Konni组织针对虚拟货币行业投递AutoIt恶意软件

LNK文件执行powershell代码。

去混淆后代码如下，从LNK文件中提取出诱饵文档和CAB文件的数据。与Konni组织之前LNK攻击样本略有不同的是，提取文件数据时增加了单字节异或解密的步骤。

释放的诱饵文档与LNK文件同名，打开后迷惑受害者。

同时LNK文件还会暗中释放CAB文件，解压到”%PUBLIC%documents”目录后执行其中的start.vbs脚本。CAB文件包含的内容如下。

CAB文件中的VBS和BAT脚本为Konni组织常用的恶意代码组合，各脚本的作用分别如下。

14886621.bat同样以当前时间戳对应的字符串为key，对上传文件的数据和文件名进行RC4加密。如果上传操作成功则删除原文件，并留下upok.txt文件作为标记。

攻击者通过hxxp://settlors[.]com/get.php继续向受害者设备投递带有AutoIt恶意脚本的ZIP压缩包。根据压缩包中的文件修改时间，恶意脚本cdp.au3很可能在2023年12月就已经投入使用。

95060869.bat在解压ZIP压缩包后，先执行其中的1.bat脚本。

1.bat首先将压缩包中的其他文件移动到”%PUBLIC%58ed324”目录下。接着设置注册表"HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerUser Shell Folders"的"Startup"值，指向新创建的目录"%SystemDrive%ProgramDataStartup"，以绕过安全软件对默认Startup目录的检测。然后在该目录下释放update.vbs文件建立持久化。

update.vbs通过注册表"HKCUSoftwareMicrosoftInternet ExplorerMain"对IE进行设置，再运行压缩包中的start.bat。而start.bat直接调用AutoIt.exe运行AutoIt脚本cdp.au3。

cdp.au3为经过编译的AutoIt脚本，文件前面添加了大量无效数据用以干扰检测。

cdp.au3脚本通过创建互斥量（"Global25DF74BF-B13F-83D4-E3BA-A3C35D1009FE"）保证只有单个实例运行。然后收集各类信息，包括用户账号是否为管理员、操作系统版本、杀毒软件名称、用户名、主机名。检测的杀毒软件涉及韩国安全厂商Ahnlab和ESTsoft。

借助getserverurl函数从cdp.au3脚本同目录下的配置文件setting.ini获取C&C服务器URL，并在后面添加随机字符串组成的URL参数。

备用C&C服务器URL使用DGA生成。

在与C&C服务器的通信循环中，cdp.au3脚本向上述URL回传收集的信息，解析C&C返回的响应数据，以””和””为标记符提取出待执行的指令，然后交给processtask函数处理。

Processtask函数从指定URL下载后续载荷并执行，支持的文件类型包括二进制文件（EXE、DLL）和脚本文件（BAT、Powershell、VBS）。

cdp.au3脚本与C&C服务器的通信数据格式如下，由于服务器下发的后续指令为空，因此暂时无法进一步分析攻击者接下来的行为。

Konni组织此次攻击活动使用的AutoIt恶意软件在韩国安全厂商Ahnlab去年12月发布的报告^[2]中有提及，为AutoIt版本的Amadey恶意软件。该安全厂商将Konni组织合并为Kimsuky组织进行追踪。

若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

e9db0e7aeb35758c6512d692e938178a

ff44068ba6ed88e5391452cffb0983be

7ee77ecd79b69a082750327b5750e6e4

64fbf63d29cb7e8d813702a2beeee856 (解压密码”a0”)

1aac6272dd9b6d05fa256a89677e90b5

655893b1641565f8ea04da4d74116b8a

C&C

settlors.com

oryzanine.com

nasions.com

shakuss.com

goosess.com

stuckss.com

URL

hxxp://settlors.com/get.php

hxxp://settlors.com/upload.php

hxxp://settlors.com/list.php

hxxp://oryzanine.com/index.php

hxxps://nasions.com/v1/read/get.php

hxxp://shakuss.com/upload.php

hxxp://shakuss.com/list.php

hxxps://goosess.com/read/get.php

hxxp://stuckss.com/upload.php

hxxp://stuckss.com/list.php

[2].https://asec.ahnlab.com/en/59590/