以委内瑞拉军方为攻击指标的网络间谍活动分析

颁布功夫 2022-05-31

一、背 景


2022年以来，宝运莱官方网站ADLab持续追踪到多起针对委内瑞拉军队和国防部门的网络间谍窃密活动，这些攻击活动以军事和国防事务为钓饵侵入内部系统窃取军事和国防谍报。攻击者将自身假装成委内瑞拉玻利瓦尔共和国的军事部门，以军队内部事务如“针对信息技术和通讯局国防部门的建议和行动”、“少将批示号令”等为钓饵对委内瑞拉的国防部及各军事部门提议定向攻击并植入窃密木马。我们对攻击所使用的窃密木马进行了深度的分析发现窃密木马不仅拥有较强的窃密职能，还拥有主张性的网络文档文件，黑客针对此类敏感部门的针对性攻击拥有极强谍报网络意图。由于委内瑞拉持久处于政治经济双沉�；�，尤其在2019年内乱之后更是大势动荡，此类网络窃密活动频仍产生，所窃取的军事谍报或机密文件被用于政治和军事上匹敌。类似的攻击可能还会通过其他攻击入口进行，但鉴于攻击蹊径的隐秘性和威胁信息孤岛的存在，难以被表部所监控到，就如俄乌匹敌下的一系列过后许久才被发现的攻击事务一样。最后，我们进一步对这次攻击活动的攻击指标、入侵技术特点、说话习惯、代码同源性等成分进行比对分析后，找到这些攻击活动的组织归属，多方面的证据都将这次攻击起源指向Machete黑客组织。


Machete组织，是一个持久以拉丁美洲地域沉要敏感部门为指标的黑客组织，最早活跃功夫能够追忆到2010年，凭据该组织的攻击特点和泄露的信息能够确定该组织同样应该位于拉美地域，但是目前没有足够的证据和线索将其归属具体哪个国度。该组织在拉美地域大势动荡的布景下非�；钤�，攻击指标重要集中于拉丁美洲国度，沉点针对军事、当局等敏感行业进行攻击以窃取机密信息。


在本次发现的攻击活动中，Machete组织沉点针对委内瑞拉军事部门和国防部执行攻击，这与其以往的攻击指标根基一致。不外这次攻击所使用的窃密木马有了肯定水平的技术改进和升级，从4月发现的攻击木马能够看出，该组织对其定造的窃密木马进行了优化升级，同时将改进后的木马定名为kaiser 1.0。这也是自2020年以来该组织初次对其攻击工具进行升级，新增的职能�？樵毯匀≈骰楦形募⑶匀SB设备敏感文件、更矫捷的恶意扩大支持和回传后门版本信息，有关�？樵龀ち四韭矶灾副晟璞该舾形募娜糖悦苣芰扒悦苤澳艿目衫┐竽芰�。同时，该组织近年来还在不休改进其C&C暗藏的伎俩，以提高基础设施的反检测和反追踪能力，以加强C&C的荫蔽性、可控性和安全性。


本文将对近期该组织的攻击活动进行追踪和分析，并针对其持久以来的攻击指标、攻击技术演进、新使用的基础设施等进行全面地分析。最后沉点针对本次攻击使用的升级后门�？楹陀泄丶际跸附诮猩羁谭治�。


二、组织分析


自2010年以来，Machete组织一向热衷于攻击拉丁美洲涉及军事、当局、司法等敏感行业和部门。本节将沉点分析该组织持久以来的攻击指标情况、攻击技术演进及代码特点等特点，并结合本次攻击活动进行对比分析，最后披露其近期使用的网络攻击资产（截至目前有关服务器依然活跃）。


2.1 攻击指标



宝运莱官方网站ADLab通过威胁谍报源共关联到Machete组织汗青上使用过的多个钓饵文档。在针对钓饵内容进行分析统计后，发现钓饵内容中涉及国度或地域的名词重要位于拉丁美洲国度，有关散布占好比图1所示。其中数量较多的国度重要蕴含委内瑞拉、尼加拉瓜、厄瓜多尔、哥伦比亚等，由此来看，该组织的攻击指标该当是钓饵内容有关的国度或地缘政治有关的邻国。同时，文档使用的说话均为西班牙语或葡萄牙语（西班牙语是拉丁美洲21个国度的官方说话）。因而，从钓饵内容、文档说话和地缘政治等角度能够确定攻击者持久以来的指标重要集中在拉丁美洲。



图1.png

图1 钓饵内容涉及国度或地域的占比


在进一步针对钓饵内容的主题进行统计后，能够发现钓饵内容重要集中在军事谍报和政治议题两品类别，军事谍报类如“陆军司令部行动信息表”、“队列人员调动”、“军事号令”等敏感信息，政治议题类如“当局文件”、“表交文件”等，其它钓饵文件还蕴含“债务诉讼”、“司法传票”等威胁恐吓类主题。各类钓饵主题的散布占好比图3所示。攻击者在网络足够信息并对指标有了清澈的认知之后，凭据指标的幼我情况造订相应的钓饵规划。以下是近期我们捕获到的部门委内瑞拉有关的军事信息类钓饵文档，涉及军事号令（“少将批示号令”）和军事战术（“针对信息技术和通讯局国防部门的建议和行动”）有关的内容，与以往的钓饵主题和攻击指标根基维持一致。


图2.png

图2 本次攻击活动使用的军事信息类文档


图3.png


图3 钓饵文档主题占比


此表，我们还在本次攻击Machete组织的木马代码中观察到，其使用西班牙语键盘进行窃密信息纪录，并且在代码中对系统文件夹Program files的特殊处置也使用了西班牙语Archivos de programa（Program files）。因而，从代码的角度也能够印证攻击者的指标重要位于拉丁美洲地域。


图4.png

图4 西班牙语键盘纪录


2.2 攻击技术及演进


Machete组织善于通过垂钓邮件、WEB注入攻击等方式提议初始攻击，之后诱导用户点击钓饵文件并部署Python编写的远控木马，执行监控用户、窃取机密信息等活动。我们在钻研该组织的汗青攻击活动中，发现该组织部署后门的技术伎俩存在过两次沉大更新，同时其最终使用的远控木马也进行过屡次定造更新，本节将着沉对Machete组织汗青上的一些攻击技术变动进行钻研和分析。图5是Machete组织执行攻击的整体流程及技术演进情况。


图5.png

图5 Machete组织攻击流程及技术演进



（1）钓饵投递阶段


攻击者通常选取两种方式进行初始钓饵的投递：一是垂钓邮件，蕴含恶意附件或恶意链接URL；二是通过WEB注入类攻击传布恶意软件，如水坑攻击等。其中垂钓邮件是Machete组织最重要的攻击伎俩。 



（2）后门植入阶段


当指标用户点击钓饵文档或文件时，法式会执行vbs剧本向托管服务器要求下载执行后续的恶意�？�，同时开释正常的钓饵文德反蛊惑用户，钓饵文件的种类蕴含doc、docx、ppt、pdf、jpg等。针对后续的恶意�？�，Machete组织汗青上曾选取nsis装置文件、SFX自解压文件、MSI装置文件等多种方式来装置加载python环境及诠释器，从而执行其python攻击兵器。此表，一旦成功习染指标主机，恶意代码还可能通过习染USB设备从而传布和攻击指标组织的其它成员。Machete组织部署后门的技术变动重要能够划分为以下三个阶段：


  • 2014年至2017年

早期该组织的恶意软件重要以nsis打包装置文件的大局部署分发，法式运行后将提取python诠释器组件并执行后续恶意代码。NSIS（Nullsoft Scriptable Install System）是一种开源的 Windows 系统下的装置法式造作法式。它提供了装置、卸载、系统设置、文件解压缩等职能。攻击者能够通过NSIS装置文件实现开释python执行剧本所必要的环境和依赖库并执行恶意剧本。


  • 2018年至2019年

2018年4月Machete组织更新了部署后门技术，选取SFX自解压文件提取执行python诠释器及恶意剧本等组件。SFX (Self-extracting)自解压文件是压缩文件的一种（文件类型为.exe体式），由于自解压文件内置了自解压法式，因而能够不用借助任何压缩工具，而只需执行该文件就能够自动执行解压缩和后续恶意操作。


  • 2020年至今

2020年后Machete组织改为选取MSI装置文件来打包后续组件。MSI文件是Windows Installer的数据包（现实上是一种数据库），蕴含装置产品所必要的信息及装置（和卸载）法式所需的指令和数据。执行MSI文件即可实现装置工作并执行后续恶意操作。



（3）通讯驻留阶段


Machete组织早期的攻击活动重要选取定造的Python木马Machete，窃密信息回传的方式重要蕴含FTP、Dropbox以及USB设备等。而自2020年后该组织起头改用定造版本的LokiRAT木马。LokiRAT木马为开源马，相较于原始版本，Machete组织为其增长了窃取Chrome浏览器、火狐浏览器用户凭证、针对西班牙语键盘进行键盘纪录、剪切板纪录等职能，由于其代码中蕴含特点字符串kolobok，我们将该木马变种定名为loki_kolobok。


图6.png

图6 Loki木马的职能


而在本次分析中，我们发现Machete组织在今年4月初对其自界说木马进行了升级，这是自2020年来该组织初次对其python攻击兵器进行升级，并为该木马定名为kaiser 1.0，为了便于分辨，我们将该木马变种定名为loki_kaiser。


图7.png

图7 本次发现木马的版本信息


在本次升级中，Machete组织为该兵器增长了四项职能，别离是回传后门版本信息、窃取主机灵感文件、窃取USB设备敏感文件和下载执行剧本文件。


图8.png

图8  loki_kaiser木马新增的四项职能


有趣的是，在近期发现的loki_kaiser木马中，我们还发现该黑客组织使用了新的硬编码标签：Bolodenka_usb_drive，其钟装Bolodenka”为俄语字符串，为俄罗斯婴儿名，代表和平。此表，黑客组织在其自界说的loki木马中还使用了其他的俄语字符串，如：kolobok（Kolobok是东斯拉夫民族童话中的重要角色）、Utopiya_Nyusha_Maksim（乌托国纽沙格言）。但回首Machete组织的汗青攻击活动，该组织所使用的Machete木马中也曾使用西班牙语为变量定名，如：datos （data）、canal （channel）、senal （signal）等。由此猜测，该黑客组织尝试使用俄语字符串混合视听，试图影响分析人员对其起源进行追忆。


图9.png


图9  loki木马中使用到的俄语字符串


2.3 基础设施分析


在近期的攻击事务中，Machete组织使用了更多类型的基础设施。通过对该批攻击样本回连的数据进行网络和分析，我们将近期攻击的基础设施分为两类，蕴含基于Plesk云托管服务的恶意代码托管服务器和基于blogspot.com合法博客文章的C&C存储服务器。



（1）恶意代码托管服务器


表1为近年来Machete组织使用的MSI文件下载URL。


表1.png

表1 下载URL地址


其中，近期黑客频仍使用了Plesk（主机托管商）提供的云主机服务进行MSI恶意代码托管。目前有关链接（如https://zealous-almeida.51-79-62-98.plesk.page/offnoise2/Sharedd.msi）依然维持活跃状态。


图10.png

图10 黑客使用的云主机服务商



（2）C&C存储服务器


Machete组织在木马通讯阶段选取了C&C暗藏技术，利用社交媒体平台blogspot的博客文章作为C&C存储点以加强C&C的荫蔽性、可控性和安全性。该C&C通过base64编码存储,有关页面如下图所示。网页内容为一篇会商安防系统设备安全的技术文章，能够看到，黑客在文章名处插入了一段代码用来暗藏C&C，当远控木马执行时，将别离以”/tecn/”和”*tecn“作为特点宰割符，从中提取base64编码的C&C地址（图中黄色字体的部门）并进行解密回连。这种动态获取C&C的方式，一方面能够有效暗藏C&C地址，另一方面攻击者也能够矫捷地对其服务器进行配置和更新。


图11.png

图11 博客暗藏C2


通过博客的有关用户信息和特点，我们进一步溯源到了更多攻击者用于暗藏C2的博客页面，如图12所示。


图12.png

图12 博客页面暗藏C2


目前，我们网络到黑客使用的部门博客信息、密文、解密C2信息如表2所示。博客内容均为西班牙语，这也批注Machete组织的常用说话是西班牙语系。由于这些博客文章数量多多且难以被全数封禁，因而能够持久关注黑客使用此类基础设施的活跃情况以追踪黑客的攻击活动。


表2.png

表2 博客信息


三、近期攻击活动分析


在本次工作中，宝运莱官方网站ADLab追踪到多起以委内瑞拉军事行动号令和军事战术等为话题的定向攻击活动。经过对本次攻击活动深刻的分析并与该组织以往攻击活动进行具体对比，我们发现该组织在这次攻击活动中不仅对其攻击兵器库中的Python木马进行了正式定名还在职能上进行升级，增长了对主机和usb设备中文件网络以及下载执行剧本文件的职能。由于本次攻击活动的钓饵文档与军事话题缜密相连，我们猜测此举旨在窃取受害者主机上军事有关的敏感谍报，这将可能进一步加剧本地政治和安全的严重大势并组成潜在的不利影响。下面将对本次攻击活动进行具体的分析。


3.1 攻击载荷


ADLab这次捕获的初始攻击载荷是名为“01-RAD-429.pdf.vbs”的恶意文件。攻击者利用Windows系统会默认暗藏文件扩大名的个性，将恶意vbs文件造作成双后缀体式，贪图诱使受害者点击执行虚伪的pdf文件。


图13.png

图13 恶意文件信息


当用户打开VBS文件后，恶意代码会在“C:\ProgramData\”目录下开释“radio.d”文件，并将经过base64编码进行后的数据写入到该文件中，具体内容如下图所示。


图14.png

图14 天生radio.d文件


随后，恶意代码使用Windows的内置法式certUtil.exe对“radio.d”文件进行解码，再将解码后的“01-RAD-429.pdf”文件写入到同目录下，并启用wscript.exe打开pdf文件。具体代码如下图所示。


图15.png

图15 天生并打开pdf文件


该pdf为一个无害的与主题有关的钓饵文件，用以蛊惑受害者。具体内容如下图所示。


图16.png

图16 pdf钓饵文件内容


接着，恶意代码再次将下一段硬编码的Base64数据写入到“rrte.d”文件中，之后使用certutil.exe解码天生名为“pdf.d”的DLL文件，最后通过cmd号令执行dllmain。


图17.png

图17 天生rrte.d文件


该DLL的重要职能是使用msiexec.exe从攻击者的远程托管服务器高低载并执行msi恶意装置包文件。


图18.png

图18 DLL恶意代码


3.2 MSI恶意装置法式


“Sharedd.msi”恶意文件将自身假装成三星USB驱动文件，当点击装置后其会仿照成与“SAMSUNG USB Driver for Mobile Phones”有关的弹框信息。


图19.png

图19  “Sharedd.msi”恶意文件


最终落地的后门是使用python剧本编写的，为了预防受害者电脑没有装置python，攻击者会将python执行剧本所必要的环境和依赖库全数打包到msi中。当“Sharedd.msi”装置法式运行后，所有的恶意软件有关文件被开释到%TEMP%目录中的子目录文件夹中。除了python的各类库文件以表，目录中还蕴含两个(名称分歧但hash值一样）python诠释器、使用Base64编码的剧本文件以及暗藏在“Lib\Lib\site-packages\pydesktop”目录下的后门组件。具体内容如下图所示。


图20.png

图20 装置目录信息


在实现上述操作后，凭据MSIWrapper的配置文件起头执杏装sharedd.exe”。该EXE文件的重要职能是使用“UpdatewShare.exe”python诠释器执杏装Tools”目录下的“Presk”剧本文件。在分析时我们发现，“sharedd.exe”的代码中所使用的诠释器名称与现实上开释出的“UpdateExplorer.exe”文件名称无法匹配，猜测可能是攻击者更改了文件名，而未更新恶意代码所致。


图21.png

图21 “sharedd.exe”恶意代码


3.3 恶意剧本文件


”Presk”现实上是一个pyc文件，通过反编译后，我们得到了蕴含base64编码的py剧本代码。其重要职能为将之前MSI恶意软件开释的所有文件及文件夹全数复造到”C:\ProgramData\USODesktop”蹊径下，并设置USODesktop文件夹为暗藏和系统属性。


图22.png

图22 复造所有文件和设置文件夹属性


接着，再以每5分钟执行一次后门的打算工作来实显熹悠久性，打算工作名称为“UpdatewShared”。


图23.png

图23 设置打算工作


最后，删除USODesktop目录下的“Shared.exe”，并判断打算工作是否设置成功，若失败则手动执行后门。在此处罚析时，我们发现代码中执行的后门名称与现实目录中的后门�？槊撇环�，猜测攻击者未正确更改恶意代码所致。


图24.png

图24 删除“Shared.exe”文件


3.4 后门�？�


该后门�？榧次狹achete组织使用的最新版本木马loki_kaiser。其中Datawmplayer是后门的主题职能�？�，其首先读取当前目录下的“date.dll”文件，并使用base64解码出黑客组织的blogspot.com博客地址。


图25.png

图25 获取博客地址


接着，再从黑客的博客主页中获取贮存C&C的base64编码数据，截取和解码出最终的C&C服务器地址，将其保留为全局变量以便后续使用。


图26.png

图26 获取和保留C&C服务器地址


此表，loki_kaiser将网络受害者的主机信息，其中蕴含用户唯一标识符、主机名称和用户名信息以自界说体式上传给黑客C&C服务器。之后，通过接管远控节造指令，来进行后续恶意行为。


图27.png

图27 上传主机信息


通过度析我们能够看到，该后门节造指令中蕴含了大量用户隐衷信息的窃取职能。蕴含窃取浏览器用户凭证、键盘纪录、屏幕截取以及下载装置其他指定�？榈戎澳�，最终受害者的文件和数据信息，城市凭据远程服务器的指令回传给攻击者的服务器。除此之表，宝运莱官方网站ADLab将该组织早期的后门�？橛氡敬涡掳姹竞竺舕oki_kaiser的职能进行对比分析，发现攻击者增长了一些新职能（详见表3蓝色标注部门）。变种后门的节造指令职能参考下表所示：


表3.png

表3 远程节造指令及职能


鉴于该后门的一部门节造指令职能较单一，因而我们鄙人文中仅针对部门相对比力沉要和新增的指令职能进行了具体的分析。


（1）窃取Chrome浏览器的用户凭证

后门通过读取Chrome保留用户登录信息的数据库，对其解密来获取明文数据。之后再将解密后的用户凭证保留为“%d-%m-%Y-%H-%M-Chr”.txt文件，最后上传到攻击者的服务器上，实现后则删除该文件。


图28.png

图28 窃取Chrome浏览器用户凭证信息


（2）键盘纪录

wmUpdate是掌管进行键盘纪录的职能�？�。攻击者不仅获取受害者输入按键的键名、日期和功夫，以及打开的利用法式名称，此表，其还会筛选出指定的键值。通过这种方式，攻击者不只可能获取到受害者输入的内容以及输入功夫，还能够得到其感兴致的键值。


图29.png

图29 键盘纪录有关代码信息


当节造号令为kill，该后门则对键盘纪录“-vpr.html”的文件名进行沉定名和上传到服务器，成功上传后则删除该文件。


图30.png

图30 上传并删除键盘纪录文件 


（3）窃取主机灵感信息

一方面，该后门通过遍历磁盘信息（除去指定部门系统目录），来获取后缀名为doc、docx、pfd、xlsx、xls、ppt等17种敏感文件的蹊径和文件大幼。之后再将这些有关信息保留到“list.txt”文件中。


图31.png

图31 获取和保留文件信息


另一方面，后门会使用python解析器挪用Updatemplayer�？�。该�？橹匾糜谥付ㄎ募绾蜕洗�。与前者分歧的是，除去部门系统目录以表，其仅对11种体式的文件进行读取和上传。


图32.png

图32 窃取和上传用户敏感文件


（4）USB文件窃取

该指令通过python解析器挪用drives�？槔词迪�。其重要职能为窃取USB中17种体式的文件，并将这些文件上传至黑客服务器。


图33.png

图33 窃取和上传USB中敏感文件


（5）下载执行剧本文件

从攻击者服务器上获取后续阶段的剧本文件，并使用python解析器执行该剧本。通过该剧本攻击者能够扩大实现加载后续攻击兵器或更新自身�？榈雀嘀澳�。


图34.png

图34 下载和执行剧本文件


（6）版本信息

回传后门版本信息，我们查看代码，发现这次后门的版本是“Version kaiser 1.0”。


图35.png

图35 打印版本信息


（7）cmd指令

除了已知的节造指令以表，其它都视为执行cmd号令，参数由节造指令决定。


图36.png

图36 执行cmd指令


四、总结


通过本文分析能够看出，Machete组织在这次攻击活动中精心网络了大量涉及军事、政治等敏感行业的内部文件，以针对委内瑞拉军事部门执行精准的定向攻击。从攻击技术上来看，该组织持久以来不休地改进升级其TTPS，蕴含攻击手法的优化、攻击兵器的升级、C&C暗藏技术的改进等等来逃避检测机造，以期提高攻击的成功率，加强攻击活动隐秘性和黑客基础设施的安全性，如这次攻击中就新增了4个职能�？橛糜谇炕韭矶允芎χ骰楦形募木蓟匀∧芰驮龀ぷ陨淼哪？楦履芰�。此表必要把稳的是，该组织近期起头大量利用合法厂商服务器作为C&C存储点，如利用blogspot博客标题进行C&C暗藏，从而增长安全检测和追踪的难度。


鉴于该黑客组织持久通过垂钓邮件进行攻击的惯用伎俩，我们建议有关用户不要轻易打开和下载未知起源的邮件附件及链接，做好邮件系统的防护。出格是一些极具引诱性的钓饵文档或双后缀文件（暗藏后缀名）必要审慎对待。如有必要可通过打开Office文档中的：文件-选项-信赖中心-信赖中心设置-宏设置，来禁用所有宏代码执行。同时也要注意如：WEB注入攻击、恶意USB设备习染等其它攻击渠路，一旦系统或服务器出现异常行为，实时汇报并请专业人员进行排查，以解除安全隐患。