Patchwork APT 组织使用Nexe后门瞄准中国航空航天及科研机构

Cyble 研究与情报实验室 (CRIL) 最近的分析揭露了臭名昭著的 Patchwork APT 组织正在策划的一场网络攻击。这次攻击标志着他们的战术有了新的发展，利用一种名为“Nexe”的新后门有效地逃避检测机制并发起复杂的攻击，尤其是针对中国实体。

Patchwork APT 组织（也称为 Dropping Elephant）以其长期的网络间谍活动而闻名，自 2009 年以来一直活跃。该组织据信来自印度，主要针对知名组织，包括南亚和东南亚的政府和外交机构。

从历史上看，该组织曾多次针对中国和不丹的实体发动攻击，表现出针对地缘政治利益地区的集中攻击模式。

感染链

截至 2024 年 7 月，CRIL一直在追踪 Patchwork APT 的活动，并观察到 7 月 24 日开始的一场值得注意的活动。这涉及部署一个恶意 LNK 文件，该文件可能是通过网络钓鱼电子邮件传播的，该文件是初始感染媒介。

Patchwork APT 活动使用一个看似无害的 LNK 文件“COMAC_Technology_Innovation.pdf.lnk”，该文件以中国商用飞机有限责任公司为名引诱受害者。此举恰逢第七届中国商用飞机有限责任公司国际科技创新周，攻击针对中国航空航天和科技研究机构。

威胁分析师详细介绍了此次攻击活动所采用的策略，进一步凸显了 Patchwork APT 集团战略的复杂性。与此同时，另一个名为“Large_Innovation_Project_for_Bhutan.pdf.lnk”的 LNK 文件针对不丹，展示了适应基金委员会的一项提案。这表明该组织在使用特定区域诱饵来增加网络钓鱼成功率方面的适应性。

在正在进行的活动中，新发现的 LNK 文件“186523-pdf.lnk”与 Patchwork APT 组织的行动有关。执行后，此文件会下载两个关键组件：一个用于欺骗用户的无害 PDF 和一个包含加密 shellcode 的恶意动态链接库 (DLL)。通过使用 DLL 侧载技术，该恶意软件可以伪装其恶意活动，利用合法的 Windows 系统文件“WerFaultSecure.exe”加载 DLL 并执行其有效负载。

一旦加载，DLL 就会解密并执行 shellcode，从而修改 AMSIscanBuffer 和 ETWEventWrite 等关键 API 函数，从而使恶意软件能够在系统内不被发现地运行。这种有条不紊地逃避检测机制的做法凸显了 Patchwork APT 组织的先进能力。

对攻击的技术见解

该 LNK 文件伪装成 PDF，并启动一个PowerShell 脚本，负责执行多项恶意操作。该脚本首先利用“Invoke-WebRequest”命令从指定 URL 下载看似无害的 PDF，并将其保存在“C:ProgramData”目录中。然而，这个 PDF 没有任何内容，只是一个诡计。

随后，该脚本从同一域中获取另一个文件，最初将其保存为“hal”，然后将其重命名为“wer.dll”。这种战略命名约定与 Patchwork APT 组织采用的 DLL 侧加载技术相一致，有助于恶意 DLL 的执行，同时掩盖其真实性质。

为了确保在受感染环境中持久存在，该脚本创建了一个名为“EdgeUpdate”的计划任务，配置为定期运行合法的 WerFaultSecure.exe。这种策略不仅加强了恶意软件的存在，而且还使识别和消除威胁的努力变得复杂。

一旦成功加载恶意 DLL，它就会解密嵌入的 shellcode，该 shellcode 经过精心设计，可通过修补关键 API 函数（如 AmsiScanString 和 AmsiScanBuffer）中的特定字节来绕过安全机制。这种方法使恶意软件能够在不触发警报的情况下执行，证明了 Patchwork APT 组织在逃避检测方面的娴熟技能。

在将其最终有效负载加载到内存后，该恶意软件会使用各种功能来收集敏感的系统信息，例如受害者的 IP 地址、用户名和设备详细信息。随后使用 SHA256 哈希和 Salsa20 加密算法的组合对这些数据进行加密，这表明该组织的加密方法与以前的活动相比有所改进。

加密数据被连接成一个单一的字符串并传输到硬编码的命令和控制(C&C) 服务器，具体来说是“iceandfire[.]xyz”。这种数据泄露方法使 Patchwork APT 组织能够在受害者的环境中站稳脚跟，同时收集有价值的情报。

技术报告：https://cyble.com/blog/nexe-backdoor-unleashed-patchwork-apt-groups-sophisticated-evasion-of-defenses

新闻链接：

https://thecyberexpress.com/patchwork-apt-group/

讲述普通人能听懂的安全故事