被滥用的Slack服务：APT29针对意大利的攻击活动分析

2021年5月，微软披露了该组织几种攻击武器，其中包括EnvyScout^[1]，这种恶意软件通过HTML文件释放包含后续恶意载荷的ISO文件。2022年4月，Mandiant将2020年SolarWinds攻击事件的幕后黑手UNC2452组织归并到APT29^[2]。APT29在今年上半年被披露的鱼叉攻击活动中屡次利用合法通信服务作为C&C信道^[3,4]，比如团队协作服务Trello和文件托管服务Dropbox。

国外安全研究人员进一步发现了与该EnvyScout攻击样本相关的钓鱼邮件和PDF诱饵文档^[5]。邮件与PDF均使用意大利语，内容是要求机构部门人员完成COVID-19疫苗接种的通知，钓鱼邮件使用意大利政府域名进行伪装，因此可以认为此次攻击目标位于意大利。结合对同源样本的分析，我们发现此次攻击活动至少从6月中旬开始。

样本攻击流程如下所示。

下载的Decret.iso基本信息如下。

Decret.iso中包含的文件如下，其中Decret.lnk和HPScanApi.dll为恶意文件，文件修改时间均为北京时间6月29日。ISO解压打开后除Decret.lnk之外，其余文件均被设置了文件隐藏属性，使得受害者只能看到Decret.lnk这一快捷方式文件。

Decret.lnk文件信息如下，受害者点击后，启动同目录下的HP2.exe。

HPScanApi.dll文件基本信息如下。

HPScanApi.dll中多处使用下面这种异或的方式解密得到所需的字符串，后门dll首先会检查运行的进程名称是否为HP2.exe。

后门中sub_68B08EF0函数负责建立信道，包括创建slack channel以及向新建的channel中添加攻击者的用户id。

首先获取受害者主机的用户名以及主机名，加上4位随机数，构成创建channel的名称。

后门在发送请求时添加的HTTP首部如下，其中包括攻击者使用的Slack  API认证令牌（红字标记）。

后门伪造的User-Agent如下：

当我们在分析过程中尝试建立连接时，得到” invalid_auth”的错误信息。查阅Slack API文档，该错误信息可能源自令牌失效，也可能是服务端限制了访问的IP地址。

信道建立后，后门进入C&C通信的while循环。在循环中首先用“chat.postMessage“ API在新建的channel中发送信标消息，如果未收到服务端的正常回应，则休眠一段时间，收到回应则进行后续操作。

调用“files.list“过滤channel中攻击者对应用户创建的文件，并从返回的文件信息列表json数据中提取”url_private”字段内容。

本次捕获攻击样本所使用的技术与APT29历史攻击手法有如下多处重合：

(1) 首先初始攻击样本EnvyScout通过钓鱼邮件诱使受害者点击触发，是APT29近年来常用的一种攻击手段；

(2) APT29在此前攻击活动中多次使用合法在线服务提供的API构建C&C信道，下载后续载荷，而此次发现的攻击样本也使用了Slack服务建立C&C信道；

(3) 该攻击样本具有与之前国外厂商披露的APT29攻击活动[4]相同的特征，包括重新加载某些系统DLL的text段以绕过终端防护软件的挂钩检测，以及复制文件到%appdata%的子目录下并设置注册表键值实现持久化。

其中恶意DLL（HPScanApi.dll）的编译时间为2022-06-14 10:58:50 UTC。同名样本与此次捕获的样本一样，也借助Slack服务建立C&C信道，使用的API认证令牌如下，攻击者的用户id为” U03K4RNC751”。

不过在这个早期样本中，通过C&C信道获取的文件里面保存的就是shellcode本身，没有经过字符表的查表转换，可见攻击者在短时间内仍在不断更新攻击手法以绕过安全防护软件的检测。

尽管此次攻击活动暂未发现国内受到影响，不过奇安信红雨滴团队仍在此提醒广大用户，切勿打开社交媒体分享的来历不明的链接，不点击执行未知来源的邮件附件，不运行夸张标题的未知文件，不安装非正规途径来源的APP。做到及时备份重要文件，更新安装补丁。

若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

MD5

3aa44a7951ad95d02c426e9e2a174c2e

6228d15e3bb50adfa59c1bdf5f6ce9f0

59b5d262532dab929bbe56c90a0257d2

6812031432039a89fa741e9338f8e887

eb25d1887b5943f3d86d997fd8099e37

79d8a62c0513c6138bfa7a5370a022a3

47ddd6003534a108a173aa1fb3361739

C2

www[.]agencijazaregistraciju.rs

URL

hxxps://www.agencijazaregistraciju.rs/i.html

hxxps://www.agencijazaregistraciju.rs/t.php

https://slack.com/api/files.list?channel=&user=U03MMK35QQ1

https://slack.com/api/files.list?channel=&user=U03K4RNC751

[1] https://www.microsoft.com/security/blog/2021/05/28/breaking-down-nobeliums-latest-early-stage-toolset/

[2] https://www.mandiant.com/resources/unc2452-merged-into-apt29

[3] https://www.mandiant.com/resources/tracking-apt29-phishing-campaigns

[4] https://cluster25.io/2022/05/13/cozy-smuggled-into-the-box/

[5] https://twitter.com/JAMESWT_MHT/status/1545303433959411714

[6] https://twitter.com/h2jazi/status/1537830185319514112