每周高级威胁情报解读(2020.11.19~11.26)

披露时间：2020年11月19日

情报来源： https://mp.weixin.qq.com/s/ZAhfQvPD1XucpFEpWhwzcA

https://mp.weixin.qq.com/s/BeZnfg5nPLre6tTdNz0tCA

相关信息：

研究人员发现，今年11月份开始，响尾蛇（SideWinder）组织针对中国的攻击又开始活跃。该组织通过微信、邮件等途径针对中国国内特定机构投递诱饵文档发起攻击，目标涉及外交等特定政府机构。在近期针对中国的攻击活动中，使用的攻击链较为复杂，相关的漏洞文档使用了双重漏洞构造。

披露时间：2020年11月24日

情报来源： https://mp.weixin.qq.com/s/7JoHBwbtn_wpoYWrE32TNA

相关信息：

Lazarus 至少自2017年以来就持续将加密货币行业的机构和公司作为自己的攻击目标，从TTP上来看有着较高的延续性，而在钓鱼载体的选取上较为多变：早期使用的文件大多为钓鱼文档，内容选取上也以诱导受害者启用宏为目标，受害者启用宏后通过执行恶意的vbs脚本下载后续后门木马。

至少自2018年6月开始，使用的钓鱼文件中出现了lnk文件，相关样本利用mshta执行远程脚本，所使用的脚本在与宏指令脚本结构上有较高相似度。在2019年以后出现了攻击者投放包含加密文档与伪装成文档密码记事本文件的lnk文件的钓鱼方式，以此诱导受害者点击。

披露时间：2020年11月22日

情报来源： https://blog.alyac.co.kr/3390

相关信息：

ESRC 最近跟踪并分析了一个APT组织，该组织在11月6日分发了一封伪装为Hanmail Daum客户中心出于安全目的发送的用于帐户劫持的恶意电子邮件。由于攻击者的错误，电子邮件正文中的链接尝试连接到地址"naver.midsecurity [.] org"而不是"hanmail"地址。这种错误会导致攻击者的服务器内部结构配置在一段时间内暴露于外。在暴露期间内，ESRC从外部验证了攻击者的服务器，在韩国和俄罗斯都存在用于钓鱼的站点。

通过观察，"midsecurity [.] org"早在2020年11月份被IP"211[.]104.160.79"使用，而该IP在报道中被确认为Konni组织使用过。通过共享威胁基础结构，可以判断两个组织之间的联系。再如鱼叉式网络钓鱼攻击的恶意MS Word DOC文件或APK Android恶意应用之类的综合策略，技术和过程（TTP /战术，技术和过程）也是是完全一致的。

披露时间：2020年11月25日

情报来源： https://mp.weixin.qq.com/s/dQNny_JQuWRRXBE6HF5fpw

相关信息：

近期，微步捕获到Lazarus组织在加密货币方面近期使用的样本，包含Windows和MacOS平台的版本，与之前的样本有显著变化。

披露时间：2020年11月25日

情报来源：https://www.anquanke.com/post/id/223136

相关信息：

近期，安恒监测捕获到一些以博彩为主题的钓鱼文档。诱饵文档使用模糊的表格照片，诱导受害者打开宏代码。样本通过bitsadmin从挂马网站下载后续恶意程序，并通过pastebin[.]pl、rentry[.]co这类网站的文本共享功能实现后续恶意代码的托管。

披露时间：2020年11月23日

情报来源： https://labs.bitdefender.com/2020/11/trickbot-is-dead-long-live-trickbot/

相关信息：

Bitdefender 研究人员发现，TrickBot的运营商正在努力恢复僵尸网络的活动范围。其背后的攻击者已经下发了该木马的新版本并维护了先前版本中使用的模块的完整列表。在最近分析的样本中，不再存在shareDll或打包版本的mshareDll，表明攻击者可能移除了横向移动模块。另外，攻击者更新了通信机制，使用Mikrotik路由器做为新C2基础架构，对于某些版本，版本更新响应已使用bcrypt数字签名。

披露时间：2020年11月24日

情报来源：https://research.checkpoint.com/2020/enter-wapdropper-subscribe-users-to-premium-services-by-telecom-companies/

相关信息：

Check Point 研究人员最近发现了一种新型恶意软件WAPDropper，它包含两个不同的模块：1. 删除程序模块：用于下载第二阶段恶意软件，并有可能传播和启动不同的攻击媒介；2. 高级拨号程序模块：用于使受害者在不知情或未经其同意的情况下订阅泰国和马来西亚的电信运营商提供的高级服务。在执行过程中，恶意软件会隐藏其图标，以防止任何用户识别和卸载恶意软件。此外，恶意软件还会执行检查以识别设备是否配置了代理或VPN。如果未配置，则恶意软件会启动Dropper模块以下载并执行其他有效负载。

披露时间：2020年11月20日

情报来源： https://blog.netlab.360.com/blackrota-an-obfuscated-backdoor-written-in-go/

相关信息：

研究人员通过Anglerfish蜜罐捕获到一个利用Docker Remote API未授权访问漏洞传播的Go语言恶意后门，根据后门使用的C2域名将之命名为Blackrota。Blackrota后门程序目前只有Linux版，为ELF文件格式，支持x86/x86-64两种CPU架构。Blackrota基于geacon配置并编译，geacon是一个Go语言实现的CobaltStrikeBeacon，它可以作为CobalStrike的Beacon与CobaltStrike交互来控制失陷主机，实现部分关键功能。

披露时间：2020年11月23日

情报来源： https://mp.weixin.qq.com/s/mMi5fHtBPuN09uH6FKm0_g

相关信息：

“永恒之蓝木马下载器”首次被发现于2018年12月份。木马团伙通过劫持驱动人生升级服务器下发该木马致使大量客户中招。此木马近年来一直处于活跃状态，攻击、传播手法持续更新。

最初“永恒之蓝木马下载器”系列木马的远控模块和传播模块文件需要落地，较为容易查杀，随着时间的推进，攻击者对木马进行了改进，木马攻击成功后会在失陷主机上创建一个名为Bluetooths的计划任务，该计划任务会利用PowerShell从v.beahh.com处获取新的payload进行执行，该系列payload会为下载模块功能做前期准备，准备完成后下载攻击传播模块及挖矿模块到内存，然后直接利用IEX命令进行执行。最终完全脱离了原有流程，做到了无文件落地的"计划任务+PowerShell"的攻击模式，这使得攻击更加隐蔽，查杀难度增大。

从19年4月开始，”永恒之蓝木马下载器”系列木马开始稳定的利用上述计划任务+powershell的无文件方式进行传播与攻击。之后对攻击组件和挖矿脚本依旧进行着频繁的更新，使其攻击能力和挖矿能力不断提升。其中对于域名和PoweShell脚本名称也进行了多次更改，其中使用到了DGA算法进行域名的生成，而windows下的攻击组件名称也变为了if.bin，主要攻击方式为通过最新的Domain下载对应的PowerShell脚本并加载到内存执行攻击。