事情介绍

最近，网御星云千里目高級威协科学研究精英团队检测到“魔罗桫”机构对于东亚军工业的攻击主题活动。该机构利用鱼饵文档“China Cruise Missiles Capabilities-Implications for the Indian Army.docx”。历经深层次跟踪，文档內容摘录自印尼的orfonline网站，里边包括了英语的**技术报告，借以看准军工业。受害人开启文档后，会开启office公式计算编辑器漏洞，从而免费下载实行恶意手机软件Warzone RAT，完成长期性操纵服务器和泄密比较敏感材料的目地。大家从技术性等多层次比照了该机构上一次利用热点话题的攻击主题活动，此次攻击仍然延用了国防话题讨论鱼饵文档 系统漏洞利用 掩藏微软公司网站域名 商业服务木马病毒的攻击招数。

APT机构”魔罗桫”（别名为Confucius），是一个长期性对于我国，塔吉克斯坦，缅甸等地域，关键看准 *** 部门，军工业，核能发电领域等行业开展互联网情报活动的活跃性机构。

样版介绍

该类恶意文档关键根据钓鱼邮件开展散播，客户开启该恶意文档后，表明的是看起来一切正常的有关汇报，身后会根据office编辑器漏洞从 *** 黑客的服务端下载恶意文档并隐敝实行，最后被害客户电子计算机被黑客联盟操纵，材料被盗取。恶意word文档开启后具体內容以下。

牵涉到一些公布的商品主要参数：

攻击追溯

从传播效果上本次攻击的媒介为恶意文档，附加 *** 热点时事热点內容，比照之一次时间短跟踪到的攻击主题活动，存有一定的相似度。

近期的一次攻击事情选用的恶意文档內容来自海外Bulletin（完全免费新闻报道与双月刊网站）2020年11月9日公布公布的一篇文章，题目是“Here's what to expect from Biden on top nuclear weapons issues”。

从利用技巧上则应用一样的远程控制模版与office编辑器漏洞，要求服务器端的详细地址msoffice.user-assist.site与之一次时间短应用过的网站域名组成构造存有一定的相似度，以掩藏微软公司或是office等联接网站域名绕开黑与白名册限定。

正中间环节释放出来的恶意dll文档总体构架与导出来涵数与以前捕捉的样版基本要素是一致的，最后释放出来的远程控制也是以前攻击主题活动应用过的Warzone（Ave Maria）RAT。根据此次攻击主题活动的TTPs及其落地式的恶意文档特点与关键点与IOC等相似度，我们可以判断它是”魔罗桫”（海外安全性生产商取名为Confucius）APT的全新攻击主题活动。

攻击小结

依据过去几回攻击主题活动的 *** 与媒体，如利用造成新闻媒体高宽比关心的最新动态来做为鱼饵主题，最后的C&C生存的時间不长，每一次被捕捉的攻击主题活动存有微小差别，这也表明了该机构已经发展趋势与融入，能够预料摩罗桫（Confucius）APT机构不但是如今，将来仍然会不断不断对于特殊的总体目标与组织进行互联网攻击。

深入分析

对鱼饵文档“China Cruise Missiles Capabilities-Implications for the Indian Army.docx”的內容开展深入分析，发觉该文档內容来自印尼的orfonline网站，公布于2020年12月4日，orfonline网站是容许不一样见解与建议开展探讨的印尼群众网站。

此次攻击流程表以下：

被害客户不经意开启恶意文档后，会立即从服务端下载模版文档（具体是带上office公式计算编辑器漏洞CVE-2017-11882的恶意RTF文档）。

该鱼饵文档的最后一次修改时间为2020年12月10日，能够猜想此次攻击主题活动产生在该時间以后的某一时间段。

嵌入的远侧模版详细地址，URL的目地是装扮成office升级，以下。

免费下载的rtf文档在系统漏洞利用取得成功后，恶意编码会释放出来载入嵌入的bing.dll文档。

该dll的导出来涵数为mark，初始文件夹名称为linknew.dll，此次攻击主题活动的dll文档早已不会有pdb途径，而以前捕捉的一次攻击主题活动攻击者选用了该pdb途径：C:UsersadminDocumentsdlllinknewReleaselinknew.pdb，表明攻击者早已有目的地在开展印痕地清除。

编译程序時间为2020年11月26日

启用导出来涵数mark

事后该dll文档会根据URLDownloadToFile涵数从免费下载到当地取名为update.exe，然后建立快捷方式图标设定到运行文件目录为update.lnk文件，事后重新启动后运行。在32位系统自然环境下，恶意文档会更先引入到explorer.exe过程，以后该恶意文档会根据com作用拷贝本身并更名为update.exe

至C:ProgramDataSoftwareupdate.exe，并根据注册表文件

HKCUSoftwareMicrosoftWindowsCurrentVersionRun

为途径C:UsersxxxxAppDataRoamingsvchost.exe（svchost.exe是update.exe复制衍化）设定开机启动，创建持续性。

利用pkgmgr.exe、di *** .exe管理机制加com作用更换系统软件掉di *** core.dll文档提高本身程序流程管理权限后，恶意手机软件会应用powershell指令从Windows Defender中清除全部C控制器。实行的指令：powershell Add-MpPreference -ExclusionPath C:。随后释放出来programs.bat文件至文件目录

C:UsersxxxxAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup（归属于逐渐运行莱单）下，事后重新启动后再度实行，programs.bat文件內容以下：

for /F "usebackq tokens=*" %%A in ("C:UsersxxxxAppDataRoamingMicrosoftWindowsStart MenuProgramsStartupprograms.bat:start") do %%A

在防御性层面，programs.bat:start文档是孕妈为所述programs.bat选用ADS数据流分析转化成的文档，然后实行后会根据wmic指令建立Roaming:ApplicationData过程，而Roaming:ApplicationData一样是本身孕妈程序流程根据ADS数据流分析造成的文档，具体內容以下：

wmic process call create '"C:UsersxxxxAppDataRoaming:ApplicationData"'

最后发觉update.exe会在运行内存破译释放出来Ave Maria远程控制木马病毒，也被称作Warzone RAT。历经剖析为Warzone160版本号的RAT，Warzone RAT是一款以恶意saas模式（MaaS）做为运营模式的远程控制专用工具，有数次已公布的开展攻击主题活动的纪录。 *** 黑客应用它来远程操作受害人的PC，并从受感柒的电子计算机中盗取信息内容，历经剖析C&C详细地址为syncronize.3utilities.com（45.147.231.232）。

威胁情报

MD5

9f54962d644967cfad560cb606aeade2 （China Cruise Missiles Capabilities-Implications for the Indian Army.docx）

912141bb5b4020c2cc75a77c37928a3b （word）

e13134c8411557ce9c9e58d57b855a62 （content）

915F528202B036DC5D660F45C187F121 （bing.dll）

6b906764a35508a7fd266cdd512e46b1 （di *** core.dll）

7707871515E16C8E8461CED7AF1CACDD （Warzone RAT）

URL

http[:]//msoffice.user-assist.site/refresh/word

http[:]//msoffice.user-assist.site/update/content

DOMAIN

msoffice[.]user-assist.site

syncronize[.]3utilities.com

IP

45[.]84.204.148

45[.]147.231.232