APT-C-35取得新升级

EnumUILanguagesA——将shellcode作为回调参数传递。其他变体也使用Internal_EnumSystemCodePages WinAPI

图7 在csproduct中查找VMware、VMware Virtual Platform和VirtualBox

然后，该恶意软件使用Windows Management Instrumentation（WMI）收集基本系统信息，例如名称、操作系统版本、内部版本号和处理器ID：

图8 发送到服务器的信标信息（加密前）

恶意软件会将受害者ID和C:Program Files以及C:Program Files (x86)下的文件夹名称串联起来，以了解系统上安装了哪些软件。而受害者ID又是用户名-计算机名-处理器ID的串联，该字符串将在以后与C2服务器的通信中标识受害者。 

完成此操作后，恶意软件加密受害者的数据并将以信标的形式发送回其C2服务器。恶意软件和服务器加密算法是AES-256，带有两组嵌入密钥和IV。然后使用Base64对加密数据进行编码。

信标过程分为两个步骤，如下所示：

图9 用于下载下一个组件的信标消息

发送到服务器的第一条消息是一个POST请求，发送到嵌入在二进制文件中的第一个URL路径（<first_path>）。正文包含以下加密信息：

Name: Cpu型号>Caption: 操作系统版本>Build: 内部版本号V:|||用户名-计算机名-处理器ID||||||O|||3|||第一个文件夹名称?第二个文件夹名称…

图10 属性第一个POST请求中的信息

根据服务器的响应，恶意软件要么保持空闲并循环发送信标，要么请求下载DLL并进入下一阶段。如果是后者，恶意软件会向同一服务器上的第二个URL路径 （<second_path>）发送另一个POST请求。此消息包含以下加密信息：用户名-计算机名-处理器ID|||下一阶段的DLL

对该请求的响应是下一阶段的DLL。为了执行下一阶段，恶意软件会创建另一个计划任务并使用清理.bat文件删除前一个任务（见附录部分中的ms.bat）。

模块下载器（WavemsMp.dll）

这个阶段的主要目的是下载和执行用于窃取用户信息的模块。为了确定本次感染中使用哪些模块，恶意软件需要与另一台C2服务器进行通信。为此，恶意软件从一个嵌入的链接中获取新地址，该链接指向包含加密C2服务器地址的Google Drive文档：

图11 从Google Drive下载加密的C2服务器地址

图12 从Google Drive下载的C2地址解密

这种架构允许作者频繁更新他们的C2服务器，而无需重新交付二进制文件。C2服务器地址解密后，恶意软件会向其发送POST请求，请求正文中包含加密的受害者ID。响应是模块的配置：

图13 模块配置信息

这个框架具有突出的模块化特征。无需更新二进制文件，仅通过修改模块配置即可控制下载和执行哪些模块。Morphisec Labs见证了当单个二进制文件与不同的C2服务器通信，并随着时间的推移在多次运行中下载不同的模块时，此功是如何发挥作用的。

模块的信息由管道符|分隔，其中每个部分具有以下格式：

模块名称>模块大小>是否下载>需要执行的导出函数名>其他参数

此外，恶意软件还会查找一些特殊字符，例如：

下图说明了各个模块以及它们之间的交互：

图14 模块关系图

有关每个模块的更多信息见《肚脑虫（APT-C-35）组织最新攻击框架披露》。

（4）浏览器信息窃取模块的升级

在Morphisec Labs研究以前已知的模块时，浏览器信息窃取模块引起了他们的注意。浏览器信息窃取模块于2020年底首次引入框架，自那开始就没有任何重大的改变，直到现在。

该模块没有在DLL中实现窃取功能，而是使用前一阶段（WavemsMp.dll）下载的四个附加可执行文件。每个附加的可执行文件都会从Google Chrome和/或Mozilla Firefox中窃取信息。下表总结了从每个浏览器中窃取的数据：

表2 每个可执行文件窃取的数据（%base%=C:ProgramDataDeviceStageusabrowatad）

浏览器信息窃取模块执行每个可执行文件，窃取数据并将其存储在临时纯文本文件中。然后将该文件加密并保存为.rnm文件，该文件随后由文件上传模块ieflagUl.dll发送回C2服务器。

（5）反向SHELL的DLL实现

在这之前，反向shell模块已作为可执行文件实现。但现在，攻击者为了与其余模块对齐，将反向shell重新编译为DLL。反向shell模块的功能保持不变，首先与攻击者机器建立socket通信（位于162.33.177[.]41），然后创建一个新的隐藏cmd.exe进程，并将STDIN、STDOUT和STDERR指向socket。

图15 反弹shell模块的实现

shell持续运行，直到攻击者发送字符串“exitn”。

防御像DoNot团队这样的APT组织需要深度防御策略，这种策略通过构建多层安全防护来确保在任何给定层被破坏时仍存在安全冗余。任何足够大的组织都有被DoNot团队等APT组织攻击的风险。这些攻击者针对的是常常被忽视的关键安全缺口，即内存的运行时环境。

最难防御的攻击是那些在运行时以应用程序为目标的攻击（如此处详述的Windows框架）。这是因为流行的安全解决方案（例如NGAV、EDR、EPP、XDR等）专注于检测磁盘或操作系统上的异常情况。它们在运行时检测或阻止内存攻击的能力是有限的，即使它们具有相应的能力，也需要设置成最激进的警报模式，这将会导致系统的性能问题和误报。

现在，一项名为移动目标防御（MTD）的独特技术旨在防御针对Windows和Linux的高级运行时攻击，而不会影响系统性能或生成错误警报。它能够主动阻止供应链攻击、代码注入、防御规避、远程代码执行、权限提升、凭证盗窃和勒索软件。而且它不需要签名或行为模型就可以做到这一点。其原理是通过随机化受信任的运行时应用程序代码，使得没有两台机器的环境能够一模一样，甚至一个系统本身也会随着时间而产生改变。受信任的应用程序可以在修改后的运行时环境中导航，而任何试图留下陷阱的软件组件则会被MTD阻止。而且它对系统性能不会产生任何明显影响。