Hermit(隐士)最新攻击样本分析
颁布功夫 2019-06-04
Hermit(隐士)是一个专一于攻击朝鲜半岛的APT组织 ，，，，，，其重要攻击指标为区块链、数字钱币、金融指标 ，，，，，，表交实体等领域。。。。。。
近日 ，，，，，，8827太阳集团金睛安全钻研团队通过VenusEye威胁谍报中心狩猎系统捕获到一个可疑文档。。。。。。经过度析 ，，，，，，我们确认其为Hermit(隐士)组织最新攻击样本。。。。。。
本次攻击入口与以往一样 ，，，，，，均以垂钓邮件为切入点 ，，，，，，并最终开释木马以实现信息窃取。。。。。。
宏代码主体如下：
宏代码执行后 ，，，，，，会下载两个文件。。。。。。其中一个文件是正常文档 ，，，，，，该文档被沉定名为与垂钓文档一样的文件名 ，，，，，，之后宏会打开这个正常文档以蛊惑受害者。。。。。。
正常文档视图如下：
木马分析
宏代码下载的另一个文件就是木马主体 ，，，，，，即一个DLL文件。。。。。。下载后会挪用regsvr32.exe注册和运行该DLL。。。。。。DLL加载成功后 ，，，，，，会将自身拷贝到%APPDATA%\\ChromInst\\ChromSrch.dat ，，，，，，并挪用rundll32执行导出函数中的"insrchmdl"函数。。。。。。同时创建开机自启项目以达到持久驻留的主张。。。。。。
创建两个文件蹊径 ，，，，，，一个用于存放从FTP服务器下载的加密数据 ，，，，，，另一个用于存放解密后的文件。。。。。。
木马的FTP服务器地址 ，，，，，，登陆账号 ，，，，，，登陆密码均硬编码在法式内 ，，，，，，但是数据经过加密。。。。。。解密函数如下：
解密后的FTP服务器地址 ，，，，，，登陆账号密码如下所示：
法式会凭据分歧的操作系统位数从FTP服务器的“Ftake”目录下选择下载对应的加密数据。。。。。。对应表如下：
下载的加密数据通过如下的解密算法进行解密并写到%APPDATA%\\ChromInst\\ChromInst.dat钟祝。。。。。
之后以一样的方式挪用解密后的Chromlnst.dat中的“insrchmdl”函数并注册开机自启项。。。。。。
最后创建批处置法式以算帐ChromSrch.dat文件。。。。。。
2.ChromInst.dat分析
起初创建互斥量“ChromInstMutex” ，，，，，，而后获取磁盘信息。。。。。。
创建如下文件。。。。。。
创建5个线程。。。。。。
第一个线程用于设置全局键盘监控 ，，，，，，并将日志纪录到%TEMP%\\ChromInst.klg钟祝。。。。。
第二个线程用于获取屏幕截图并保留在%TEMP%\\ChromInst.scf钟祝。。。。。
第三个线程挪用cmd执行systeminfo ，，，，，，将获取到的系统信息沉定向到%TEMP%\\ChromInst.cif钟祝。。。。。
第四个线程用于读取同目录下的ChromInst.lst文件。。。。。。该文件为一个配置文件 ，，，，，，法式通过读取配置文件中的FROM和TO字段将FROM字段中的文件移动到TO字段对应的蹊径钟祝。。。。。而后使用FTP的方式上传到指定目录。。。。。。
上传文件
最后一个线程会将前几个线程获取到的数据上传到FTP服务器 ，，，，，，而后从服务器下载对应主机的节造文件。。。。。。指令文件体式为ssl_[主机唯一标识].txt
而后将文件解密并保留到同目录下的SSL.dat文件中 ，，，，，，解密过程如下：
后续法式会凭据SSL.dat文件中的指令来执行分歧的职能。。。。。。
支持的指令与指令对应执行的职能对照表如下：
关联分析
由于攻击者的纰漏大意 ，，，，，，我们在其宏代码中 ，，，，，，发现了一行被注解的代码。。。。。。
这段拼接的URL即http://fighiting1013.org/2/ ，，，，，，该URL曾被友商披露为Hermit（隐士）APT组织所使用 ，，，，，，并且其宏代码也与之前有肯定的类似之处。。。。。。因而我们以为本次攻击与Hermit（隐士）APT组织有肯定的关联。。。。。。
进一步分析发现 ，，，，，，该组织所使用的SYSCON木马与KONNI木马存在肯定的关联。。。。。。例如将获取到的受害者主机信息是存放到分歧定名前缀的TEMP文件中 ，，，，，，而后再沉定名上传。。。。。。因而我们以为该组织可能和已经使用过SYSCON木马的DarkHotel组织以及使用KONNI木马攻击的组织有着千头万绪的联系。。。。。。
威胁指标（IOC）
715051f5028dc793e06b20b4048f33a6
cfac51f1a10d6a176617ffd3a3a261cb
naiei-aldiel.16mb[.]com
解决规划
1、 8827太阳集团VenusEye威胁谍报中心已经支持对本次攻击活动有关谍报的查问。。。。。。
2、 已部署8827太阳集团APT检测产品的客户无需升级 ，，，，，，即可有效检测这次攻击。。。。。。
近日 ，，，，，，8827太阳集团金睛安全钻研团队通过VenusEye威胁谍报中心狩猎系统捕获到一个可疑文档。。。。。。经过度析 ，，，，，，我们确认其为Hermit(隐士)组织最新攻击样本。。。。。。
本次攻击入口与以往一样 ，，，，，，均以垂钓邮件为切入点 ，，，，，，并最终开释木马以实现信息窃取。。。。。。
宏代码主体如下：
宏代码执行后 ，，，，，，会下载两个文件。。。。。。其中一个文件是正常文档 ，，，，，，该文档被沉定名为与垂钓文档一样的文件名 ，，，，，，之后宏会打开这个正常文档以蛊惑受害者。。。。。。
正常文档视图如下：
木马分析
宏代码下载的另一个文件就是木马主体 ，，，，，，即一个DLL文件。。。。。。下载后会挪用regsvr32.exe注册和运行该DLL。。。。。。DLL加载成功后 ，，，，，，会将自身拷贝到%APPDATA%\\ChromInst\\ChromSrch.dat ，，，，，，并挪用rundll32执行导出函数中的"insrchmdl"函数。。。。。。同时创建开机自启项目以达到持久驻留的主张。。。。。。
创建两个文件蹊径 ，，，，，，一个用于存放从FTP服务器下载的加密数据 ，，，，，，另一个用于存放解密后的文件。。。。。。
木马的FTP服务器地址 ，，，，，，登陆账号 ，，，，，，登陆密码均硬编码在法式内 ，，，，，，但是数据经过加密。。。。。。解密函数如下：
解密后的FTP服务器地址 ，，，，，，登陆账号密码如下所示：
法式会凭据分歧的操作系统位数从FTP服务器的“Ftake”目录下选择下载对应的加密数据。。。。。。对应表如下：
下载的加密数据通过如下的解密算法进行解密并写到%APPDATA%\\ChromInst\\ChromInst.dat钟祝。。。。。
之后以一样的方式挪用解密后的Chromlnst.dat中的“insrchmdl”函数并注册开机自启项。。。。。。
最后创建批处置法式以算帐ChromSrch.dat文件。。。。。。
2.ChromInst.dat分析
起初创建互斥量“ChromInstMutex” ，，，，，，而后获取磁盘信息。。。。。。
创建如下文件。。。。。。
创建5个线程。。。。。。
第一个线程用于设置全局键盘监控 ，，，，，，并将日志纪录到%TEMP%\\ChromInst.klg钟祝。。。。。
第二个线程用于获取屏幕截图并保留在%TEMP%\\ChromInst.scf钟祝。。。。。
第三个线程挪用cmd执行systeminfo ，，，，，，将获取到的系统信息沉定向到%TEMP%\\ChromInst.cif钟祝。。。。。
第四个线程用于读取同目录下的ChromInst.lst文件。。。。。。该文件为一个配置文件 ，，，，，，法式通过读取配置文件中的FROM和TO字段将FROM字段中的文件移动到TO字段对应的蹊径钟祝。。。。。而后使用FTP的方式上传到指定目录。。。。。。
上传文件
最后一个线程会将前几个线程获取到的数据上传到FTP服务器 ，，，，，，而后从服务器下载对应主机的节造文件。。。。。。指令文件体式为ssl_[主机唯一标识].txt
而后将文件解密并保留到同目录下的SSL.dat文件中 ，，，，，，解密过程如下：
后续法式会凭据SSL.dat文件中的指令来执行分歧的职能。。。。。。
支持的指令与指令对应执行的职能对照表如下：
关联分析
由于攻击者的纰漏大意 ，，，，，，我们在其宏代码中 ，，，，，，发现了一行被注解的代码。。。。。。
这段拼接的URL即http://fighiting1013.org/2/ ，，，，，，该URL曾被友商披露为Hermit（隐士）APT组织所使用 ，，，，，，并且其宏代码也与之前有肯定的类似之处。。。。。。因而我们以为本次攻击与Hermit（隐士）APT组织有肯定的关联。。。。。。
进一步分析发现 ，，，，，，该组织所使用的SYSCON木马与KONNI木马存在肯定的关联。。。。。。例如将获取到的受害者主机信息是存放到分歧定名前缀的TEMP文件中 ，，，，，，而后再沉定名上传。。。。。。因而我们以为该组织可能和已经使用过SYSCON木马的DarkHotel组织以及使用KONNI木马攻击的组织有着千头万绪的联系。。。。。。
威胁指标（IOC）
715051f5028dc793e06b20b4048f33a6
cfac51f1a10d6a176617ffd3a3a261cb
naiei-aldiel.16mb[.]com
解决规划
1、 8827太阳集团VenusEye威胁谍报中心已经支持对本次攻击活动有关谍报的查问。。。。。。
2、 已部署8827太阳集团APT检测产品的客户无需升级 ，，，，，，即可有效检测这次攻击。。。。。。
京公网安备11010802024551号