【安全资讯】研究人员分析Transparent Tribe(透明部落)组织的网络基础设施

安恒情报中心 2021-07-09 07:40:27 2359人浏览

引言

研究人员一直在观察透明部落最常用的远程访问工具 CrimsonRAT,并发布了对CrimsonRAT基础设施的分析。Transparent Tribe(APT36、Mythic Leopard、ProjectM、Operation C-Major)主要针对印度实体和资产,还以阿富汗的实体和巴基斯坦的社会活动家为目标。CrimsonRAT 基础设施主要托管在越南 VPS 经销商 Pi NET LLC的基础设施上。RDP 证书是 CrimsonRAT 的关键指标,目前已在17 个 C2 服务器上观察到。


简况

研究人员在查看 CrimsonRAT C2 基础设施时观察到了RDP 证书(通用名称值为WIN-P9NRMH5G6M8)。在查看托管此证书的 IP 地址后,发现大多数主机都被转租给了Pi NET LLC。Pi NET LLC (pivps[.]com) 是一家位于越南北部的 VPS 经销商,它提供非常实惠的 Windows 和 Linux 主机,可以接受各种加密货币以及传统方法的付款。研究人员还观察到在Pi NET LLC主机上使用的不同证书,其通用名称为WIN-L6BUPB5SQBC。该证书与 CrimsonRAT、C2、134.119.181[.]15、181.215.47[.]169和134.119.181[.]142相关联,可能是透明部落活动的替代指标。因此,研究人员猜测透明部落通过单一的 VPS 提供商托管大部分CrimsonRAT 基础设施,即Pi NET LLC 提供商。端口 3389 上具有通用名称 WIN-P9NRMH5G6M8 的主机如下:

CrimsonRAT 恶意软件主机


研究人员识别CrimsonRAT C2 服务器的方法如下:

1. 监控Pi NET LLC 的所有已知 IP 范围的网络流量,以识别连接到 208.95.112[.]1:80 ( ip-api[.]com ) 的主机。

2. 检查C2 IP 的入站连接,寻找从印度或阿富汗分配的 IP 地址(TCP 端口范围 2991–17443)进入的受害者。

3. 如果观察到潜在的受害者连接,则扫描已识别的端口检测并确认 CrimsonRAT C2 响应。

4. 可以跳过第 2 步,但需要在第 3 步进行更详尽的端口扫描。


研究人员在进一步分析时还观察到了潜在的交叉登录活动,将多个 C2 服务器链接在一起。将CrimsonRAT C2(198.46.177[.]73、192.99.241[.]4 和 66.154.113[.]38)与 AhMyth AndroidRAT C2(212.8.240[.]221)链接起来的交叉登录活动如下,观察到的用户名是“WATER-PC”和“YouCantSeeMe”:

重叠的 RDP 登录事件和时间线

失陷指标(IOC)23
APT Transparent Tribe CrimsonRAT 其他
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。