【安全资讯】Patchwork APT组织最新攻击活动分析

安恒情报中心 2021-01-21 03:07:11 1267人浏览

2015年12月,Patchwork APT组织遭到披露,该组织也被称为Dropping Elephant,Chinastrats,Monsoon,Sarit,Quilted Tiger,APT-C-09和ZINC EMERSON。该组织针对多个与中国外交相关的知名外交官和经济学家。


Patchwork使用一套自定义的攻击工具,攻击通常是通过鱼叉式网络钓鱼活动或水坑攻击进行的。该组织背后的归属疑似是说印度语的国家,该组织还针对在巴基斯坦,斯里兰卡,乌拉圭,孟加拉国,台湾,澳大利亚和美国的外国使馆和外交机构。在2018年初,研究人员发现,Patchwork APT组织还针对美国的智囊团开展了鱼叉式网络钓鱼活动。


最近,在2021年1月,研究人员观察到针对中国的网络钓鱼攻击,文档名称为“ Chinese_Pakistani_fighter_planes_play_war_games.docx”。我们发现该攻击使用了长期关闭的漏洞和社会工程活动之类的技术。  


下图展示了带有CVE-2019-0808漏洞利用代码恶意文档,该漏洞利用代码可以在受害者机器上丢弃并执行Patchwork APT有效载荷。 



格式错误的EPS脚本在受感染主机的路径中放置了名为MSBuild.exe”的有效负载文件,这是带有加密数据的VC++编译文件,可在运行时动态解密和加载Windows API函数。


恶意软件有效载荷开始使用Windows API(如GetComputerNameA,GetTempPath和GetConsoleWindow)从受害系统中收集信息,例如计算机名称,comspec,主目录,登录服务器,处理器数量,以及更多信息。Patchwork有效负载会记录带有日期和时间的击键,屏幕快照以及正在运行的进程,并将它们存储在%Temp%文件夹中名为TPX498.dat的文件中。

 

结论:

Patchwork APT组织通过增强的恶意软件工具集扩大了影响范围,通过鱼叉式网络钓鱼攻击将目标对准中国和其他地区。在最近的攻击中,Patchwork组织一直使用经过修改或定制的RAT负载,而不是使用常见的远程管理工具。  

失陷指标(IOC)4
APT Patchwork 钓鱼攻击 远程控制RAT 信息窃取 其他
    0条评论
    0
    0
    分享
    安恒威胁分析平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。