飓风再现，响尾蛇（SideWinder）攻击预警

样本首先通过与字符串进行异或运算解密配置信息。本次所捕获多个样本解密所使用密钥与配置信息不同。

代码片段

如果受害主机存在存在Avast防病毒软件，该病毒将会HOOK"NtCreateUserProcess"以及"NtWriteVirtualMemory"函数。

代码片段

代码片段

代码片段

通过bing.com、baidu.com、google.com测试网络连通性。

代码片段

1、当状态码为505时，该样本重启当前进程；

2、当状态码为200时，将会执行远程js代码，并将URL中"true"更改为"mt10"，发包至服务器；

3、当状态码不为200时，将URL中"true"更改为"false"，发起请求，直到状态码为200。

代码片段

key =[56,113,68,97,71] #'8qDaG'with open('resources','rb') as f:    data=f.read()    for i in range(0,26107):        tpkey = key[i%5]        print(chr(data[i]^ tpkey),end='')

密文js

明文js

C#程序具备远程shell功能，运行时在本地监听12323端口，通过cmd执行远程命令。

代码片段

本次攻击活动中，攻击者与以往SideWinder组织所采用的技术，工具，域名等方面均高度相似：

1.URL：

a.本次攻击活动所使用URL的路径中的前5个字节是第一阶段样本密钥；

b.以往攻击活动中SideWinder组织长期采用此方法下发攻击，因此我们推测此类样本均由工具生成。

2.神秘的"frAQBc8W"：

a.在SideWinder历史攻击活动中，多次发现，该组织总是会在URL中拼接上" frAQBc8W"字符串，该字符的含义我们无从得知。

3.shell工具：

a.本次攻击活动中使用的远程shell工具、端口：12323；

b.在历史攻击活动中该组织经常使用同款shell工具以及12323端口，并且在以往攻击活动中伴随shell工具同时下发一种代理隧道组件，利用websocket隧道实现内网穿透功能。

与以往攻击活动不同的是，本次攻击活动第一阶段的Delphi Downloader样本未使用credwiz.exe+duser.dll劫持的方式下发，而本次攻击活动似乎用于伪装成系统程序propsys.dll，下图左侧为本次所使用Downloader，右侧为系统程序propsys.dll。

值得一提的是，在以往攻击活动中，SideWinder曾将系统程序write.exe与propsys.dll（攻击组件）组合使用，攻击驻华大使馆。

本次攻击活动与以往SideWinder攻击活动高度相似，与以往不同的是，本次攻击中第一阶段不再使用credwiz.exe+duser.dll劫持的方式，而劫持系统程序propsys.dll，并且根据该组织所使用部分攻击组件较为明显的特征（固定的URL格式及密钥，神秘的字符串"frAQBc8W"），我们推测该组织使用某种私有工具生成攻击组件。SideWinder组织长期使用DotNetToJScript技术内存加载执行.NET恶意程序，攻击链路具有一定隐蔽性，不可不防！