游走于中东的魅影-APT组织AridViper近期攻击活动分析

     初始样本是以《法塔赫运动和巴勒斯坦事业的未来》话题为诱饵的带有恶意宏代码的DOCM文件：

    宏代码运行后将HEX字节以字符串的形式写入本地文件C:\ProgramData\wifidatacapabilityhandler.txt：

随后读取TXT文件内容将其转化成字节流重新写入本地文件C:\ProgramData\wifidatacapabilityhandler.exe，并加载执行

     样本运行后首先获取%Temp%目录并在该目录下新建MilliebyBrownTechanimationGB文件夹：

     接着通过ShellExecuteA函数调用cmd.exe将自身启动快捷方式复制到开启自启目录下实现持久化操作：

     然后根据操作系统版本选择HTTP/HTTPS协议URL：若运行环境为Windows 7，后续则使用HTTP协议通信。本报告样本调试环境为Windows 7。

    获取本机信息与指定字段组成POST包进行初次上传：

      其中各个字段对应获取到的内容如下：

      读取C:\Users\gg\AppData\Local\Temp\MilliebyBrownTechanimationGB\SearchFilterHostbv.txt文件内容，若文件内容为空，则获取计算机名经base64编码后写入TXT文件中

      通过WMI SQL查询本机反病毒软件：

       通过..表查询本机系统版本：

       后门上传至服务器的POST包如下：

       成功上传窃密信息后，等待C2进一步下发指令：

     单向测试发包结果如下：

     POST .../MgSBEBXuG01RVWDB/...，字段：K8vOE7pWbD 计算机名。

     通过Nlohmann::json解析json数据中的HChdIuD7Gp字段信息，debug过程中该字段为null。

      C2返回指令包括：PelayoFingerprintcr-获取屏幕截图，Kodinsky-shell指令执行，Ishikawal-后续文件下载与执行：

       校验yDVy8x字段返回值，若校验成功则进行以下操作，根据后续数据库报错信息推测yDVy8x字段可能为reques_id。

      获取时间戳，在%Temp%MilliebyBrownTechanimationGB/目录下创建以时间戳为名的.mhi文件，用于存储通过模拟键盘PRINT SCREEN键捕获到的屏幕快照数据，与C2通信后删除.mhi文件。

      POST .../ta8rl3dT9ZRP8C/...，字段：K8vOE7pWbD 计算机名，Iwesaq 捕获的屏幕截图数据：

      POST .../n7RyOPKaeyTRD0cD/...，字段：K8vOE7pWbD 计算机名，HChdIuD7Gp字段经解析后为null值，为C2服务器回传字段。

     校验yDVy8x字段返回值，若校验成功则进行以下操作：

      接收K1BkPO字段信息，debug过程中该字段为null，根据后续上传信息猜测K1BkPO字段为C2服务器回传的shell指令在%Temp%MilliebyBrownTechanimationGB/目录下创建以随机字符命名的文件RYwTiizs2_1654843986.txt，该文件用于存放shell指令执行结果：

      该POST请求将获取信息直接存放数据库中，由于未获取到C2服务器回传的request_id，因此POST数据入库失败

{"error":"SQLSTATE[HY000]: General error: 1366 Incorrect integer value: 'null' for column 'request_id' at row 1 (SQL: insert into `files` (`name`, `device_id`, `request_id`, `path`, `parts`, `updated_at`, `created_at`) values (RYwTiizs2_1654843986.txt, 426, null, public\/files\/426\/docs\/RYwTiizs2_1654843986.txt, 0, 2022-06-10 10:04:39, 2022-06-10 10:04:39))","s_code":400}

       这里K1BkPO字段为null，因此执行结果为空。

     校验yDVy8x字段返回值，若校验成功则进行以下操作：

     接收K1BkPO、NJ4mVB字段信息，debug过程中该字段均为null，在%Temp%MilliebyBrownTechanimationGB/目录下创建WindowLanWlanWwanSwitchingServiceUW.txt，用于接收后续负载执行。

      此外，本次捕获的后门样本在通信中使用了新版本开源curl框架，支持HTTPS协议传输，可使通信变得更加隐蔽。

宏代码均将有效负载先写入TXT文件再创建PE文件写入

后门均使用WMI SQL查询本机的反病毒软件信息

均在%AppData%\Microsoft\Windows\Start Menu\Programs\Startup目录创建快捷方式实现持久化

Pierogi后门发送到C2的信息包括：cname计算机名、av反病毒软件、osversion操作系统版本、aname恶意软件在受感染机器上的位置，与此次捕获样本所上传的信息相同

C2下发指令包括：截屏、shell指令以及文件下载，与此次捕获的后门样本C2下发指令完全重合

参考链接

✦