南亚Patchwork APT组织新活动特点分析

南亚Patchwork APT组织新活动特点分析
2022-8-16 09:56:41 Author: www.4hou.com(查看原文) 阅读量:24 收藏

作者：知道创宇404实验室APT高级威胁情报团队 K&NAN

01 概述

Patchwork是自 2015 年 12 月以来一直活跃的南亚APT组织。该组织长期针对中国、巴基斯坦等南亚地区国家的政府、医疗、科研等领域进行网络攻击窃密活动。

PatchWorkAPT是一个比较有意思的名字，源于该组织武器库是基于开源的代码拼凑而成(地下论坛、暗网、github等等)。知道创宇APT威胁情报团队长期对该组织的活动进行追踪。

近日，创宇APT威胁情报团队在追踪过程中发现该组织在近期针对国内的攻击活动应用了跟以往不同的攻击工具。

（1）Patchinfecter木马，该木马遍历机器上最近打开的文档，并注入恶意代码，如果受害者将文档共享给其他人，那么该受控机器的其他联系人也会成为新的受控者。跟常见的钓鱼文档不同，此种感染白文件的方式，完全可以造成一个身份受信任的人不通过邮件方式将恶意文件传给其他人的情况，那么会极大的提高恶意文档的点开率。根据其特性，知道创宇APT威胁情报团队将其命名为Patchinfecter木马。

（2）Infectedloader，该文件为Patchinfecter木马生成的恶意文档，利用CVE-2021-40444漏洞进行后续木马传播，CVE-2021-40444为微软MHTML远程命令执行漏洞，攻击者可通过传播Microsoft Office文档，诱导目标点击文档从而在目标机器上执行任意代码，在受控机器上植入后续木马。此次为公开报道中首次发现有南亚APT组织使用该漏洞进行攻击。

02 技术分析

攻击流程如下：

图1.png

关于Patchinfecter木马

Patchinfecter为本次攻击感染链当中一步操作，其功能在执行时通过遍历C:\Users\xxxx\AppData\Roaming\Microsoft\Windows\Recent\目录下的快捷方式文件，搜索文件名包含.docx的快捷方式。

图2.png

通过COM接口IPersistFile::GetPath来获取快捷方式文件对应的docx文件路径，将文件拷贝至%Temp%\DCX_tmp\目录下，然后将文件解zip包，向其中的document.xml.rels配置文件中注入远程模板链接hxxp://xxx.xxx.xxx.xxx/jiansurvey/formupdate8976.php，然后将文档重新打包并替换原始文件。

图3.png

图4.png

formupdate8976.php页面内置一段JS脚本，脚本内容为CVE-2021-40444漏洞利用代码，用于加载执行二阶程序http://xxx.xxx.xxx.xxx/jiansurvey/cajview393434logo.cab。

图5.png

关于cajview393434logo.cab

cajview393434logo.cab为上述CVE-2021-40444漏洞利用的二阶样本，cab文件内的logoinmg.inf为一个下载器从http://xxx.xxx.xxx.xxx/srvreport/cajxml下载三阶样本。

图6.png

关于Cajxml(GRAT2)

该文件数据经过Base64加密，经过解密分析最终的三阶样本为开源远控GRAT2.

样本会强制使用HTTPS（TLS1.2）,当C&C为Http时则会退出。样本运行首先随机生成一个长度为12字节的ClientID，ClientID生成方式为从A-Z0-9范围随机选取12个字母或数字，生成ClientID后尝试将ClientID发送到初始URL "https://xxx.xxx.xxx.xxx/jquery.js" Post，数据加密方式为XOR(KEY: "o")+Base64。

向服务端初始化完客户端ID后，客户端尝试从服务端获取下发指令，从特定URL路径获取指令在本例中为：

{"index.aspx","question","contactus","aboutus.aspx"}

获取指令完整请求为：

https://C&C/PATH?encode(ClientID)

图7.png