360-拍拍熊（APT-C-37）：持续针对某武装组织的攻击活动揭露（网络安全）-2019.3.11-12页_1mb

拍拍熊（APT-C-37）攻击活动总结

核心内容

拍拍熊（APT-C-37）是一个长期针对某武装组织进行有组织、有计划网络攻击的高级持续性威胁（APT）组织。攻击活动自2015年10月开始，持续至今，主要通过水坑攻击方式传播恶意软件，涉及Android和Windows两个平台。攻击样本包括多个远程访问木马（RAT），部分已被安全公司识别并曝光。

主要观点

• 攻击目标：某武装组织，其媒体网站如Amaq和Al Swarm成为主要攻击目标。
• 攻击方式：以水坑攻击为主，将恶意代码嵌入正常应用程序中，以逃避检测。
• 攻击平台：涵盖Android和Windows系统，显示出攻击者的跨平台能力。
• 攻击样本：共捕获Android平台样本32个，Windows平台样本13个，涉及7个C&C域名。
• RAT类型：使用多种RAT，包括商业RAT（如DroidJack、SpyNote）和定制RAT（如SSLove、fkn0wned）。
• 攻击特征：通过文件图标伪装、正常APP功能伪装等方式诱导用户下载恶意软件。
• 地域影响：攻击活动影响了11个国家，且这些国家均存在该武装组织的人员。
• 组织关联：与黄金鼠组织（APT-C-27）在C&C网段、攻击手段、RAT使用等方面存在高度关联性。

关键信息

载荷投递方式

• 水坑攻击：通过篡改正常网站（如Al Swarm新闻社网站）的APP下载链接，插入恶意RAT代码。
• 样本链接与MD5：
  • Android：
    • 恶意下载链接：https://sawarim.net/apps/Sawarim.apk
    • MD5：bb2d1238c8418cde13128e91f1a77ae7
  • Windows：
    • 恶意下载链接包括：http://androids-app.com/SystemUI.exe、http://snapcard.argia.co.id/woocommerce/wp-content/plugins/Adobe_FlashP layerX86_64.exe 等。
    • MD5包括：dc1ede8e2d3206b04cb95b6ae62f43e0、d2c40e2183cf18855c36ddd14f8e966f、8c49833f76b17fdaafe5130f249312ca 等。

诱导方式

• 正常APP功能伪装：将RAT嵌入正常APP中，使其在用户不知情的情况下执行间谍活动。
• 文件图标伪装：通过修改APP图标，使其看起来像合法应用，从而降低用户警惕性。

RAT分析

Android RAT

• DroidJack：一种流行且功能强大的RAT，被多次使用，也常被插入正常APP中进行隐藏。
• SpyNote：功能较为有限，使用次数较少。
• SSLove：专门为此次攻击活动开发的RAT，包含“runmylove”标识，是首款使用SQL Server进行指令交互的RAT，支持窃取短信、通讯录、WhatsApp和Telegram数据，以及文件上传等功能。

Windows RAT

• njRAT：通过C#封装和混淆代码，以避免被杀毒软件检测，具有插件机制，可扩展功能。
• H-Worm：基于VBS的RAT，使用混淆代码，指令列表稳定，具有执行命令、更新载荷、上传数据等功能。
• fkn0wned：通过VB.NET编写的RAT，仅接收“DOWNLOAD”指令，不具备DDoS功能，主要功能为下载文件。

C&C及IP信息

• C&C域名：66.85.157.86、82.137.255.0、da3da3.duckdns.org、samd1.duckdns.org、samd2.duckdns.org、sorry.duckdns.org、btcaes2.duckdns.org。
• C&C网段：与黄金鼠组织使用的C&C位于同一网段，显示两者存在关联。

受攻击地区分布

• 地区分布：攻击影响了11个国家，这些国家均存在该武装组织的人员，表明攻击具有高度针对性。
• 图示：图5.1展示了受攻击的国家分布情况。

溯源与关联

• 与黄金鼠组织的关联：
  • 均熟悉阿拉伯语。
  • 均擅长水坑攻击。
  • 均使用多种RAT，且在两个时间段内使用了同一网段的C&C。

总结

拍拍熊组织的攻击活动显示了其高度组织化和专业化的特点，通过多种攻击手段和伪装方式，持续针对某武装组织进行间谍活动。其使用的RAT和C&C平台均显示出与黄金鼠组织的紧密联系。随着该武装组织最后据点被攻下，攻击活动可能发生变化，但整体趋势表明网络间谍活动仍将持续，网络空间冲突可能进一步加剧。