Operation(?????????)Vikrant：屹立于精神內景中的鋼鐵巨象

概述

奇安信威脅情報中心在2020年時發現了一個位于南亞區域長期針對巴基斯坦進行間諜活動的APT組織，奇安信內部編號APT-Q-42。鑒于南亞大區“優秀”的匹配機制，該團伙其主要攻擊方式與其他南亞組織別無二致，通過自己搭建郵件服務器并發送魚叉郵件的方式向目標投遞帶有惡意DDE文檔和熱點事件相關的PDF/WORD文檔。

隨著最近兩年南亞次大陸方向的熱點事件越來越多，以某區域大國為首的APT攻擊達到了歷史的新高，網絡釣魚活動最為活躍，目前除了一些已知歸屬的釣魚新活動，我們還捕獲到了許多未知但是已成體系的釣魚活動，將在本文第二章節做一個簡短的分享，并披露摩耶象（APT-Q-41）的歷史活動。

與之前的文章類似，本文內容也僅僅是對在過去一段時間內攻擊手法做一個分享，本文所涉及的所以IOC均已無法訪問，APT-Q-42的活動主要針對巴基斯坦、尼泊爾等國不涉及國內。

樣本分析

APT-Q-42通過壓縮包投遞的壓縮包如下：

2020年投遞的誘餌如下，巴基斯坦內閣秘書處采購清單：

Covid19疫情政策相關PDF文檔：

巴基斯坦民航局國際旅客健康申報表：

在2021年投遞的誘餌中我們發現該團伙還會投遞空的PDF和損壞的PDF來誘導受害者打開惡意的DDE文檔。

有趣的是，該團伙投遞的文件名與之前披露的魔羅桫（APT-Q-40）組織存在重疊、而投遞的誘餌內容則與響尾蛇（APT-Q-39）團伙存在重疊，這從側面印證了我們之前提到的南亞APT組織間基礎設施共享的想法。

DDE代碼如下，從動態域名中下載PS腳本并執行，實現持久化等功能

經過重定向后會從Dropbox托管平臺上下載最終的python木馬。

C2一般存放在config.py文件中，核心功能非常簡單。

具有上傳文件、下載文件、改變目錄、命令執行等功能，除此之外我們還發現了使用Python3.8、3.9版本編寫的Rat變種，C2不再是例如pythonanywhere.com、herokuapp.com等動態域名，而是變成了URL。

在2021年時我們發現在疑似該團伙最新活動中會通過DDE從Google云盤上下載Payload，使用了基于Python編寫的Telegram-RAT

網絡釣魚活動

目前我們檢測到越來越多的“雇傭軍”加入了南亞地區的網絡釣魚，攻擊水平完全取決于雇傭人員的代碼水平，在披露摩耶象（APT-Q-41）之前，我們先來看下魔羅桫（APT-Q-40）組織在今年上半年的最新活動，

魔羅桫（APT-Q-40）

釣魚流程與之前出現了較大的變化，投遞的釣魚郵件如下：

提示收件人更新賬戶信息，郵件中包含grabify.link的短鏈接，跳向eu3.org動態域名，會根據動態域名后面的URL來跳轉最終具有魔羅桫（APT-Q-40）組織特色的復雜釣魚頁面，除此之外我們還發現了用于生成復雜鏈接的頁面

摩耶象（APT-Q-41）

該團伙主要以發送釣魚郵件為主，代碼能力極弱，釣魚郵件如下：

ZIP包含了一個html里面帶有釣魚鏈接，部分釣魚鏈接如下：

輸入密碼后會展示對應的PDF文件：

該團伙釣魚域名均使用herokuapp.com或者netlify.app動態域名進行托管，在POST數據時則將其發送到000webhostapp.com動態域名。

后端邏輯會在POST的動態域名下生成txt文件存儲受害者輸入的賬號密碼，收集的TXT名稱如下：

文件記錄格式如下：

從2017年至今始終使用這種方式對相關單位進行網絡釣魚活動，其通過釣魚郵件投遞的樣本是由MSF生成的Ruby木馬，還會投遞一些開源的木馬，總體而言水平更接近低端商貿信。

下面會介紹一批我們認為是新招募的外包人員所發起的網絡釣魚攻擊，由于這些外包人員在被招募以前可能就從事一些商貿信、灰色產業，所以相比之下他們的攻擊手法較為粗糙。

釣魚一

釣魚郵件如下：

點擊鏈接后會先訪問一個被黑的站點，之后會被重定向到azure-na的一個目錄下展示最終的釣魚頁面，整個過程非常隱蔽幾乎不可能被測繪到。

釣魚二

釣魚郵件如下：

點擊釣魚鏈接后會先訪問末尾帶有類似UUID的釣魚鏈接，實際上每一個UUID對應一個郵箱，接著經過兩層跳轉，跳轉到最終的釣魚頁面

釣魚三

釣魚郵件如下：

近年來少有的直接使用IP作為C2進行釣魚的團伙，手法接近與APT，POST邏輯如下：

由于目前我們尚未掌握更多與該團伙相關的信息，故暫不給予對應的編號。

IOC

872be4b14a71c9c37dc24afacc24f46e

0a94d9cc975b9acbfd3e03c94d855e5b

1796bf9d88e69253f2e4fd5a992c0967

84c4264d6ce75d9c3ab4fac41998b495

88241c73619974153be65652f1cdacb2

ba11cc8eecbf9fa794d250228519e838

文章來源：奇安信威脅情報中心