近日，安恒信息猎影实验室在威胁狩猎中捕获一例针对俄罗斯在线汽车交易平台的攻击诱饵。该文件以酒水单的名义伪装为压缩包文件诱惑用户打开，用户打开具有合法签名的白文件时会侧加载恶意dll文件，dll启动RuntimeBroker.exe，并利用APC注入Shellcode执行恶意功能。

值得一提的是该文件使用了开源的Shhhloader框架来执行后续恶意代码。并且我们观察到俄乌冲突持续进行，乌克兰IT网军动作不断，两者或许有着一定的联系。

其中Алкоголь_2023.pdf.lnk为恶意lnk文件，运行时首先运行update.exe,然后使用浏览器打开alcohol.pdf,文档打开后显示为俄罗斯美食连锁店Globus Gourmet的酒水单。

update.exe与thumbcache.dll为有Windows签名的合法文件，thumbcache.dll实际为真正的version.dll。运行update.exe时DLL侧加载伪装的version.dll执行恶意代码。

version.dll是使用开源shellcode加载框架Shhhloader生成的，该框架具有多种强大的功能，并且操作简单，可以快速生成具有shellcode执行能力的恶意PE文件，大大降低了攻击的难度。

version.dll首先通过GetComputerNameExA获取计算机所处的DNS域名称，并比较是否为corp.sberauto.com，如果不是的话就直接退出。sberauto是一家位于俄罗斯的在线汽车交易平台，推测为攻击者本次活动的攻击目标。

DNS域判断通过后首先会创建进程快照遍历进程获取explorer.exe的进程ID，再根据进程ID直接通过syscall调用NtOpenProcess得到进程句柄。

获取到explorer.exe进程的句柄后先通过UpdateProcThreadAttribute将explorer.exe设置为新进程的父进程来模拟正常的双击启动程序，然后创建RuntimeBroker.exe并将初始状态设置为挂起。

再在内存中解密出shellcode并通过NtAllocateVirtualMemory以及NtWriteVirtualMemory将shellcode写入RuntimeBroker.exe中。解密出的部分shellcode如下。

再通过NtProtectVirtualMemory以及NtQueueApcThread将shellcode设置为可执行的APC例程。最后通过NtAlertResumeThread成功执行该APC例程。

Shellcode首先从内存起始位置根据“MZ”以及“PE”标识找到Shellcode中包含的DOS头地址。

然后根据LDR链以及函数hash值获取特定的函数地址

再根据PE头中的信息分配内存以存储各节区数据，将当前Shellcode起始地址偏移0x403处的数据复制到新分配的内存中，这样新分配的内存中就不含有PE头信息，以躲避内存扫描。

写入的代码段数据如下

然后进行手动的导入表填充，导入表经过加密，在进行填充前会先将加密数据复制到空白内存进行解密，然后对解密的数据进行解析以获取需导入的dll名称以及函数。

完成导入表的解密后，会对代码段逐字节与0xC3异或以解密出真正的执行代码

完成代码段的解密之后根据PE头中的重定位表信息进行重定位处理。

最后根据PE头中的入口点信息找到入口函数并进行调用，模拟系统载入dll时进行的第一次调用。对dll进行手动导入后，再次执行dll的入口函数以执行真正的恶意操作。

新加载的dll首先将之前分配的用于手动加载dll的Shellcode内存进行释放

然后获取本机的各种信息，包括当前代码页标识符、当前进程运行位数、是否为管理员、计算机名、用户名、计算机版本、当前进程名等信息，并将各类信息合并到一起。

再对获取到的信息进行加密操作

获取到本机相关信息后与解密出的C2“adblockext.ru”建立连接

然后将之前获取的本机各种信息进行Base64编码，并替换部分字符与固定的URL拼接在一起组成完整的URL并发送GET请求。

成功发送请求后进行读取操作

成功读取到内容后开始对数据进行处理，命令格式如下所示，命令类型为32位数据，根据类型的不同执行不同的操作。

如可监听本地特定端口或者连接到指定地址建立通信

对于文件的增删查改

获取所有运行的进程信息

主要指令如下

通过溯源与关联我们又发现了多个使用Shhhloader进行打包的恶意PE文件。由此可见该框架已经受到了攻击者的青睐，被广泛用于攻击活动当中。

这些dll文件与前面分析过的version.dll大体框架基本相同，但细节上由于配置参数的不同而有差异。如有的dll具有沙箱检测能力，有的利用msedge.exe进行shellcode注入等。

此外根据以往攻击活动我们发现本次捕获的样本与APT29组织存在一些相同的点。首先是使用ISO文件进行攻击是APT29组织惯用的手法，在今年披露的多起攻击事件中都存在对于ISO文件的使用，并且都使用lnk文件启动白文件加载恶意dll文件。因此在初始入侵手法上，本次捕获的攻击活动与APT29存在一定的相似性。

其次是我们发现本次捕获的version.dll与该组织侧加载使用过的dll(47DDD6003534A108A173AA1FB3361739，6812031432039A89FA741E9338F8E887)存在代码上的相似性，在导出函数中存在两个TLS回调函数，并且回调函数内容相同。

当然仅凭这些相似点我们无法确认此次攻击来自于APT29，或者也有可能该攻击组织在有意模仿APT29的攻击手法。而通过更深入的追踪，我们发现乌克兰IT网军在2022年11月30日曾在媒体上发布过一条消息称俄罗斯多家网上银行存在访问问题，而其中包括Sber(俄罗斯联邦储蓄银行)，而本次捕获活动的攻击对象SberAuto恰好是Sber银行旗下的汽车零售服务。二者被攻击时间十分接近且具有关联性，SberAuto有可能是继Sber银行后的后续攻击。因此我们怀疑本次攻击活动或许与乌克兰IT网军有关。