TransparentTribe针对印度政府部门的鱼叉式钓鱼邮件攻击

TransparentTribe 组织中文名为：透明部落;又称ProjectM、APT 36，是一个来自巴基斯坦的APT攻击组织。主要针对印度、哈萨克斯坦、及阿富汗等国进行攻击。

该组织的主要目标是：

• 国防

• 军事

• 大使馆

• 政府

其活动最早可以追溯到2012年。近期常用的攻击方式是通过钓鱼邮件投递恶意docm、xlam文档，利用文档中的VBA脚本释放恶意程序。以达到窃取用户信息的目的。

本次事件中TransparentTribe 组织使用的诱饵文件是一个名称为“Recommendation for the award of President's.docm”(关于颁发"总统奖"的建议.docm)的文档。

文件内容有关“印度政府内务部第一警司”发送给印度多个政府部门的文件，文件盗用了印度政府于2023年10月17日发出的官方文件，主要讨论了2024年共和国日颁发总统杰出服务勋章和功绩服务勋章的推荐事宜，因此可以确认本次攻击者的攻击目标为印度政府部门。

图1 钓鱼邮件执行后运行的诱饵文件

图2 钓鱼邮件执行后运行的诱饵文件1

图3 钓鱼邮件执行后运行的诱饵文件2

图4 钓鱼邮件执行后运行的诱饵文件3

与之前该组织通过，下载器执行远程链接获取后续程序不同。我们观测到该组织近期活动更倾向于将最终载荷隐藏于诱饵文档中。

本次钓鱼文件名称为“Recommendation for the award of President's.docm”。

该钓鱼文件打开后执行以下的攻击流程：

1. 执行恶意VBA脚本；

2. 脚本将解压当前文件，将文件存入下载目录下的文件中；

3. 脚本解压缩文档，提取其中的 wordmediaimage1.png文件；

4. 脚本将image1.png的扩展名改为.zip，并解压缩它，提取其中的image1.exe文件；

5. 脚本将image1.exe重命名为 itmvroidovs.scr后运行，该文件为最终载荷CrimsonRAT；

6. 脚本将wordmediaimage2.png的扩展名改为.docx并运行，作为诱饵文件混淆被攻击者视线。

图5 Recommendation for the award of President's.docm文件执行恶意VBA脚本

CrimsonRAT是TransparentTribe 主要使用的木马程序，其主要功能为获取系统信息，截屏获取、收集受害主机进程、驱动器信息等功能。同时支持下载，运行文件，窃取敏感信息等。

结合诱饵创建时间与官方报告发布时间，该时间戳大概率为真实时间，由此判断本次事件是近期的TransparentTribe 发动的攻击事件。

图6 诱饵文件的作者与创建时间

图7 最终载荷木马的时间戳

图8 部分字符串混淆更改右侧为新版

图9 CrimsonRAT版本号右侧为新版

图10  2023年10月版本对比更早的版本

伏影实验室在本次APT事件中发现以下归因项：

攻击者使用的恶意样本为CrimsonRAT，该样本是TransparentTribe常使用的木马之一；

本次事件中攻击者使用的攻击流程与VBA脚本符合TransparentTribe近期攻击链特征与编码习惯；

本次捕获的钓鱼文档由印度上传，符合TransparentTribe的常见攻击目标；

因此，伏影实验室将本次攻击事件的攻击者归因为TransparentTribe 组织。