• 银河集团

    数字经济的安全基石

    首页 > 关于我们 > 银河集团动态 > 2019 > 正文

    魔芋行动（Operation Ninikachu ）针对韩国某大型集团的定向攻击

    阅读量：次

    近日，银河集团安全研究院猎影威胁分析团队在文件威胁分析平台上监测到了一起针对韩国大型公司的高级可持续攻击。经过深入分析，发现攻击者可能来自南亚国家，通过样本中的关键词汇将该起攻击命名为魔芋行动（Operation Ninikachu）。

    样本分析

    攻击者投递了多个高度伪装的文档，文档实例展示如下：

    文档利用形式相同，都使用了相似的恶意宏代码，我们拿出其中一个进行分析，如“가격정책_191030.xls”文档。

    文档中包含恶意宏代码

     

    宏代码的功能为远程下载文件，其地址如下：

    hxxps://218.*.*.187/as/***/***/skcc.com/ReportSVC.exe

     

    保存到“c:\ProgramData\ReportSVC.exe”并执行。

    ReportSVC.exe程序为加过密的python打包程序,将该程序进行解包并反编译还原如下：

    可以得到agent主程序，并可以通过AES算法使用加密key：”XMBci***8HQGPDH”解密被加密的一些模块：

    如解密config.pyc.encrypted文件解密出config模块：

    内部包含程序执行所需要的各种配置信息，如回连地址信息“hxxps:// 218.*.*.187”，服务前缀“skcc[.]com”，帮助信息等等。

    接下来分析反编译出的angent.py程序，发现其就是一个python远程控制程序。包含多个功能指令。

    程序会先进行初始化，从配置文件中获取各类配置信息，以及收集本机计算机中 的各类信息，如获取系统版本信息：

    获取uid信息：

    获取Hostname信息：

    获取Username信息：

    然后回连C2，发送信息并通过指令进行交互

    几个关键功能包括：

    函数Getdocpaths：获取指定路径下的doc*,xls*,ppt*路径信息

    函数Upload：上传本地文件到服务器。

    函数Download：从远程服务器通过http(s)下载文件。

    函数Powershell：运行powershell程序或命令。

    函数Python：运行python命令或python程序。

    函数Getpw(Ninikachu)：通过使用Empire的Invoke-Mimikatz.ps1来获取系统密码。 

    Agent程序整体函数功能如下列表：

    函数

    功能

    __init__

    程序初始化，获取信息和配置等

    log

    日志记录

    get_UID

    获取uid

    jsonenc

    Aes encrypt

    add_server

    添加C2服务地址

    server_hello

    请求服务指令

    send_output

    发送控制台输出内容到服务器

    expand_path

    扩展环境变量

    runcmd

    运行cmd指令

    getdocpaths

    获取指定路径下的doc*,xls*,ppt*路径信息

    powershell

    运行powershell程序

    filterInput

    过滤输入内容

    ninikachu

    获取系统密码

    python

    运行python命令或python程序

    cd

    切换目录

    upload

    上传本地文件到服务器

    download

    从远程服务器下载文件

    exit

    退出agent

    zip

    Zip压缩文件或文件夹

    help

    帮助

    run

    循环运行指令交互

     

    关联分析

    https指纹分析

    根据之前的样本，我们知道其回连地址是218.*.*.187且使用https进行通讯，我们获取https的证书sha1值

    • c8b81df******de7e360af7a6e54b0

     

    使用银河集团全球网络空间超级雷达sumap进行检索，又发现另2个使用了相关证书的ip地址：

    通过关联分析，发现了其中一个IP地址目前仍可访问，其后台地址：

    代码特征分析

    分析页面信息，其含有一个叫“Ares”关键词信息，通过互联网检索发现，该后台是Ares远控程序的控制端，而解密后的agent程序为Ares的被控端。

    Ares的代码在github属于开源项目，但是这次攻击的程序是黑客定制修改版本，修改包括：

    • 设置终端语言版本。代码中使用“cp949”编码可以看出针对目标语言为韩语

    • 添加了一些窃密功能，如getdocpaths、powershell、ninikachu等定制重要功能

       

     被攻击目标分析

    最开始的木马ReportSVC.exe程序下载地址为hxxps:// 218.*.*.187/as/***/***/skcc.com/ReportSVC.exe中包含的skcc[.]com

    而在解密的config.py配置文件中服务前缀SERVER_PREFIX也是包含skcc[.]com

    猜测本次攻击目标为韩国SK C&C公司。SK C&C是韩国几大企业集团之一的SK集团的全资子公司，主营业务为IT服务提供商和数字业务。

     

    推测攻击者

    可以从pyimod01_os_path等文件中得到电脑的用户名“kngkn”的信息。

    通过一些搜索发现，推特上有这么一个用户名，并且还关注了两个用户，都和数字媒体相关，并且所在地为南亚某国。

    再可通过facebook搜索kngkn用户名查看人物，发现大多数人物所在地都在南亚某国

    如这些人物所在的地址：

    说明该名字kngkn可能某地区的常用名字。

     

    再来看看“Ninikachu”这个函数功能是使用mimikatz，两个单词拼读起来也感觉类似，推测攻击者可能是南亚某国的口音。

    拆分ninikachu为nini和kachu，通过检索发现在梵文中kachu叫做芋头，所以我们将这次攻击也叫作魔芋行动（Operation Ninikachu）。

     

    防御建议总结

    企业应当注重培养人员安全意识，不轻易打开未知来源的邮件及附件，不随意点击未知链接，不随意打开未验证可靠来源的文档。及时为信息系统打好补丁。

    部署银河集团APT预警平台，银河集团APT预警平台能够发现已知或未知的威胁，APT预警平台 的实时监控能力能够捕获并分析邮件附件投递文档或程序的威胁性，并能够对邮件投递，漏洞利用、安装植入、回连控制等各个阶段做强有力的监测。结合银河集团威胁情报系统，可将国内外的威胁数据进行汇总，并分析整个攻击演进和联合预警。

    猎影威胁分析团队将持续关注网络安全动态。

     

    IOC

    MD5：

    7927a48***d0e598c962f4b

    526842f***e36d828d5edec

    7e851a9***35937bbb54326

    36bcfeb***d2f1faf9c6a3ae

     

    IP：

    218.***.***.187

    211.***.***.113

    114.***.***.178

     

    URL：

    hxxps://218.***.***.187/as/***/***/skcc.com/ReportSVC.exe

    hxxps://211.***.***.113/as/***/***/skcc.com/SCMetroUIUpdater.exe

    hxxps://114.***.***.178/as/login

    关闭

    客服在线咨询入口，期待与您交流

    线上咨询
    联系我们

    咨询电话：400-6059-110

    产品试用

    即刻预约免费试用，我们将在24小时内联系您

    微信咨询
    银河集团信息联系方式