WIRTE 组织至少在2018年8月开始进行间谍活动，最早是由 S2 Grupo 安全人员在取证中所发现，活动一直持续针对中东地区目标，涉及约旦、巴勒斯坦等不同国家的国防、外交、司法等部门。此外，根据思科的调查，攻击者通常在早晨（中欧时区）活跃，这意味着攻击目标可能与该地区的地缘政治环境有关。

该组织攻击者十分注重资产的隐蔽，攻击者使用信誉良好的 CloudFlare 系统来隐藏其基础架构的性质和位置。根据国外安全厂商的取证研究，攻击者通常在攻击阶段部署多个侦查脚本，以检查受害者计算机的有效性，从而阻止了不符合其条件的系统。

该组织通常在攻击活动中投递携带有恶意宏代码的表格文档诱饵，在目标受害者触发宏代码后广泛使用脚本语言（VBScript、PowerShell、VBA）作为攻击的一部分，最终通过 Empire 框架进行下一阶段的攻击。除此之外，该组织早期也曾投递过 VBS 类型的诱饵，加载后会释放出 DOC 文档迷惑受害者。

• 攻击者以“国家社会保障基金-原始和非专利药品相同的清单-药品品牌（B）和普通药品（G）-2020-12-17”为诱饵进行鱼叉攻击；
• 投诱饵文档采用“Excel 4.0 Macros”方法将宏代码隐藏在表格之中，此方法使得宏代码难以被发现并且在部分 office 版本中“禁止启用宏”依旧可以正常执行；
• 宏代码执行后的下一阶段，攻击使用 VBScript、PowerShell、VBA 作为后门的编写语言，并且最新的攻击中加入了检测杀软的代码逻辑；
• 微步在线通过对相关样本、IP 和域名的溯源分析，共提取5条相关 IOC，可用于威胁情报检测。微步在线威胁感知平台TDP、本地威胁情报管理平台TIP、威胁情报云API、互联网安全接入服务OneDNS 等均已支持对此次攻击事件和团伙的检测。

微步在线最近捕获到一起以“国家社会保障基金-原始和非专利药品相同的清单-药品品牌（B）和普通药品（G）-2020-12-17”作为诱饵内容的攻击。

诱饵截图

基本信息

样本分析

1. 样本使用了“Excel 4.0 Macros”的方法将宏代码存放在表格的单元中，通过编辑 XLS 文件的二进制数据将表格去除隐藏属性后，宏代码如下：

9. 根据历史披露文章，最终后门疑似为 Empire 框架生成的载荷。

通过对宏代码相似度和文件释放特点进行关联，我们发现，该组织的曾在2019年11月至2020年2月期间较为活跃。

部分历史活动

1. 2020年1月，以“2019年1月和2020年1月主要部门和组的每月消费者物价指数数字和百分比变化”为诱饵标题，针对目标单位进行攻击。

历史手法对比

2. 该文件基本信息如下：

6. 此外，国外安全厂商曾披露过 WIRTE 组织的手法，从投递的诱饵、释放的文件、资产特点（使用 CloudFlare IP、域名相似度）、攻击地域和后门相似度等，判研此次捕获到的诱饵文档很可能为 WIRTE 组织所投递。

参考链接

• https://blog.talosintelligence.com/2018/02/targeted-attacks-in-middle-east.html
• https://www.securityartwork.es/2019/01/25/wirte-group-attacking-the-middle-east/

结束

招新小广告

ChaMd5 Venom 招收大佬入圈

新成立组IOT+工控+样本分析 长期招新

欢迎联系[email protected]

本文始发于微信公众号（ChaMd5安全团队）：WIRTE组织以“药品信息”为饵，再对中东地区展开攻击