境外黑客團隊「白象」突然活躍，針對我國特定單位和個人發起攻擊

4 月 1 日，雷鋒網從微步在線了解到，境外黑客組織「白象」在蟄伏了一段時間後，於今年 3 月上旬對國內發起攻擊。

2017年12月下旬，國外網路安全公司趨勢科技對其攻擊活動曝光後，該團伙迅速停用了所有域名、IP等基礎設施，進入「蟄伏期」。然而在今年 3 月上旬至 3 月中旬，「白象」團伙再次發起針對我國的網路攻擊，使用的誘餌文檔均為某特定期間的新聞話題，涉及軍事、社會、法律等多個方面。

此次，白象利用誘餌文檔，通過 Office 漏洞向受害主機植入木馬後門，相關程序與該團伙此前使用的木馬結構功能基本一致，可根據遠程控制伺服器發送的指令完全控制受害主機。此次攻擊活動系通過釣魚郵件對特定單位和個人發起，且攻擊活動仍在繼續。

據微步在線捕獲的樣本文檔顯示，「白象」使用的多個誘餌文檔，分別存放在 fprii.net、ifenngnews.com和chinapolicyanalysis.org 等該團伙註冊的仿冒網站上，文檔內容涉及「2018最新部隊工資調整政策」 （3月6日出現）、 「民政部公布一批非法社會組織」 （3月14日生成）、「中華人民共和國監察法（草案）」（3月15日生成）、以及日本防衛研究所發布的2018年版《中國安全戰略報告》（3月13日出現）等某特定期間的熱點話題，具備較強的迷惑性和針對性。

雷鋒網了解到，這批誘餌文檔均利用了微軟Office較新漏洞CVE-2017-8570，未及時安裝補丁的用戶一旦打開文檔就會觸發惡意代碼，並被植入後門程序。

以下為微步在線出具的樣本分析：

我們以名為「Chinas_Arctic_Dream.doc」的樣本（21f5514d6256a20dcf9af315ee742d6d2a5b07009b200b447c45b2e8f057361d）為例對此次攻擊涉及的木馬程序分析如下：

1.樣本流程概要

與2017年12月捕獲的樣本不同的是，此次樣本較早期樣本解密流程更加簡潔，木馬後門不在內存解密執行，而是落地後直接運行。流程對比圖如下：

??2017年12月份樣本

??2018年3月份樣本

??

微步雲沙箱檢測結果

2. Droper分析(qrat.exe)

a. Word文檔被打開後，會通過觸發漏洞釋放並運行qrat.exe，樣本為C#開發，並做了混淆以防止被分析。

b. 該Droper樣本和以往捕獲的「白象」樣本功能相似，主要是進行木馬後門的安裝。樣本運行後會通過資源先後釋放Microsoft.Win32.TaskScheduler.dll和microsoft_network.exe。這兩個文件都被存放在qrat.exe的資源中，該段資源包含兩個PE文件，最開始的MZ頭是後門程序，而第二個MZ頭是添加計劃任務的dll。通過PE工具可以查看明顯的PE文件特徵。

??

為了驗證猜想，可通過PE工具和16進位編輯器對這段資源進行提取和分離然後分別得到後門microsoft_network.exe和動態鏈接庫文件Microsoft.Win32.TaskScheduler.dll。

c. 釋放後門到路徑%APPDATA%Microsoft Networkmicrosoft_network1.0.0.0目錄，並註冊開機啟動，通過調用Microsoft.Win32.TaskScheduler.dll添加計劃任務，每5分鐘執行一次。

?

qrat.exe的編譯時間為2018年2月2日

3. 後門分析(microsoft_network.exe)

a. 樣本從編譯時間來看是2018年1月23日，同樣採用C#編寫，也同樣做了混淆，去掉混淆後發現該樣本為遠控木馬。木馬採用開源遠控xRAT的源碼編譯，一直被「白象」團伙所使用。此次木馬在功能能上相比去年12月份的樣本，並沒有什麼功能性的變化，但是對配置文件選項進行了AES加密，並進行了Base64編碼。如下圖所示：

?

該款木馬的內部版本號為2.0.0.0 RELEASE3，上線域名tautiaos.com（當前解析43.249.37.199，已無法連接），上線埠號23558，連接密碼g00gle@209.58.185.36，互斥體為eohSEArfS1nJ0SBOsCLroQlBlnYZnEjM，配置信息解密密鑰為Kkbnev10lq5zOdKl51Aq。與之前捕獲的樣本相比，此次樣本的配置信息均進行了修改，但埠號仍然使用23588。

b. 樣本運行後獲取操作系統基本信息，通過「 freegeoip.net」獲取受害者的地理位置，然後創建互斥體等。遠控基本功能包括：

a) 基礎功能：遠程 Shell，進程管理，屏幕管理，文件操作，獲取主機信息，查看開機啟動項，遠程關機、重啟等；

b) 殺軟對抗，防火牆檢測；

c) 自動更新功能，dll 注入；

d) 獲取同一個域下的其它設備的信息。

關聯分析

對此次涉及的惡意域名ifenngnews.com、chinapolicyanalysis.org關聯發現，除datapeople-cn.com、sinamilnews.com、ustc-cn.org等大批我們此前已經掌握該團伙資產外，我們還發現了包括wipikedia.xyz、armynews.today等多個於2018年1月19日最新註冊的可疑域名，從域名註冊商、伺服器信息等特點研判認為，這些域名仍為「白象」團伙所有，如下圖所示：

??

此外，有情報顯示，「白象」團伙此次攻擊主要利用釣魚郵件向特定單位和個人傳播惡意文檔的下載鏈接，截至 2018 年 3 月 21 日，大多數惡意鏈接仍可訪問下載（如hxxp://fprii[.]net/The_Four_Traps_for_China.doc），證明攻擊活動仍在繼續。雷鋒網了解到，用戶還可以下載放入監控或者在自己的日誌中查看，近期這個團伙是否關注了相關單位。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！