一起针对韩国多个机构的窃密攻击活动分析

1.概述

---

安天CERT监测到一起目标为韩国奖学金基金会、重工企业等多个机构的窃密攻击活动。攻击者利用钓鱼邮件的方式投递恶意载荷，主题为“请求基础产业报价”的报价单，以此诱导受害者解压并执行压缩包中的LokiBot窃密木马，导致用户的隐私和信息泄露。

LokiBot窃密木马执行后，会自动收集受害者的浏览器数据、电子邮件、远程连接凭据等数据并回传至攻击者服务器，造成受害者数据泄露。LokiBot还支持接收C2命令、执行下载其他恶意代码等功能，对受害者数据产生更多威胁。

经验证，安天智甲终端防御系统（简称IEP）可实现对该窃密木马的有效查杀和对用户终端的切实防护。

2.事件对应的ATT&CK映射图谱

---

2.1 事件对应的ATT&CK映射图谱

事件对应的样本技术特点分布图：

图2-1 技术特点对应ATT&CK的映射

具体ATT&CK技术行为描述表：

表2-1 ATT&CK技术行为描述表

3.防护建议

---

有效防御窃密木马，提升安全防护水平，安天建议企业采取如下防护措施：

3.1 提升主机安全防护能力

（1）安装终端防护系统：安装反病毒软件，建议安装安天智甲终端防御系统；

（2）加强口令强度：避免使用弱口令，建议使用16位或更长的密码，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；

（3）部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

3.2 使用沙箱分析可疑邮件

（1）接收邮件时要确认发送来源是否可靠，避免打开可疑邮件中的网址和附件；

（2）建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行。安天追影威胁分析系统（PTA）采用深度静态分析与沙箱动态加载执行的组合机理，可有效检出分析鉴定各类已知与未知威胁。

3.3 遭受攻击及时发起应急响应

（1）联系应急响应团队：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；安天7*24小时服务热线：400-840-9234。

经验证，安天智甲终端防御系统（简称IEP）可实现对该窃密木马的有效查杀和对用户终端的切实防护。

图3-1 安天智甲为用户终端提供有效防护

4.攻击流程

---

4.1 攻击流程图

攻击者投放钓鱼邮件，诱导受害者解压并执行邮件附件中的窃密木马。该木马执行后，会窃取浏览器、电子邮件等重要数据回传至指定的C2服务器，然后等待C2指令进行下一步操作，C2指令包括再次窃取数据、下载并执行插件、升级自身、自我删除等。

图4-1 攻击流程图

4.2 具体攻击流程

攻击者利用钓鱼邮件的方式投递名为“SGN-INC-27049.pdf.7z”的压缩包文件，主题为“请求基础产业报价”的报价单，以此诱导受害者解压并执行压缩包中的LokiBot窃密木马，实施窃密行动。

图4-2 发送给韩国奖学金基金会的钓鱼邮件

图4-3 发送给韩国某重工企业的钓鱼邮件

两封邮件内容均为：

大家好我是基础产业李贤泽

请尽快报价所附文件。

辛苦了。

用户点击附件后会从指定URL下载LokiBot窃密木马的压缩包，解压执行后将会感染该窃密木马。域名attach.mail.daum.net为某韩国邮件服务商用于提供邮件附件下载服务的域名。

图4-4 钓鱼邮件源代码

5.样本分析

---

5.1 样本标签

表5-1 二进制可执行文件

5.2 加载器分析

样本使用ReZer0（别称：CyaX-Sharp）加载器，该加载器含有多层嵌套加载的.NET载荷，使用图片隐写术隐藏数据，最终会将载荷镂空注入到新创建的自身进程中执行。

图5-1 加载器中加载的LokiBot木马程序

5.3 载荷分析

样本通过对比API函数名称的哈希值获取所需的API地址。

图5-2 使用函数名称的哈希值获取函数

LokiBot特色哈希算法如下。

图5-3 用于计算函数名称哈希的函数

样本启动后，首先检查-u参数，若存在则延迟10秒执行，该参数用于样本自身升级。

图5-4 检查-u参数

使用WSAStartup函数初始化网络对象，并创建互斥体。互斥体名称为设备识别号的MD5哈希值大写前24个字符，若无法获取则为随机10位字符串。互斥体创建成功后的整体运行流程如下。

图5-5 总体功能

● 窃取数据

构建函数数组并依次执行数组中的函数，每个函数均包含针对某软件的窃密功能。

图5-6 窃密功能函数列表

详细的窃密范围如下表所示。

表5-2 窃密数据范围

● 回传数据

在内存中解密C2地址“http://178.128.244.245/search.php?key=c7efe16273fb99ba59033ba0f61e25db”。

图5-7 获取C2地址

回传时使用的User Agent字段为“Mozilla/4.08 (Charon; Inferno)”。

图5-8 回传时使用的User Agent值

● 持久化

将自身移动或复制到%Appdata%内的子文件夹并设置为隐藏文件，子文件夹名称为计算机硬件ID的MD5哈希值第8~13位，文件名为该MD5哈希的13~18位。

图5-9 复制自身到%Appdata%目录下

使用SHRegSetPathW函数在注册表中设置自启动项，但样本实际设置的注册表路径为“HKEY_CURRENT_USER\”，并非自启动的“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run”，疑似为攻击者在设置C2地址时出现的字符串修改错误。

图5-10 样本设置的注册表项

● 获取C2指令，执行后续功能

根据C2指令进行进一步操作，支持的功能包括再次窃取数据、下载并执行插件、升级自身、自我删除等。

图5-11 接收模块下载指令

6.IoCs

---

576F333C25BFD3703CA6648333A9EAF2

44C0492150737129197C9E9080695D32

698CCE9E11CCC4763B8F76483708BB90

https://attach.mail.daum.net/bigfile/v1/urls/d/1Utz1pQNfDRk9WIHIzhAzEiFM4A/y62N4Mx096L_VjDAfJy8hw

https://attach.mail.daum.net/bigfile/v1/urls/d/UXZowoyb1UMf5pgLGjPTvx2k-6A/H_Exi4Ced18csLvJ95AeHA

http://178.128.244.245/search.php?key=c7efe16273fb99ba59033ba0f61e25db