Urpage 與 Bahamut、Confucius 及 Patchwork 等駭客集團的關聯性

趨勢科技隨時都在監控網路資安威脅情勢的發展,透過這樣的過程,我們就能進一步了解歹徒幕後的運作。這次我們深入追查了某個不知名的駭客集團與 Confucius、 PatchworkBahamut 等集團之間的可能關聯,看看他們之間有何相似之處。我們暫時將這個不知名的集團稱為「Urpage」。

Urpage 之所以引起我們注意,在於它攻擊的目標為一個烏爾都語與阿拉伯語專用的文書處理程式,叫做「InPage」。此外,歹徒也使用了一個 Delphi 後門元件 (這一點和 Confucius 及 Patchwork 相似),並且使用了一個和 Bahamut 類似的惡意程式,正是這樣才會讓人覺得 Urpage 與上述幾個知名駭客團體有所關聯。在我們之前的一篇文章當中,我們已探討過 Confucius 和 Patchwork 之間共通的 Delphi 元件。也稍微提到 Urpage 和兩者之間有所關聯。這一次我們將深入研究 Urpage 與這幾個團體有何共通之處。

與 Bahamut 的關聯性

假冒網站

Bahamut 與 Urpage 之間的關聯,最明顯的就是後者有多個 Android 應用程式樣本的程式碼與 Bahamut 的程式相同,但卻連接至 Urpage 的幕後操縱 (C&C) 網站。而且某些 C&C 網站同時也是網路釣魚網站,專門引誘使用者下載這些應用程式。歹徒建立這些假冒網站來介紹這些應用程式並提供連結讓使用者至 Google Play 商店下載,例如「pikrpro.eu」這個惡意網站就是一例,見下圖:

還有另一個網站也是模仿得跟原本的網站很像,只有在標誌和頁面上方的選項稍有不同。當然,假冒網站當中的連結都已經換成指向惡意 Android 應用程式的網址。

圖 1:原始網站 (上) 與假冒網站 (下)。

在撰寫了這篇文章之後,我們已和 Google 聯繫,確定這些 C&C 網站上所介紹的惡意應用程式都已經從 Google Play 商店下架。不過值得注意的是,並非所有 Urpage 的 C&C 網站都會廣告一些惡意應用程式。有些只是一些隨機的範本網頁,包含一些空的類別,似乎只是用來掩護其惡意行為而已。

針對 Android 平台
如同 Bahamut 應用程式一樣,其惡意程式一旦下載並執行,就會出現一些竊取資訊的行為。以下是其中一些可能出現的惡意行為:

  • 從被感染的手機上蒐集一些基本資訊,例如網路資訊和 MAC 位址。
  • 竊取簡訊內容。
  • 竊取聯絡人。
  • 錄音。
  • 讀取 GPS 定位。
  • 竊取某些副檔名的檔案,不過並非所有樣本都會竊取這些檔案。
檔案類型 副檔名
文件檔 .txt、.csv、.doc、.docx、.xls、.xlsx、.pdf
WhatsApp 資料庫 .db.crypt5 至 .db.crypt12
地理位置相關檔案 .kml、.kmz、.gmx、.aqm
音訊檔 .mp3、.opus
影片 .mp4、.amr、.wmv、.3gp,
圖片 .jpeg、.jpg

請注意,有某個應用程式的用途似乎與其他的不同,但這個應用程式與其他的 Urpage 應用程式有相同的加密程式碼。這程式並非直接竊取文件或圖片,而是利用一個修改過的 Threema 端對端加密即時通訊軟體,直接用抓圖方式來擷取其通訊畫面上的內容。

此應用程式的圖示和標籤都與正牌的 Threema 長得一模一樣。一旦啟動之後,就會在手機上植入一個修改過的 Threema 應用程式 APK 檔然後叫使用者安裝這個程式。接著,惡意程式會隱藏其圖示並在背後繼續執行,而修改過的 Threema 應用程式則運作起來與正常無異。但使用者不曉得的是,修改過的 Threema 應用程式每 10 秒就會擷取一次自己的畫面,並將這些畫面儲存在「location/sdcard/Android/data/ch.threema.app/DataData」目錄當中,好讓背後執行的惡意程式將這些螢幕抓圖上傳至 C&C 網站讓駭客讀取。

圖 2:正常的 Threema 程式碼 (左) 與被修改過的版本 (右)。

其他行為

上述網站有些除了當成 C&C 網站並散布類似 Bahamut 的惡意程式之外,還用來當成其他惡意文件的伺服器。這些其他行為更印證了 Urpage 和 Bahamut 以及其他駭客團體的關聯性。

以前述的「pikrpro.eu」為例,這個 C&C 網站不僅提供惡意的 Android 應用程式,還用來提供以下兩個惡意文件:

  • 一個專門攻擊 CVE-2017-8750 漏洞的惡意 RTF 文件,會在系統植入一個 VB 後門程式,其 C&C 位於「appswonder.info」。
  • 一個專門攻擊 CVE-2017-12824 漏洞的惡意 InPage 檔案,會在系統植入兩個檔案:一個為良性檔案,另一個則是 VB 後門程式,其 C&C 位於「referfile.com」。

Talos 最近通報了這兩個 C&C 網域,並指出其中一個會攻擊 iOS 平台並與 MDM 有關,另一個則是使用 VB 和 Delphi 後門程式。這讓我們聯想到它可能與 Confucius 及 Patchwork 有所關聯。

與 Confucius 的關聯

在我們先前的文章中已經指出 Confucius 使用了與 Urpage 相同的 Delphi 檔案竊取程式。在深入研究 Urpage 之後我們又發現了另一項關聯:有兩個攻擊不同漏洞的惡意 RTF 檔案,但其下載的卻是一個相似的腳本 (趨勢科技命名為「TROJ_POWLOAD.GAA」),內含兩個經過 base64 編碼的網址。其中一個網址指向誘餌文件,另一個則用來下載惡意檔案。

這兩個 RTF 檔案,其中一個亦曾出現在與 Confucius 相關的伺服器上 (f1a54dca2fdfe59ec3f537148460364fb5d046c9b4e7db5fc819a9732ae0e063,趨勢科技偵命名為「TROJ_CVE201711882.AG」)。另一個 RTF 檔案 (434d34c0502910c562f5c6840694737a2c82a8c44004fa58c7c457b08aac17bd,趨勢科技命名為「Mal_CVE20170199-2」) 則會下載一個 VB 後門程式,跟程式會利用 Ping 與「twitck.com」這個屬於 Confucius 的網域通訊。

與 Patchwork 的關聯

Patchwork 也和 Urpage 一樣會使用 Delphi 檔案竊取程式,意味著這三個團體確實有某種程度的關聯。不過我們還進一步發現一個程式碼與 Bahamut 相當雷同的 Android 應用程式,其 C&C 與 Patchwork 集團慣用的名稱註冊方式相符。此外也發現了一個與舊的 Patchwork 網域類似的 C&C 基礎架構。值得注意的是,其應用程式當中的 C&C 位址並未加密 (儘管該應用程式有著和其他樣本相同的加密程式碼)。Patchwork 最近也在其攻擊當中用到 Android 惡意程式,使用的是其客製化的 AndroRAT 版本。

總結

這麼多的雷同及關聯顯示,歹徒們並非單打獨鬥,而攻擊行動也會有相關淵源。這甚至意味著這些攻擊可能都是由單一開發團隊所執行,也有可能是某個團體專門開發工具和服務來賣給其他團體,而這些團體各有其目的和目標。我們將前述的發現整理成下表。

  Urpage Bahamut Confucius Patchwork
「BioData」Delphi 後門程式與檔案竊取程式 X X X
VB 後門程式 X
類似 Bahamut 的 Android 惡意程式 X X X
客製化 Android 惡意程式 X
AndroRAT Android 惡意程式 X
InPage 惡意文件 X X
簡易加密編碼的 HTA 下載程式 X X
iOS 惡意程式 X
Confucius 惡意程式 X
遠端存取 c3 後門程式 X
Sneepy/Byebye 指令列 (Shell) 惡意程式 X
Python 雲端檔案竊取程式 X
AllaKore RAT X
Badnews 惡意程式 X
QuasarRAT X
NDiskMonitor 惡意程式 X

 

攻擊目標

我們在監控的過程當中並未發現 Urpage 的受害者,這一點或許是因為這類攻擊都有相當的針對性。不過,Urpage 所使用的網域卻大致透漏了它的攻擊目標。

首先是「pikrpro.eu」這個網域和底下的子網域 「islamicfinderfeedback.pikrpro.eu」與「memrifilesforinfo.pikpro.eu」。後兩者假冒成兩個正派團體的網站,專門服務中東伊斯蘭教的信徒和使用者。

其次,Urpage 網域的許多檔案都是自動執行檔案,並且會在系統上植入 Delphi 或 VB 後門程式並開啟一個誘餌文件。這個誘餌文件可透露出不少關於 Urpage 可能攻擊對象的資訊,文件含取自喀什米爾地區相關文章的內容。下圖顯示某樣本文件的標頭。

這類文件有時是類似相關主題的圖片,如下圖所示:

有好幾個 Android 應用程式都進一步證實這樣的看法,因為這些應用程式很符合該區使用者的興趣。有的惡意應用程式跟宗教有關,有的則與該區的熱門運動項目有關。

圖 3:與齋戒月 (Ramadan) 相關的惡意應用程式。

圖 4:與板球相關的惡意應用程式。

解決與防範之道

了解了這些相似之處與關連之後,企業和一般使用者就更能有效防範 Urpage、Bahamut、Confucius 和 Patchwork 等團體的持續攻擊。從 Urpage 和其他三個駭客團體的關聯我們了解到,網路犯罪集團並非單打獨鬥,他們會彼此交流知識和技術並且互相幫忙,以便發展出各種不同的攻擊手法。在這樣的認知之下,企業必須更小心監控威脅,因為,一旦某個駭客團體有任何新的發展,其他團體也會隨後跟進。

企業可針對上述四個團體所使用的類似社交工程技巧來防範其攻擊。使用者必須對其社交工程技巧的特徵有所警覺。此外,在執行任何動作之前,仔細留意一下自己所在的網域名稱,也有助於防範威脅,包括專門針對特定受害者的 Urpage 威脅。

為了進一步防範日益普遍的行動惡意程式,企業和一般使用者皆可採用一套具備多層防護的行動資安軟體,例如趨勢科技行動安全防護 (請至 Google Play 商店下載)。針對企業機構,趨勢科技企業版行動安全防護可提供裝置、法規遵循與應用程式的管理,以及資料防護和組態配置,並可防止裝置遭到漏洞攻擊,避免存取未經授權的應用程式,同時還可偵測並攔截惡意程式和詐騙網站。

趨勢科技HYPERLINK “http://t.rend.tw/?i=NDIwMw==”Deep DiscoveryHYPERLINK “http://t.rend.tw/?i=NDIwMw==”進階網路安全防護 威脅防護平台可讓企業偵測、分析、回應今日的現代化威脅,例如:精密的惡意程式、針對性攻擊以及持續性滲透攻擊 (APT)。

HYPERLINK “http://www.trendmicro.tw/tw/business/complete-software-protection/index.html”趨勢科技 Smart Protection for Endpoints 採用了最強的 XGen™ 防護,在威脅防護技巧當中融入了高準度機器學習能力,能防止任何使用者活動與任何端點裝置所帶來的資安漏洞,提供最廣泛的進階攻擊防護。

這份附錄當中包含了上述各駭客團體相關的最新入侵指標 (IOC)。

 

原文出處:The Urpage Connection to Bahamut, Confucius and Patchwork 作者:Daniel Lunghi 和 Ecular Xu