背景
响尾蛇(APT-Q-39,又称SideWinder)是疑似具有南亚背景的APT组织,其攻击活动最早可追溯到2012年,该组织主要针对巴基斯坦、中国、阿富汗、尼泊尔、孟加拉等国家展开攻击,以窃取政府外交机构、国防军事部门、高等教育机构等领域的机密信息为目的,攻击活动具有强烈的政治背景。该组织具备针对Windows 与 Android 双平台的攻击能力。
概述
近日,奇安信红雨滴团队在日常高价值样本狩猎过程中,捕获到疑似一批SideWinder组织Android端攻击样本。根据红雨滴研究人员跟踪分析,此次的攻击活动有如下特点:
- 样本托管在Google Play商店,伪装成Secure VPN(VPN加密通信软件)、Supereme Allah、Z Cleaner(手机清理软件)、Secure browser(浏览器软件),安装人数超过1K+。
- C2地址隐蔽性增强,包括硬编码在样本中、加密保存在google play安装链接参数中、通过firebase后台下发C2。
样本信息
样本1
伪装成“Z Cleaner”手机清理软件
- | - |
---|---|
MD5 | base.apk |
文件名 | 3de1efa51c4670610380ebf87725e5b8 |
文件大小 | 4.28 MB |
样本2
其伪装成“Invincible Allah”软件。
- | - |
---|---|
MD5 | Inshallah_v1.5_apkpure.com.apk |
文件名 | 7651ed2c924d612686b4b5e6b4da0b96 |
文件大小 | 6.45 MB |
样本3
其伪装成“Secure VPN”加密通信软件。
- | - |
---|---|
MD5 | Secure VPN_3.9_apkcombo.com.apk |
文件名 | 17ccf24c4e09b1bc7ce5c0eb637a4edd |
文件大小 | 14.0 MB |
详细分析
样本从Google Play进行安装,其安装链接中的”install_referrer”参数中携带了加密的C2(截止在2022年06月05日应用已全部下线,未能获取到C2)。
获取到C2后,把C2保存到安装目录的”MyPref”配置文件的”url”字段中。
接着,连接C2,发送上线指纹信息。
设置周期任务,每间隔10分钟就会下载插件执行。
周期任务执行后,连接C2,下载插件保存到安装目录的permFex开头文件,并作为插件加载执行。
下载插件:
插件执行:
上述功能是样本1、样本2、样本3的共同点,其3个样本的不同点在于获取C2的来源:
样本1:只能从google play 安装链接中获取到后续C2;
样本2:自身还硬编码了一个C2:”https://register.srvapp.co/”;
样本3:连接了firebase,可以获取firebase后台下发的C2。
溯源与关联
奇安信威胁情报中心分析人员通过对此次捕获样本所带的恶意代码、样本传播方式,判断本次攻击活动的幕后黑手为响尾蛇(APT-Q-39,SideWinder)。
样本在解密服务器下发的插件时,使的解密密算法和趋势科技厂商曝光的SideWinder的APK解密算法相同,都是前32字节作为KEY和后续数据进行xor解密【1】。
使用的传播方式通过Google Play 传播,和趋势科技厂商曝光的SideWinder的APK传播方式相同【1】。
总结
此次捕获的样本主要针对南亚地区开展攻击活动,国内用户不受其影响。奇安信红雨滴团队在此提醒广大用户,切勿打开社交媒体分享的来历不明的链接,不点击执行未知来源的邮件附件,不运行夸张标题的未知文件,不安装非正规途径来源的APP。做到及时备份重要文件,更新安装补丁。
若需运行,安装来历不明的应用,可先通过奇安信威胁情报文件深度分析平台(https://sandbox.ti.qianxin.com/sandbox/page)进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。
目前,基于奇安信威胁情报中心的威胁情报数据的全线产品,包括奇安信威胁情报平台(TIP)、奇安信天狗漏洞攻击防护系统、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等,都已经支持对此类攻击的精确检测。
IOCs
MD5
17ccf24c4e09b1bc7ce5c0eb637a4edd
3de1efa51c4670610380ebf87725e5b8
3df009405c2226fa5047de4caff3b927
9b0a33d41dda234676ba9efe379953f3
0e9a872844e912b057ebec6af011a2e7
7651ed2c924d612686b4b5e6b4da0b96
5aa544b5c1432710b80aa315beef5b7d
32ee8258cc83415d87942edbc250acea
d1a7c83958cb714319fbf01f96a89504
91e4d29fd1c4ee00636040c76efe166d
URL
https://register.srvapp.co/
参考链接
[1] https://www.trendmicro.com/en_us/research/20/a/first-active-attack-exploiting-cve-2019-2215-found-on-google-play-linked-to-sidewinder-apt-group.html