁并快速响应处置。


APT组织攻击一直以来对于国家和企业来说都是一个巨大的网络安全威胁，通常由某些人员精心策划，出于商业或政治动机，针对特定组织或国家，并且会在长时间的攻击活动中保持高度的隐蔽性，需时刻提防。


六、防护建议

奇安信威胁情报中心提醒广大用户，谨防钓鱼攻击，切勿打开社交媒体分享的来历不明的链接，不点击执行未知来源的邮件附件，不运行标题夸张的未知文件，不安装非正规途径来源的APP。做到及时备份重要文件，更新安装补丁。


若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。


目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。


七、IOC

MD5

6D724445E65B6407F26A5B0251FDD1E4

D663E977C079D338D47E937F7AFCFBB4

2C65DC705BA503261654AA40484A19E9

42A152594AF53012A3559BD7CDF99056

AC92A32AEE15421AB9E953B1836A691B

E62B5CC773A2240BBFA56B535076905F

 

C&C

209.126.81.42:444

185.136.161.129:4987

 

URL

https://ssynergy.in/wp-content/themes/twentytwentythree/assets/fonts/inter/delegation/

https://cornerstonebeverly.org/js/files/docufentososo/doecumentosoneso

https://halterarks.co.uk/img/gallery/misc/files/html5-k/

https://halterarks.co.uk/img/gallery/misc/files/jquery-k/


八、参考链接

[1]   https://blog.talosintelligence.com/2021/07/Sidecopy.html

[2]   https://ti.qianxin.com/blog/articles/Analysis-of-Sidecopy-Group's-Recent-Attacks-Using-Indian-Ministry-of-Defense-Documents-as-Lures-CN/

[3]   https://ti.qianxin.com/blog/articles/Sidecopy-dual-platform-weapon/

 

点击阅读原文至ALPHA 6.0

即刻助力威胁研判


文章推荐

相关阅读

  • 每周高级威胁情报解读(2023.04.20~04.27)

  • 2023.04.20~04.27 攻击团伙情报Linux 恶意软件加强了 Lazarus 与 3CX 供应链攻击之间的联系APT Blind Eagles 恶意软件库技术分析APT43：对朝鲜集团网络犯罪活动的调查Patchwo

  • 每周高级威胁情报解读(2023.04.13~04.20)

  • 2023.04.13~04.20 攻击团伙情报揭露 MuddyWater 的基础设施APT-C-36（盲眼鹰）组织针对哥伦比亚地区部署LimeRAT组件揭露 APT-36 的新 Linux 恶意软件活动Web 面板揭示了 Gamare

  • 小米，在印度白干了 10 年

  • 作者：远方青木来源：远方青木（ID：YFqingmu）印度政府指控小米逃税，开出5亿元的罚单，并与今年4月又以私自转移外汇的名义冻结了小米印度6.8亿美元，合计48亿人民币的资金。小米在印度忙

  • Android性能优化：ProGuard，混淆，R8优化

  • / 今日科技快讯 /近日Canalys（科纳仕）发布的2023年第一季度全球智能手机市场的出货调查报告称，中国智能手机市场经历了连续下滑。苹果公司的iPhone 14系列延续去年Q4季度的

  • 掌握 Linux 命令行的 10 个高级 Shell 脚本命令

  • 击上方蓝字 ● 关注Linux公社 Shell脚本是一种强大的工具，可以让你的工作更轻松高效。如果你是Linux用户，你可能熟悉基本的shell命令，比如echo，cd和ls。然而，还有更高级的命

  • 小米的555亿资产，被印度没收了

  • 本文转载自公众号：酷玩实验室（coollabs）就在上周五，据路透社报道，小米印度公司针对其被扣押的555亿卢比的资产申诉案，正式遭到了印度卡纳塔克邦当地法院的驳回。555亿卢比，折合人民

聚合标签

中国 自己的 美国 都是 亿元 的人 疫情 的是 三星 手机 华为 企业 万元 这款 车型 日本 小米 俄罗斯 项目 民警

热门文章

  • “复活”半年后　京东拍拍二手杀入公益事业

  • 京东拍拍二手“复活”半年后，杀入公益事业，试图让企业捐的赠品、家庭闲置品变成实实在在的“爱心”。 把“闲置品”变爱心 6月12日，“益心一益·守护梦想每一步”2018年四

  • 美国对华2000亿关税清单，到底影响有多大？

  • 1 今天A股大跌，上证最大跌幅超过2%。直接导火索是美国证实计划对华2000亿美元产品加征25%关税。 听起来，2000亿美元数目巨大，我们来算笔账。 2000亿美元，按现在人民币汇率

最新文章

  • ​每周高级威胁情报解读(2023.03.23~03.30)

  • 2023.03.23~03.30 攻击团伙情报APT43：朝鲜攻击者利用网络犯罪资助间谍活动蔓灵花针对中国核能行业的网络钓鱼活动 暗影重重：肚脑虫（Donot）组织近期攻击手法总结winnti工具集

  • 每周高级威胁情报解读(2023.04.20~04.27)

  • 2023.04.20~04.27 攻击团伙情报Linux 恶意软件加强了 Lazarus 与 3CX 供应链攻击之间的联系APT Blind Eagles 恶意软件库技术分析APT43：对朝鲜集团网络犯罪活动的调查Patchwo

  • Sidecopy组织使用新木马对印度展开攻击

  • 一、团伙背景2020年9月，Quick Heal披露了一起针对印度国防军和武装部队陆军人员的窃密行动并将其命名为Operation Sidecopy。此次行动始于2019年初，由于攻击者主要以复制Sidew

  • 每周高级威胁情报解读(2023.04.13~04.20)

  • 2023.04.13~04.20 攻击团伙情报揭露 MuddyWater 的基础设施APT-C-36（盲眼鹰）组织针对哥伦比亚地区部署LimeRAT组件揭露 APT-36 的新 Linux 恶意软件活动Web 面板揭示了 Gamare

  • 这个五一，谈谈请你看歼-20！

  • 五一快到了是不是得去电影院看点什么？不如先来看看这个↓↓↓你知道吗这些炫酷的令人震撼的画面不只是电影的演绎而是真实的存在从一穷二白到战鹰列列从仰望他人到挺直脊梁中