APT37 复盘分析报告(part1):投递与执行

APT37,别名Group123、Venus 121、Reaper等,是一个活跃的朝鲜黑客组织,其攻击活动开始于2012年。

APT37的主要攻击目标为朝鲜的地理邻国,包括韩国、日本、俄罗斯、中国等,其中对韩国的攻击活动十分频繁。

朝鲜的黑客组织为数众多,而且普遍活跃,这使得早些年对攻击组织的划分十分困难。2017年以前,APT37的攻击活动大多与Lazarus组织的攻击活动混为一谈,并认为APT37是Lazarus组织的一部分。

近年来,随着APT37的活动增多,其手段和工具特征也越来越明显,与广义上Lazarus组织攻击行为的差异也变得显著。目前,APT37已被确认为针对韩国政企与脱北人员等政治目标,使用RokRat、NavRat、KevDroid、PoorWeb等标志性木马发动攻击的高效黑客团体。

2019年12月,微软宣布通过诉讼手段取得了APT37曾使用的50个域名的控制权。这一事件使得APT37再次来到公众视野中。然而,被易手的域名并不包括韩国区域,因此并不能有效打击APT37在亚洲的攻击活动。该组织依然应被高度关注。

主要事件时间线:

投递与执行手法:

由于攻击目标的特殊性,APT37的攻击活动与其他国家APT组织活动有显著差异,其中一点体现在该组织的投递执行手段上。

鱼叉邮件与hwp诱饵文档

APT37发起的攻击中,有一个显著特征为在投递执行阶段大量使用携带hwp文档的鱼叉邮件。

hwp文件是韩国主流文字处理软件Hangul Office(한글)专用的文档格式,也是政府使用的标准文档格式之一,作为邮件附件的常用文件格式在韩国广为使用。APT37作为以韩国为主要目标的黑客组织,在hwp文档的恶意利用上十分娴熟。

hwp文件构成与doc文档比较相似,包括相同的头结构(0xD0CF…)和由各类型文件组成的内容结构等。

典型hwp文件头

对hwp文档的恶意利用包含两大类,宏利用和模块漏洞利用。

与Microsoft Office软件相同,Hangul Office软件依赖脚本语言处理文档中的宏内容。Hangul Office主要使用的脚本语言是PostScript,在hwp文档中以PS文件的形式保存。

攻击者可以在文档中编写恶意的ps脚本程序,构造诱饵来欺骗用户执行文档中的脚本,达到执行恶意载荷的目的。

Hangul Office软件依赖一些模块来处理hwp文档中的各类型文件,其中典型是使用eps模块来处理文档中的eps图片。由于这些模块的缺陷,攻击者可以构造包含特定文件格式的hwp文档来触发Hangul Office处理模块的漏洞,执行恶意代码。

APT37多次使用鱼叉邮件附带的hwp文档作为入侵手段。

漏洞利用

Eps是使用PostScript语言描述的一种图形文件格式,可以输出高精度的ASCII图像。Hangul Office软件使用eps图像处理模块来处理hwp文档中的eps图像,但因为eps处理模块本身包含多个漏洞,该处理流程容易被黑客利用执行恶意代码。

APT37在近年多次攻击中利用了eps漏洞。

Evil New Year 2018

在17年底18年初的攻击行动Evil New Year 2018中,APT37使用了携带cve-2013-0808漏洞的hwp文档进行攻击。

cve-2013-0808是存在于eps图片查看器gldll32.dll模块中的缓冲区溢出漏洞,通过溢出点代码,esi的值可以被修改,此后程序执行流从esi处获取地址并调用,导致任意代码执行:

如下图所示,Evil New Year 2018使用的hwp文档内部包含一个eps文件,文件内容解压后暴露出shellcode。

该shellcode最终代码被加密,加密逻辑为异或:

该shellcode最终下载指定url下的文件,该文件是伪装成png图像的RokRat木马。

Operation Black Banner

19年4月的攻击行动Operation Black Banner中,APT37使用了搭载疑似CVE-2015-2545漏洞载荷的鱼叉邮件附件。

在名为당일_일정.hwp的hwp文件中,eps模块代码利用漏洞加载shellcode执行。

PostScript代码结构显示其使用的漏洞类似eps编辑器漏洞CVE-2015-2545,为释放后重用漏洞:

最终运行的shellcode从指定网址下载PoorWeb木马程序并运行。

脚本执行

hwp文档使用ps或eps后缀保存PostScript脚本文件。由于PostScript是基于栈的脚本语言,攻击者可以使用PostScript脚本直接在内存中运行可执行文件,并通过混淆的方式绕过安全软件检测。

Operation Korean Sword

2018年8~9月的APT37攻击活动Operation Korean Sword中,APT37使用PostScript脚本投递恶意载荷。在钓鱼邮件附件※ 기 록 부.hwp中,恶意脚本文件BIN0001.eps将内置的恶意PE文件组合并运行,同时创建自启动脚本的持久化机制。

该脚本使用魔术字隐藏、垃圾字节填充等方式逃避安全检测:

该PostScript脚本释放RokRat木马。

Operation Printing Paper

同样的手法出现在2019年5月报道的APT37组织Operation Printing Paper攻击行动中。hwp文件”SamsungVer3.01.03Printer.bin”搭载的恶意eps文件中,PostScript脚本使用与Operation Korean Sword相同的使用魔术字隐藏、垃圾字节填充等手段释放了SamsungPrinter47.vbs、Pemrr01.wta01、Pemrr02.wta01等恶意载荷,最终运行名为SamsungVer3.01.03Printer.com的Dropper木马:

该Dropper木马有一定的对抗手段,包括检查自身是否以%appdata%\\SamsungVer3.01.03Printer.com -normal的命令行启动,检测调试器、检测调试行为、检测进程等。

最终Dropper木马在内存中解密并释放RokRat木马。

 其他行动

除上述攻击事件以外,APT37在零散的攻击活动中也大量使用包含恶意PostScript宏的hwp文档进行入侵。

在2019年6月~7月的活动中,APT37分别制作了伪装成朝鲜教会学校申请书和政府文件的hwp文档,通过其中的加密PostScript脚本投递RokRat木马。

冒充韩国社科研究机构여의도연구원:

恶意PostScript脚本使用异或加密:

最终该文档释放RokRat木马。

文件侧载

Hangul Office支持hwp文档的超链接功能,可以在Hangul Office打开hwp文档的同时打开设置好的其他文件。APT37曾使用该方法进行侧载攻击。

Hangul Office设置超链接的界面:

在2019年03月的攻击活动中,APT37构造了附带恶意hwp文件和恶意scr文件的钓鱼邮件。用户打开hwp文件并点击其中超链接时,恶意scr文件将会执行。

该攻击的最终载荷为PoorWeb远控木马。

小结

作为在韩国比word更流行的文档类型,hwp文档成为APT37的常用攻击跳板。虽然没有doc文档类似的公式编辑器漏洞,朝鲜的黑客们依然积极尝试使用各类组件的漏洞构建恶意文档。因为APT37的攻击目标主要集中在脱北人士和韩国政企工作人员,他们构造的诱饵内容也集中在通知、简历、申请书等文件形式上。

鱼叉邮件与其他格式文档

除hwp文档以外,APT37也积极使用包括html、doc等各类常规格式附件作为攻击载体。

html页面

在2018年8月的一次攻击事件Operation Fake News中,APT37制作的鱼叉邮件携带了html类型的附件。

名为mail_93682646.html伪装成了口令验证的页面:

在ie浏览器中允许ActiveX控件运行后,该html将会解码执行内部的恶意JS脚本。

该脚本会显示指定网站上的欺骗信息,并下载googledrive中的最终载荷并在内存中执行:

脚本下载的最终载荷为RokRat。

doc文档

在2018年8月的Operation Rocketman攻击活动中,APT37使用了常见的doc漏洞利用的方式投放恶意载荷。

该攻击中,鱼叉邮件携带了包含CVE-2017-11882漏洞的doc文档,文档名为bitcoin-trans.doc,内容与比特币采矿相关。

根据OLE提取到rtf文件利用CVE-2017-11882公式编辑器漏洞,释放shellcode并从指定网址获取下一步攻击工具。

该漏洞doc文档最终释放PubNub木马。

隐写图片

除常规类型的文件以外,APT37还尝试过使用隐写图像作为跳板执行恶意程序。

在2019年的一次攻击行动中,APT37在鱼叉邮件中加入了扩展名为jpge的文件,并在邮件内容中诱导受害者下载短链接中的程序来打开jpge图像:

两个短链接分别指向一个exe文件和apk文件,分别是恶意载荷加载器和安卓间谍应用。

JPEG_Viewer木马

改exe程序将自身伪装成一个图片查看器用于加载、解密并执行恶意载荷。该加载器会对输入的图片格式进行校验;如果用户尝试用查看器打开一个格式不符的普通图片,则会弹出“错误格式”的窗口。

一个合法的格式如下所示:

恶意载荷共两部分;第一部分为真实的图片载荷。图片载荷被秘钥解密并保存为临时文件后更新至木马的图形界面,其目的是通过展示图片查看功能从而降低用户的警惕性:

第二部分为攻击者投递的恶意载荷。首先在内存中解密恶意载荷,当用户通过图形界面关闭该结束木马进程时,进程将转入后台继续执行,包含恶意载荷的线程随即启动:

该加载器最终在jpge文件中获取RokRat木马并执行。

Android_JPGE_Viewer木马

该安卓木马注册了自定义的广播接收器服务,该服务在用户接电话的同时开启了录音功能,从而实现了来电监听、记录:

木马通过自定义的闹钟回调类完成和C2服务器的交互。每当一次闹钟事件触发后,木马会按顺序执行下列操作:

  1. 向C2上传肉鸡的MAC地址、型号等指纹信息
  2. 收集肉鸡的录音文件
  3. 向C2上传肉鸡的录音文件
  4. 向C2服务器请求并执行密文远控指令,加密算法为DES

水坑站点

在韩国安全研究团队ESTsecurity披露的情报中,APT37曾在2019年08月制作水坑网站,对脱北人士及脱北援助者进行针对性的攻击。

情报显示,该网站使用WordPress构建,并伪装成向脱北人士进行募捐的网站,引导浏览者安装指定的安卓应用。

该网站声称使用者可以在应用中提交个人信息以申请获取经济援助,但实际上该应用会搜索手机敏感信息,上传给APT37攻击者。

相较鱼叉邮件攻击,水坑式攻击具有更高的攻击目标精准性,可以造成的影响也更大。这类针对脱北人士的攻击从侧面体现了朝鲜对脱逃行为的态度。

APT37 复盘分析报告(part2):木马与工具

0 0 vote
Article Rating

未经允许不得转载:x-sec » APT37 复盘分析报告(part1):投递与执行

赞 (0) 打赏
Subscribe
Notify of
guest

This site uses Akismet to reduce spam. Learn how your comment data is processed.

0 Comments
Inline Feedbacks
View all comments

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

0
Would love your thoughts, please comment.x
()
x