攻击流程分析：

样本分析：

Taskhost.exe

通过检测后，会复制自身到路径“C:Mediataskhosts.exe“,并通过COM组件” ITaskService”来创建计划任务，实现程序开机自启动。

检测与域名“mail.163.cn“的链接来判断网络连通性。当网络环境正常时，则通过三轮base64对服务器端口进行解密。

通过指令ipconfig获取设备当前适配器信息，将其上传至服务器，并删除该文件。

随后通过创建创建管道向远程服务器提供反向shell。

钓鱼网站

其中“[email protected]“为印度一家人力招聘企业所使用邮箱，且目标用户所处行业领域与我们在《猎天行动》一文中描述的目标范围重合，这两个可能明确导向攻击活动背景的线索无疑是令人心动的。但通过继续对该邮箱以及攻击手法进一步深入分析，我们发现该邮箱所涉及的攻击目标范围较为广泛，涉及多个国家多种行业领域，与APT特征不符。且在其他各方向上并未与CNC组织存在交集。种种迹象表明，这两者也许仅仅只是一个巧合导致的误会。当然我们也不排除可能存在部分APT组织存在向部分黑色产业链购买目标用户的个人信息的可能性。

邮箱“[email protected]“关联的钓鱼邮件中涉及的部分邮箱后缀如下：

代码层面上，cnc组织似乎格外青睐于使用COM组件来创建计划任务。

 cnc样本代码 

《猎天行动》中样本携带的vcpkg开发环境

本次攻击活动与开发环境相关的部分字符串

本次攻击活动携带pdb

189e543a95ed791fc5a81a3048128703

5511b7b0b53c67d55019d13aaaf1ed15

URL：

http://194.33.40.177/webdav/taskhost.exe

http://194.33.40.177/webdav/status.txt

IP：

194.33.40.177

PBD：

C:Usersusersourcerepostaskhostx64Releasetaskhost.pdb

原文始发于微信公众号（360威胁情报中心）：APT-C-48（CNC）组织攻击利用pub文件攻击活动分析