國外安全研究者爆料中國黑客組織針對越南政府的APT攻擊樣本
近日，法國安全研究者兼BotConf和FastIR公司創始人Sebastien Larinier， 針對RTF文件相關的CVE-2017–11882漏洞利用專門製作了一條YARA規則，來捕獲攻擊線索。 經過海量資料比對，他發現了一個用來執行APT攻擊的惡意RTF文件樣本，其中的內容和越南峴港市海洲郡的建設專案相關，文件標題為《Chương trình hoạt động cnit 2018》。據Sebastien Larinier聲稱，按照該惡意文件表現出來的各項行為指標和特徵值，他懷疑該APT攻擊文件的幕後使用者為中國的黑客組織1937CN。
本文中， Sebastien Larinier 著重描述了該惡意文件的感染攻擊機制、網路攻擊架構以及攻擊者採用的相關TTPs技術。
感染攻擊鏈
Joe sandbox 線上沙盒分析網站對該文件的詳細感染行為給出了很好的描述：
該惡意RTF文件利用漏洞會向目標作業系統中寫入以下兩個檔案：
一個名為 RasTls.dll 的dll檔案
一個名為dascgosrky.exe的可執行檔案
RTF文件分析
在Python的RTF分析工具rtfobj幫助下，可以發現惡意RTF文件中的三個ole物件：一個類名為package的ole物件，以及另兩個不良結構的ole物件。
在名為package的ole物件中，存在一個8.t檔案的載入路徑：
這種技術看似是用來執行 .sct 格式檔案，以向網路下載一個可執行程式，植入到目標作業系統中。 McAfee安全實驗室曾用 .sct檔案為樣本對這種技術進行過分析。 這種技術由於簡單有效，並且支援Office相關文件，屢次被很多攻擊者進行了在野利用。這以上路徑中，可以看到，RTF文件會從系統%TMP% 目錄中載入一個 8.t 檔案。經分析，8.t 檔案為一個加密檔案：
經檢查，另兩個不良結構的ole物件為涉及“Equation Native”流的ole公式物件，其中可以看到CVE-2017–11882漏洞利用的影子：
ole物件末尾，能看到很多API介面的runPE技術呼叫，這樣惡意程式會掛起一個系統程序，並在其中注入惡意執行程式碼。另外，還發現了物件開始處的有意思的字串： 7e079a2524fa63a55fbcfe：
該字串曾在“響尾蛇”APT攻擊的ole公式物件中出現過，可能攻擊者都使用了同一套惡意程式組裝工具。現在有了載入檔案8.t ，以及runPE技術的確定。接下來，需要來做更深入的shellcode分析。
逆向ShellCode
在分析伊始， Sebastien 認為 Winword.exe 會呼叫 CreateProcess 函式來建立EQNEDT32.exe程序，所以他決定在CreateProcess 函式的呼叫處設定一個斷點。
但是，後來發現，EQNEDT32.exe 程序是由Winword.exe利用COM Object物件呼叫的，並不是由 CreateProcess 函式來建立的，而且Winword.exe也不是EQNEDT32.exe的父程序。所以，只好在EQNEDT32.exe啟動時附加上偵錯程式。為此，可以採用 映像劫持（Image File Execution Options,IFEO）方法 來進行分析。
所謂的映像劫持（IFEO）就是Image File Execution Options，位於登錄檔的 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 由於這個項主要是用來除錯程式用的，對一般使用者意義不大。預設是隻有管理員和local system有權讀寫修改。通俗來說，就是比如我想執行a.exe，結果執行的卻是b.exe，也就是說在這種情況下，a程式被b給劫持了，即你想執行的程式被另外一個程式代替了。
先在Image File Execution Options的登錄檔薦中建立了一個名為EQNEDT32.exe的鍵值：
然後，為它設定一個EQNEDT32.exe執行是啟動偵錯程式的變數串值，以此把偵錯程式附加到EQNEDT32.exe程序中去。
當開啟惡意RTF文件後，Winword.exe和EQNEDT32.exe兩個程序同時啟動。
在EQNEDT32.exe程序的入口點處，偵錯程式被附加進入：
現在，檢查檔案8.t是否在 %TMP% 目錄中建立生成，果然8.t被drop到了 %TMP% 目錄中：
然後，在函式CreateFile處設定斷點，檢視漏洞利用的shellcode是否會讀取檔案8.t。在call eqnedt32.41E5EE處，函式CreateFile被呼叫。檔案路徑的引數在堆疊執行push dword ptr ss:[ebp-4]操作被壓入堆疊，也即把記憶體ss:[ebp-4]處存放的雙字壓入堆疊。
Shellcode使用函式CreateFile把檔案8.t建立生成到%TMP% 目錄下，現在，可以在呼叫函式處返回使用者程式碼。
深入分析之後，進入shellcode區域，其地址空間已經發生改變。以下即為漏洞利用程式碼的shellcode段：
在函式CreateFile呼叫之後, 函式GetFileSize被呼叫以獲取檔案大小：
之後就是一個VirtualAlloc函式。VirtualAlloc是一個Windows API函式，該函式的功能是在呼叫程序的虛地址空間,預定或者提交一部分頁，也可理解為申請記憶體空間。這裡的VirtualAlloc函式在1FD0000 (eax value)處申請建立了一個記憶體頁面，用它來載入檔案8.t：
VirtualAlloc函式之後，建立的記憶體頁面由EAX操作指向：
分配的記憶體頁面：
然後，用函式ReadFile去讀取檔案8.t：
接著，檔案8.t被讀取載入到了分配的記憶體頁面 1FD0000 處，以下為檔案8.t在記憶體頁面中的樣式：
在0066C82A記憶體處，shellcode會對檔案8.t進行編碼解密，解密迴圈是圍繞解密金鑰進行的一系列異或（XOR）操作，解密開始，解密金鑰被設定到了7BF48E63中。以下為解密迴圈：
之後，執行異或（XOR）操作，解密金鑰被設定到了EAX暫存器中：
如果檢查異或（XOR）操作的目的地ds:[edx+ebx]，可以發現，在01FD0000處發生了檔案8.t載入行為，兩步執行解密之後，終於可以在記憶體區開頭看到神奇的字串“MZ”了，MZ為window的PE檔案標誌。
解密迴圈結束之後，我們會在記憶體01FD0000處得到一個PE程式，到此，檔案8.t被解密了：
接下來，shellcode使用VirtualAlloc函式在02070000處建立了一個記憶體頁面：
之前，在記憶體01FD0000處解密得到的PE程式被拷貝到了這個地址處：
在EQNEDT32.exe執行過程中，shellcode呼叫GetModuleFileNameA函式來獲取自身檔案的完整路徑。之後，shellcode將正常的EQNEDT32.exe程序進行分支，創建出另一個獨立的EQNEDT32.exe程序，並把它執行掛起狀態：
然後在地址02070000處把該程序進行覆蓋：
以下為NTWriteVirtualMemory寫入記憶體時涉及的堆疊：
之後，shellcode會把掛起狀態的程序重啟，以此執行新注入的PE程式。所以，可以發現在OLE物件開頭處存在所有的API呼叫，並且存在runPE方法來啟動新注入的 EQNEDT32.exe 程式。
EQNEDT32.exe獨立程序的分支建立分析
前面提過，被注入覆蓋的新程序EQNEDT32.exe會在目標作業系統中寫入以下兩個檔案：
一個名為 RasTls.dll 的dll檔案
一個名為dascgosrky.exe的可執行檔案
如果把EQNEDT32.exe程序剝離出來，把它放到IDA中分析，可以發現該程序在sub_00401150處釋放檔案的方法函式，把它命名為dropFiles。
在該方法開始，存在一個xor迴圈：
之後，會呼叫壓縮方法函式zlib:
在sub_4012D0處，檔案釋放函式dropFiles會被兩次呼叫。
檢查整個流程，可以發現，函式dropFiles只會被sub_4012D0進行呼叫，如下：
由於EQNEDT32.exe每次的執行，都會由函式CreateFile的onstaticcache.dat檔案啟動，所以，在函式CreateFile處設定了一個斷點：
然後，回到使用者程式碼中，在函式dropFiles初次被呼叫的0040159A處再設定一個斷點，以便進行靜態分析：
這樣，就能分析第二遍解密迴圈了，先要來初始化解密函式：
接著，可以發現xor異或和把結果儲存在esi+eax中操作：
解密迴圈第一步中，結果被寫入EQNEDT32.exe程序地址空間的411BC0：
迴圈完成之後，可以得到zlib壓縮物件的頭資訊：
在記憶體頁面021E0000中，會被分配儲存dll檔案：
同時，在其中一個PE程序dascgosrky.exe會被解壓縮：
之後，RasTls.dll檔案由以下路徑被建立，並被儲存在ebx暫存器中：
L”C:\\Users\\IEUser\\AppData\\Roaming\\Microsoft\\Windows\\Network Shortcuts\\RasTls.dll”
在此過程中，函式dropFiles被兩次呼叫進行解密和PE檔案的解壓縮操作。EQNEDT32.exe程序的檔案儲存偏移位於00434EF8 ，而其PE解壓縮程式dascgosrky.exe儲存在025D0020處。如下圖所示：
之後，dascgosrky.exe釋放到以下系統路徑中，其基地址ebx為005DA228
L”C:\\Users\\IEUser\\AppData\\Roaming\\Microsoft\\Windows\\Network Shortcuts\\dascgosrky.exe”
由此，可以在網路行為中監測到以下兩個檔案釋放到作業系統中：
dll劫持
表面來看，dascgosrky.exe程式是一個賽門鐵克公司簽發的合法可信檔案：
它為了載入RasTls.dll，會呼叫sub_401940處的 LoadLibrary 和 GetProcaddress 方法，來實現其惡意行為。以下為其載入的惡意行為：
攻擊者利用的網路架構
攻擊者利用的域名為wouderfulu.impresstravel.ga，解析對應IP地址為192.99.181.14：
在該IP地址中，存在多個越南語相關的對應域名，這些域名還和IP地址176.223.165.122有關聯：
其中兩個越語域名有點意思：
halong.dulichculao.com 曾在對越某些機構發起的網路攻擊中用過， Fortinet曾對這類攻擊做過詳細分析 ，並把其追溯為中國的黑客組織-1937CN。
把這兩次攻擊的各項TTP指標進行對比，發現基本相似，攻擊者都使用了RTF文件作為前期入侵，而用DLL劫持作為後期payload載入。
此次攻擊中的另外一個域名cat.toonganuh.com，是toonganuh.com的子域名，也曾被發現和中國黑客組織-1937CN註冊過的郵箱[email protected]有關聯。
總結
基於以上發現，Sebastien Larinier推斷，中國黑客組織 1937CN 以同樣的TTPs手法和更新過的工具元件，針對越南政府部門開展著持續的網路攻擊。 Sebastien 認為， 1937CN 建立RTF惡意文件的特性和“響尾蛇”APT組織相似。Sebastien Larinier聲稱將會在後續的分析中給出更多證據。
IOC/">IOC
域名：
dn.dulichbiendao.org gateway.vietbaotinmoi.com web.thoitietvietnam.org hn.dulichbiendao.org halong.dulichculao.com cat.toonganuh.com new.sggpnews.com dulichculao.com coco.sodexoa.com. thoitiet.malware-sinkhole.net wouderfulu.impresstravel.ga toonganuh.com coco.sodexoa.com
IP地址:
192.99.181.14 176.223.165.122
RTFs:
42162c495e835cdf28670661a53d47d12255d9c791c1c5653673b25fb587ffed
8.t:
2c60d4312e4416745e56048ee35e694a79e1bc77e7e4d0b5811e64c84a72d2d7
PE:
f9ebf6aeb3f0fb0c29bd8f3d652476cd1fe8bd9a0c11cb15c43de33bbce0bf68 (exe) 9f5da7524817736cd85d87dae93fdbe478385baac1c0aa3102b6ad50d7e5e368 (dll)
Update:
The payload is PlugX. Thanks to Gabor Szappanos https://twitter.com/GaborSzappanos/status/1024622354582908928
Update IOCs:
597c0c6f397eefb06155abdf5aa9a7476c977c44ef8bd9575b01359e96273486 59.rtf 11f38b6a69978dad95c9b1479db9a8729ca57329855998bd41befc364657d654 RasTls.dll f9ebf6aeb3f0fb0c29bd8f3d652476cd1fe8bd9a0c11cb15c43de33bbce0bf68 RasTls.exe b70069e1c8e829bfd7090ba3dfbf0e256fc7dfcefc6acafb3b53abcf2caa2253 b7.rtf 77361b1ca09d6857d68cea052a0bb857e03d776d3e1943897315a80a19f20fc2 spoolsver.exe 9fba998ab2c1b7fec39da9817b27768ba7892c0613c4be7c525989161981d2e2 vsodscpl.dll 9d239ddd4c925d14e00b5a95827e9191bfda7d59858f141f6f5dcc52329838f0 9d.rtf 087d8bee1db61273a7cd533d52b63265d3a8a8b897526d7849c48bcdba4b22ec RasTls.dll f9ebf6aeb3f0fb0c29bd8f3d652476cd1fe8bd9a0c11cb15c43de33bbce0bf68 RasTls.exe 332aa26d719a20f3a26b2b00a9ca5d2e090b33f5070b057f4950d4f088201ab9 rtf 93aa353320a8e27923880401a4a0f3760374b4d17dcd709d351e612d589b969d vsodscpl.dll 77361b1ca09d6857d68cea052a0bb857e03d776d3e1943897315a80a19f20fc2 ScnCfg.exe
*參考來源： medium ，clouds 編譯，轉載請註明來自 FreeBuf.COM