年終盤點：南亞APT組織“群魔亂舞”，鏈條化攻擊“環環相扣”
潛伏在大國政治與軍事博弈對壘間，它們作為網路攻擊的“最高武士”，長期枕戈待旦，只待一聲軍令下，便要踏平一國山與河。
【導讀】歲末之際，360安全大腦公佈了一份《南亞地區APT組織2019年度攻擊活動總結》，報告顯示：2019年間，南亞次大陸的APT組織不僅處在十分活躍的狀態，同時，它還呈現出強烈的地緣政治傾向、明顯的網路諜報特徵、有計劃有預謀的全鏈條攻擊以及“攻心為上”的喬裝戰術。值得注意是，軍工軍貿、政府機關、外交機構、基礎設施企業，這等重磅級單位企業成其火力全開地攻擊目標，而目目標所屬國度是：中國、巴基斯坦、孟加拉國和斯里蘭卡等。此外，本次報告還聚焦於五大“熱門”APT組織，並披露了這些APT以往從未公開的具體攻擊細節。
南亞——喜馬拉雅山中、西段以南及印度洋之間的廣大地區，印度、巴基斯坦、孟加拉、斯里蘭卡等國均位於此。由於政治及宗教等原因，這片大陸的局勢一直不太穩定。
最為典型的便是印度和巴基斯坦。1947年，印巴分治後，兩國關係一直處於複雜且敵對的狀態。2019年，印巴雙方爆發的一系列軍事衝突將雙方的關係推至冰點。
南亞APT組織來勢洶洶，四大特徵“環環相扣”？
(一)“起”於地緣政治，大國交鋒博弈推動南亞APT攻擊走向
作為網路攻擊的“黃金御用”手段，APT紅熱高發區也正是全球地緣政治衝突的敏感帶。
2018年2月，印度軍隊炮擊克什米爾實控線附近的巴基斯坦哨所，導致巴方人員傷亡。
(二)“落”於重磅諜報軍工軍貿、政府機關為其重點攻擊物件
當APT的攻擊，源於大國地緣政治上不可調和的矛盾時，其攻擊的具體目標就早已註定。報告顯示，南亞APT組織的攻擊具有明顯的網路諜報傾向，而且以收集軍工軍貿、政府機關、外交機構、基礎設施企業等敏感領域的相關資訊為首要任務。
(三)“始”於滴水不漏的策劃，流程化、鏈條化的攻擊步驟層層深入
對攻擊活動進一步分析發現：單從技術方面上講，這些源自南亞的APT組織好像並沒有什麼稀奇：沒有複雜的技術，沒有高質量的惡意程式碼編碼，同時，在惡意程式碼武器庫和攻擊手法上也沒有多大的改善。但研究員發現這些APT組織流程化、鏈條化、技術化的攻擊步驟，也令人歎為觀止。
(四）“落”於攝人心魄的行動，極擅用社會工程學偽裝誘敵
“偽裝”是軍事上一門重要課程，南亞APT組織可謂學到了其精髓。研究顯示：它們在入侵時，雖然技術有限，但嚴重依賴社會工程學（善於“偽裝釣魚”）。而且，漏洞文件的內容題材豐富多樣，尤其偏愛涉及時政新聞、軍事相關檔案、軍工企業單位等。
再如，以2019年在中國武漢舉辦世界軍人運動會報名表為題材的誘餌文件。
南亞APT組織“群魔共舞”，五大組織個個“兇惡毒辣”
憑藉四大“環環相扣”的特徵，南亞地區的APT組織持續侵擾周邊鄰國。然而，就在眾多共性之中，有五大APT組織憑藉其更為“兇惡毒辣”的特色脫穎而出，智庫將它們總結為“2019南亞APT組織‘邪惡五霸’”。以下我們將對其一一介紹，並逐步披露出市面上未曾公佈的一些攻擊細節。
（一）摩訶草：野火燒不盡的“惡性雜草”
對其具體攻擊步驟，拆解而言，分為以下四點：
4. 被新增到登錄檔啟動項的後門程式會隨開機自動啟動，該程式與去年360安全大腦報導的後門邏輯完全一致，依舊使用了Github和Feed43進行C&C地址的更新分發。感興趣的讀者可以點選如下連結，進一步閱讀：https://www.freebuf.com/vuls/157694.html。
（二）蔓靈花：一個堪比罌粟的APT組織
蔓靈花，雖名為花但身附巨毒，目標群體一旦被其誘惑，便會步入"劇毒羅網"之中。
報告顯示：2019年，蔓靈花再次將其毒手伸向中國、巴基斯坦以及印巴交界的克什米爾區域，精準滲透黨政幹部、軍工從業人員、赴巴基斯坦留學人員、企業客服人員等具有鮮明軍政背景人群。
該組織攻擊流程，如下圖所示：
具體而言，在載荷投遞過程中，蔓靈花主要採取以下方式：
1. 偽裝圖示的自解檔案，誘導目標使用者點選並執行自解壓命令。
2. 偽裝成CVE-2018-0798 Word漏洞文件，釋放下載器並執行。漏洞文件內容示意如下：
（三）肚腦蟲：竊取心臟大腦的“寄生蟲”
南亞APT組織的具體操作行為有些類似，詳情請看文末的報告原文，這裡不再多贅述。需提一句的是，本次攻擊使用的惡意程式碼工具與之前曝光的yty框架基本一致，兩者類比如下表：
（四）響尾蛇：“蛻皮”進化最快的APT組織
響尾蛇，其攻擊手法是這些組織中進化非常快的一個。潛伏已長達17年之久，擅長使用office漏洞、HTA指令碼、白加黑、VB木馬等技術發動攻擊，其“毒液”通殺office2003到2016的所有版本，且只需一個製作好的word文件，只要使用者點開，響尾蛇APT組織便可將其一招致命。
（五）Urpage：與多個APT相關聯的“四不像”
Urpage，這是一個特別的南亞APT組織，它的身上有著其他組織的影子。
研究顯示，Urpage與Bahamut使用的部分惡意Android樣本重疊、使用與Confucius相同的Delphi檔案竊取程式、還和Patchwork是使用了同樣的Delphi檔案竊取程式，且其C＆C伺服器與Patchwork小組的常用名稱註冊模式相匹配。
可以說，Urpage和以上南亞APT組織既相似，又不同，如同“四不像”一樣。2019年，360安全大腦發現一起針對巴基斯坦反恐局(Counter Terrorism Department - CTD)的攻擊行動，其攻擊時間從6月初延續到9月底，此次攻擊正是UrpageAPT組織所為。在該行動中，“Urpage”依舊使用了釣魚Office文件的攻擊方式，使用的漏洞為CVE-2017-11882。與此同時，它使用了兩種語言編寫的Downloader程式，第一類為Delphi編寫的Downloader程式，後一類為VB編寫。Delphi編寫的Downloader程式會在%appdata%\Templets\路徑下建立檔案imhosts.ini，並隨機寫入長度為16的字串。
2019年，全球APT威脅與攻防日趨白熱化，全球安全報告頻繁披露各APT組織攻擊行動就是有力實證。然而，知曉APT組織只是其一，而重點在於其二：透過這些研究報導，我們能看出什麼？在以後的網路攻防能中，又有哪些有利的價值資訊能為我們所用。透過這份詳盡的《報告》以及歸納的四大特徵、五大APT組織，智庫預判：
1. 既然APT組織伴隨地緣政治而起，那麼未來，這些攻擊行動還會繼續在相關地域和群體中持續保持活躍狀態；
2. 雖然報告中APT組織當下使用的攻擊技術較為簡單，但我們也發現攻擊者在部分攻擊環節提高技術能力的一些努力，如尋找新的白利用手段、使用JavaScript指令碼在記憶體載入.Net、嘗試對原有惡意程式碼武器庫進行改進。所以，在未來，面對這些攻擊者我們仍不能掉以輕心；
3. 諸多案例已經表明，APT組織善用社會工程學這等方式騙取目標物件的信任，同時，它們還採取“迂迴”、“曲線”的攻擊方式，透過對“薄弱”環節下手，所以，針對網際網路安全防範措施和意識較差的使用者群體或地區，即使是簡單的攻擊行動仍是有效的；這就警戒我們，安全並不是孤立開來的絕對的安全，在萬物互聯的時代下，應以大全觀、全面、動態、相對的視野來看網路安全。
正所謂，不謀萬世者，不足謀一時；不謀全域性者，不足謀一域。守護好網路空間這片星辰大海，應是國家、企業、個人共同聯動的責任。
其他資料補充：
關於360高階威脅應對團隊(360 ATA Team)：
專注於APT攻擊、0day漏洞等高階威脅攻擊的應急響應團隊，團隊主要技術領域包括高階威脅沙盒、0day漏洞探針技術和基於大資料的高階威脅攻擊追蹤溯源。在全球範圍內率先發現捕獲了包括雙殺、噩夢公式、毒針等在內的數十個在野0day漏洞攻擊，獨家披露了多個針對中國的APT組織的高階行動，團隊多人上榜微軟TOP100白帽駭客榜，樹立了360在威脅情報、0day漏洞發現、防禦和處置領域的核心競爭力。《南亞地區APT組織2019年度攻擊活動總結》
報告連結：http://zt.360.cn/1101061855.php?dtid=1101062514&did=610401913，請點選連結獲取詳細報告。
本文為國際安全智庫作品 （微信公眾號：guoji-anquanzhiku）
如需轉載，請標註文章來源於：國際安全智庫
相關文章
- 南亞APT組織Bitter正在針對中國的核能機構進行網路攻擊APT
- 拙劣至極！南亞APT組織借新冠疫情對我國醫療機構發起定向攻擊！APT
- 追溯朝鮮APT組織Lazarus的攻擊歷程APT
- 安全公司FireEye再被攻擊！劍指俄羅斯APT組織APT
- APT攻擊APT
- APT攻擊有何變化？APT
- 工控系統再迎大波瀾，伊朗APT組織將其作為重點攻擊目標APT
- 境外“暗駭客棧”組織對國內企業高管發起APT攻擊APT
- 基於上下文感知計算的APT攻擊組織追蹤方法APT
- 烈火燒不盡的“惡性毒草”—— 摩訶草APT組織的攻擊活動APT
- 隱寫術、小火龍與AgentVX：APT組織Evilnum新攻擊活動詳細分析APT
- 什麼是APT攻擊？APT攻擊有什麼主要特徵?APT特徵
- 【安全篇】APT攻擊是什麼?APT攻擊有哪些危害?APT
- APT攻擊備忘APT
- 疑似APT組織針對多吉幣關注者進行魚叉式定向攻擊APT
- APT組織檔案館｜2021年度APT組織活動態勢分析APT
- 伊朗黑客組織APT33在美國建立了特殊VPN節點專用網路攻擊高價值目標黑客APT
- “透明部落”APT組織攜新型武器—USB，向政府和軍隊發起新一輪攻擊APT
- 獨家揭祕“拍拍熊”（APT-C-37）：持續對某武裝組織發起攻擊！APT
- 德國官員稱俄羅斯黑客組織APT28去年對其發動網路攻擊黑客APT
- 微軟將朝鮮黑客組織告上法庭——以法律之劍，斬APT組織之鏈微軟黑客APT
- SWEED駭客組織攻擊活動分析報告
- Kimsuky APT組織利用疫情話題針對南韓進行雙平臺的攻擊活動的分析APT
- 美人魚(Infy)APT組織的歸來——使用最新的Foudre後門進行攻擊活動的分析APT
- APT組織跟蹤與溯源APT
- FireEye遭APT攻擊？！針對企業的APT攻擊是如何發生的？APT
- 起底數字貨幣的覬覦者Lazarus（APT-C-26），長達十三年“環環相扣”的暗黑風暴狂潮APT
- 刺向巴勒斯坦的致命毒針——雙尾蠍 APT 組織的攻擊活動分析與總結APT
- 深入剖析某國外組織針對中國企業的APT攻擊(CVE-2015-8651)APT
- 再現在野0day攻擊--BITTER APT攻擊事件APT事件
- 群魔亂舞！這個上千億的潛力市場催生了一個奇怪的遊戲品類遊戲
- 【網路安全分享】APT攻擊常用的4種攻擊手段！APT
- APT34攻擊全本分析APT
- 黑吃黑——黑客組織通過黑客工具攻擊其他黑客黑客
- 黑吃黑——駭客組織透過駭客工具攻擊其他駭客
- 披露美國中央情報局CIA攻擊組織（APT-C-39）對中國關鍵領域長達十一年的網路滲透攻擊APT
- APT組織Lorec53（洛瑞熊）發動多輪針對烏克蘭的網路攻擊活動APT
- 逃脫APT攻擊魔抓需網路安全防禦體系一層套一層APT