2023年于今，东北亚标的代表性APT（高等捏续性要挟）组织伪猎者（APT-C-60）的活动尤为平常，已屡次对政府机关和高校张开迤逦。这些迤逦中使用了多种迤逦兵器，包括开源器具和自研坏心软件。迤逦经由中，伪猎者组织通过HTTP和HTTPS公约与C&C劳动器进行通讯。通讯数据平常经过XOR算法和编码进行加密赌钱赚钱app，天然这些加密景色相对浮浅，但仍能在一定进程上对通讯数据进行保护，增多把稳难度。
不雅成瞰云（ENS）-加密要挟智能检测系统约略对伪猎者组织使用的多款迤逦兵器进行有用检出。
2 APT-C-60 伪猎者组织技战法伪猎者（APT-C-60）是一个活跃于东北亚地区的高等捏续性要挟（APT）组织，初次泄露于2021年，但其迤逦活动可记忆至2018年。该组织主要通过垂钓邮件和0Day过失等景色入侵意见相聚，并膨胀信息窃取。伪猎者的迤逦意见主要鸠合执政鲜和中国大陆的政府机关，以及触及商业与文化换取的关联单元。该组织具有多套邮件探针工夫，用于刺探意见单元和个东谈主使用的邮件客户端版块、办公软件信息等[2]。
张开剩余85%该组织在膨胀迤逦时，常使用LNK下载者进造孽意载荷的分发，且载荷的解密机制在往日两年内保捏一致，展现出其高效且健硕的迤逦模式。此外，伪猎者还使用了具备键盘记载、证据盗取等功能的SpyGlace后门器具，旨在长久监控并窃取要道敏锐信息[1]。
表 1 伪猎者组织技战法转头
2.1 迤逦经由
2023年，伪猎者组织期骗LNK文献下载多个坏心文献，并通过解密剧本解密出多个文献，包括加载器、下载器和陈迹打消器具。具体迤逦经由如下图所示。
图 1 伪猎者迤逦经由
2.2 加密通讯分析
2023年伪猎者期骗LNK文献从不同的劳动器下载了3个文献conf.txt、wimserv.txt和pigment.hlp。其中pigment.hlp为Javascript撰写的解密剧本，conf.txt、wimserv.txt均为加密载荷。
图 2 下载解密剧本
2023年于今加密载荷数据结构共包含如下2种，第二种比第一种新增了2个字符“\\”。
图 3 第一种数据结构
图 4 第二种数据结构
使用伪猎者自界说编码表进行解密，即可解密出PE文献。自界说编码表由默许编码表异或3生成，具体为“BA@GFEDKJIHONMLSRQPWVUT[ZYba`gfedkjihonmlsrqpwvut{zy32107654;:(,>”。
图 5 加密载荷
图 6 不错解密出两个文献的加密载荷
2.3 捏久化
伪猎者组织通过创建谋略任求收尾捏久化操作。
图 7 创建谋略任务
伪猎者组织通过COM组件劫捏收尾捏久化。
表 2 添加注册表项
3 家具检测不雅成瞰云（ENS）-加密要挟智能检测系统约略对伪猎者组织使用的多款迤逦兵器进行有用检出。
图 8 伪猎者NdBB下载者木马检出截图
4 转头东北亚标的APT组织平常弃取多阶段的迤逦战略，使用0Day过失、下载器、加载器、信息采集器具以及远控木马等逐渐浸透意见相聚。这些组织会期骗正常网站劳动以及免费云霄存储空间来笼罩其活动，从而增多被检测的难度。在迤逦膨胀经由中，通过伪装成国内着名大厂的域名来糊弄受害者，同期会特意错开受害者的责任时刻分发坏心载荷，从而裁减被实时发现的风险[2]。尽管这些迤逦组织在免杀才智上相对较弱[2]，但通过精密的阶段性迤逦和有用的伪装战略，它们仍是约略得胜浸透并甩掉意见相聚，得到最终的敏锐信息或数据。不雅成科技安全询查团队将不断跟踪和分析东北亚标的APT组织使用的开源和自研木马，并不断优化检测步伐，以适应东北亚标的APT组织变化的加密通讯景色，进一步督察加密相聚空间的安全。
5 IoC 6 参考剖判[1]. WPS用户警惕！APT-C-60期骗WPS Office过失部署SpyGlace后门
https://mp.weixin.qq.com/s?__biz=MzkyMzAwMDEyNg==&mid=2247545541&idx=1&sn=3e287b0b3ad08f9b440684d7eb685583
[2]. 微步在线 2023年要挟谍报及APT活动分析阐述
https://archive.threatbook.cn/threatbook/2023-ThreatBook-CTI-APT-Analysis-Report.pdf赌钱赚钱app
发布于：北京市