6月中旬，Malwarebytes Labs的研究人員發現了一個偽裝成簡歷的惡意Word文檔，該文檔使用模板注入來刪除.Net Loader。研究人員認為這是與APT攻擊有關的多階段攻擊的第一部分。在最后階段，威脅行動者使用了Cobalt Strike’s Malleable C2功能來下載最終的有效載荷并執行C2通信。

此攻擊特別“聰明”是因其規避技術。例如，研究人員觀察到在惡意Word宏執行有效payload時有故意延遲。這種攻擊的目標不是立即損害受害者，而是要等他們重新啟動計算機后再進行攻擊。另外，通過將shellcode隱藏在無害的JavaScript中并且不接觸磁盤的加載它，該APT可以進一步逃過安全產品的檢測。?

一、誘使延遲代碼執行

誘餌文件可能是通過魚叉式網絡釣魚電子郵件分發的，該電子郵件是據稱是“ Anadia Waleed”的人的簡歷。起初，原作者認為它的目標是印度，但目標受害者可能會更廣泛。

圖1：簡歷

惡意文檔使用模板注入，從以下URL下載遠程模板：

https://yenile[.]asia/YOOMANHOWYOUDARE/indexb.dotm

圖2：模版注入

用于托管遠程模板的域名于2020年2月29日由來自香港的某人注冊，該文檔的創建時間是在此域名注冊后15天。

下載的模板“ indexa.dotm”具有一個包含五個函數的嵌入式宏：

• Document_Open

• VBA_and_Replace

• Base64Decode

• ChangeFontSize

• FileFolderExist.

下面是嵌入宏的函數調用圖：

圖3：宏函數圖

主要函數是DOCUMENT_OPEN，它在打開文件時執行。此函數將三個文件放入受害者的計算機：

• Ecmd.exe?UserForm1和UserForm2包含兩個Base64編碼的有效payload。根據受害者計算機上安裝的.Net框架的版本，UserForm1(對于.Net v3.5)或UserForm2(其他版本)的內容將被解碼并存儲在“ C:\ ProgramData”中。

• cf.ini?“cf.ini”文件的內容是從UserForm3提取的，并且使用AES加密，稍后由ecmd.exe解密。

• ecmd.exe.lnk?這是“ ecmd.exe”的快捷文件，在Base64解碼UserForm4的內容后創建。該文件作為觸發器和持久性機制放置在“啟動”目錄中。只有在計算機重新啟動后，才會執行Ecmd.exe。?

圖4：DOCUMENT_OPEN

圖5：自定義base64解碼函數

ChangeFontSize和VBA_AND_REPLACE函數不是惡意的，可能是從公共資源[1，2]復制來誤導靜態掃描程序。

公共資源1，2:

• http://www.your-save-time-and-improve-quality-technologies-online-resource.com/vba-and-replace.html

• https://www.vitoshacademy.com/vba-ms-word-tricks-with-vba/

二、中間裝載機

Ecmd.exe是偽裝成ESET命令行實用程序的.Net可執行文件。下圖顯示了二進制證書、調試器和版本信息。該可執行文件已使用無效的證書簽名以模擬ESET，其版本信息顯示這是一個“ESET命令行界面”工具(圖6-圖8)。

圖6：證書信息

圖7：版本信息

圖8：調試信息

ecmd.exe是一個小型加載程序，用于解密和執行前面提到的AES加密的cf.ini文件。它通過向“http://ip-api.com/xml”發出HTTP post請求來檢查受害者機器所在國家。然后，它解析XML響應數據并提取國家代碼。

圖9：Getcon函數：向“ip-api.com”發出http post請求

圖10：ip-api.com?輸出

如果國家代碼是“RU”或“US”，則退出；否則，它開始使用硬編碼密鑰和IV對解密“cf.ini”的內容。

圖10：ecmd.exe主函數

解密的內容被復制到分配的內存區域，并使用VirtualAlloc和CreateThread API作為新線程執行。

圖11：runn函數

三、ShellCode (cf.ini)

可擴展C2是攻擊者為了避免被發現而混淆指揮和控制通信(受害者和服務器之間的信標)的一種方式，可以為每個目標創建自定義配置文件。

shell代碼使用帶有jQuery可延展性C2配置文件的Cobalt Strike可延展性C2特性從“time.updateeset[.]com”下載第二個有效payload。

圖12：可延展的C2請求

Shellcode首先使用PEB查找ntdll.exe的地址，然后調用LoadLibrayExA加載Winint.dll。然后它使用InternetOpenA，InternetConnectA，HttpOpenRequestA，InternetSetOptionA和HttpSendRequestA API來下載第二個有效payload。

API調用在兩個循環內解析，然后使用跳轉到解析的API調用的地址來執行。

圖13：構建API調用

惡意payload由InternetReadFile下載并復制到分配的內存區域。

圖14：InternetReadFile

考慮到通信是通過HTTPS進行的，Wireshark并不能發現惡意payload，Fiddler也不能提供有效payload。

圖15：Fiddler輸出

使用BurpSuite代理，能夠成功驗證并捕獲從time.updateeset[.]com/jquery-3.3.1.slim.min.js下載的正確有效payload。如圖16所示，有效payload包含在HTTP響應中返回的jQuery腳本中：

圖16：發生在jQuery末尾的有效負載

將有效payload復制到內存中的緩沖區后，shellcode跳到緩沖區的開始處并繼續執行。這包括向“time.updateeset[.]com/jQuery-3.3.1.min.js”發送連續的信標請求，并等待來自C2的潛在命令。

圖17：C2通信

使用Hollow Hunter，我們能夠從ecmd的存儲空間中提取最終的有效payload，即Cobalt Strike。

四、溯源

這起攻擊的確切溯源分析正在進行中，在這里提供一些關于誰可能是這起攻擊的幕后黑手的見解。分析顯示，襲擊者排除了俄羅斯和美國。前者可能是一個虛假的信號，而后者可能是為了避免美國惡意軟件分析師的注意。

如前所述，托管遠程模板的域名是在香港注冊的，而C2域名“time.updateeset[.]com”是在2020年2月29日以一家名為Ehtesham Rayan的伊朗公司的名稱注冊的。該公司過去提供反病毒軟件，現在似乎已經關閉。然而，這些都不是強有力或可靠的溯源指標。

圖18：updateeset.com whois注冊信息

IOCs

Anadia Waleed?resume.doc
259632b416b4b869fc6dc2d93d2b822dedf6526c0fa57723ad5c326a92d30621

Remote Template: indexa.dotm
7f1325c5a9266e649743ba714d02c819a8bfc7fd58d58e28a2b123ea260c0ce2

Remote Template Url:
https://yenile[.]asia/YOOMANHOWYOUDARE/

C2:
time.updateeset[.]com

Ecmd.exe:
aeb4c3ff5b5a62f5b7fcb1f958885f76795ee792c12244cee7e36d9050cfb298
dcaaffea947152eab6572ae61d7a3783e6137901662e6b5b5cad82bffb5d8995
5f49a47abc8e8d19bd5ed3625f28561ef584b1a226df09d45455fbf38c73a79c

cf.ini:0eba651e5d54bd5bb502327daef6979de7e3eb63ba518756f659f373aa5f4f8b

Cf.ini shell-code after decryption:5143c5d8715cfc1e70e9db00184592c6cfbb4b9312ee02739d098cf6bc83eff9

Cobalt Strike downloaded shellcode:8cfd023f1aa40774a9b6ef3dbdfb75dea10eb7f601c308f8837920417f1ed702

Cobalt Strike payload7963ead16b6277e5b4fbd5d0b683593877d50a6ea7e64d2fc5def605eba1162a

---

原文：https://blog.malwarebytes.com/threat-analysis/2020/06/multi-stage-apt-attack-drops-cobalt-strike-using-malleable-c2-feature/

編譯：CNTIC情報組

本文為CNTIC編譯，不代表本公眾號觀點，轉載請保留出處與鏈接。

聯系信息進入公眾號后點擊“論壇信息”可見。

總結

以上是生活随笔為你收集整理的cobaltstrike扩展_Malwarebytes：使用可变C2下发Cobalt Strike的APT攻击的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。