概述

Gamaredon APT组织是疑似具有东欧背景的APT团伙，该组织攻击活动最早可追溯到2013年，其主要针对乌克兰政府机构官员，反对党成员和新闻工作者，进行以窃取情报为目的网络攻击活动

与传统的APT组织类似，Gamaredon APT组织会使用可信的发件人对攻击目标定向发送鱼叉邮件，附件一般为rar或者docx文档，通常采用模板注入作为攻击链的起始部分，执行带有恶意宏的dot文件，释放VBS脚本，下载后续Payload，在2020年中旬时，我们在一封钓鱼邮件中发现Gamaredon APT组织开始使用Lnk作为第一阶段攻击载荷，Lnk会调用mshta执行远程hta脚本，释放诱饵和VBS文件，下载后续Payload。

邮件分析

邮件主题主要涉及乌克兰军事、外交、国土安全、法务、新冠防治等领域，语言涉及俄文和英文，我们挑选了几封具有代表性的邮件：

乌克兰安全部门改革主题的鱼叉邮件。

在邮件内容中伪造了两层转发

新冠防治主题的鱼叉邮件：

以打招呼、问候的形式投递相关诱饵

以提交阶段性运营材料和报告的形式投递鱼叉邮件

伪装成律师函的形式投递诱饵

伪装成电视台记者的形式投递诱饵

伪装成举报信的形式进行投递

发件人所用邮箱涉及I.ua（乌克兰最大的免费的免费邮件服务器）、adps.dpsu（乌克兰国家边防局）、danwin1210.me（匿名邮件服务器），当以律师或者记者的口吻发送邮件时会选择基于第三方VPS搭建的邮件系统。

整理后的发件邮箱如下：

受害者主要为乌克兰政府机构、反俄人士以及不同政见者，收件邮箱对应相关单位表格如下：

诱饵文档分析

捕获到的Gamaredon APT组织样本主要有一下几种：模板注入、宏文档、Lnk诱饵、SFX等文件

模板注入

在2020年一整年的时间里，Gamaredon APT几乎每个月都在投递模板注入的诱饵文档，保持了极高的投放频率，堪称APT界的“劳模”，这里我们以2020年11月份投递的样本集为例

SHALIMOV.DOCX的文档内容为危险分子的个人资料

17-11_від_25.11.2020.docx的文档内容如下：

通过要求受害者参与建立“俄罗斯侵略虚拟博物馆”的形式对高价值的人物和单位进行攻击，打开文档后从远程服务器下载带有恶意宏的Dot文档，文档内容如下：

宏代码功能和结构都与之前没有太大变化

将wscript重命名为GoogleDisk并移动到%appdata%\ Local\Microsoft\Windows目录下，同时在该目录下释放名为GoogleDisk.vbs的文件并执行，GoogleDisk.vbs内容如下：

解密另一个VBS脚本并执行，解密后的脚本为Gamaredon组织常用的VBS Downloader，通过注册表实现持久化：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\GoogleDisk

收集本机信息，将计算机名和序列号与Useragent进行拼接

监测执行环境是否存在procexp、wireshark、tcpdump等分析工具

最后拼接字符串发起http请求，下载后续payload。

我们简单整理了最近活动的一些宏样本，文档内容如下：

值得一提的是稍早一些的样本在宏代码中会对VBS脚本和将要下载而来的payload创建两个任务计划

整理后的C2如下

Lnk诱饵

2020年6月到10月期间，我们陆续观测到一批恶意的俄文Lnk文件异常活跃，数量在40个左右，通过溯源我们找到了最初源头的邮件。

邮件附件的压缩包中包含了一个Gamaredon 组织常用的模板注入文件和一个Lnk文件

Lnk文件功能较为简单，调用mshta执行远程的hta文件

远程服务器上的html文件内容如下：

html中的VBS代码与宏样本中的VBA代码释放的第一层VBS脚本几乎一致，对比如下：

执行的VBS脚本内容如下，会先在下载目录下释放一个名为PrintHood.vbs的脚本

接着在同目录生成一个名为Document.rtf的空文档文件

分别为PrintHood.vbs和将要下载来的PrintHood.exe创建两个计划任务，修改注册表对PrintHood.vbs实现持久化，最后打开Document.rtf文档并运行PrintHood.vbs

文档内容为空，用于迷惑受害者

PrintHood.vbs内容如下，会先获取计算机名和序列号拼接成User-Agent

从远程服务器读取数据，生成可执行文件并执行

经过挖掘，我们找到了一批同源的Html文件，在对其分析时发现下载了payload的时所使用的另一套逻辑。

先对域名末尾拼接“/income.php”，向远程服务器发起请求，如果返回码不等于200，则会获取域名对应的IP并在末尾拼接“/interrupt.php”后再次发起请求

整理后的C2如下，有些域名与宏样本中的域名存在重叠。

经过关联这批Lnk文件的元数据几乎完全一致，通过同一套流程生成而来。

Mac地址对应厂商：PCS Computer Systems GmbH，也存在伪造mac地址的可能性。近期投递的Lnk样本整理如下：

SFX样本

Gamaredon APT组织非常擅长使用SFX文件投递攻击载荷。常见的payload有VBS、CMD、OTM等文件，国内外厂商已经对相关细节进行了公布。上半年出现了通过SFX执行VBS脚本的形式实现outLook群发鱼叉邮件，SFX文件内容如下：

VBS会调用outlook以“/altvba”参数启动VbaProject.OTM

VbaProject.OTM中的宏代码会实现将模板注入样本contact.docx进行群发的功能

除此之外还有较为传统的执行流程，SFX执行CMD脚本

创建任务计划，释放VBS脚本并执行，VBS发起Post请求，获取后续payload

有些VBS脚本会发起Get请求获取后续payload

总结

APT攻击的频率和次数与所处地缘政治的局势息息相关，在新冠笼罩下的2020年，以及将要到来的2021年，东欧地区的局势会更加严峻，为这一地区的网络战带来了不确定性。

奇安信威胁情报中心提醒广大用户，切勿打开社交媒体分享的来历不明的链接，不点击执行未知来源的邮件附件，不运行夸张的标题的未知文件，不安装非正规途径来源的APP。做到及时备份重要文件，更新安装补丁

若需运行，安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行简单判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

IOC

MD5

11550f9b4e5891951152c2060bc94f95

6abde64d0e51ba00cccab05365570cea

b841990b6f15fa26bbbb11e217229bf7

4423f7fb0367292571150f4a16cdec9a

88b6af1f1583e80dbd3e5930f042cf95

02aae0f838095a9d70004dae8d600aa1

aa7c27927cdc2752fb19ed5ebef77c2e

c307be292d9b688827c22de2464abb32

6667410352cbba61e7c49389d55921a1

C2:

decursio[.]online/index.html

darvini[.]xyz

rainbowt[.]site/income.php

78[.]40.219.213/interrupt.php

rainbowt[.]site/inspector.php

78[.]40.219.213/intimate.php

coriandrum[.]xyz/index.html

caruman[.]xyz/index.html

cultiventris[.]online/index.html

strigigena[.]ru/cookie.php

testudos[.]ru/agree/reference/hasty.html

sangorits[.]hopto.org/reply/updates.html

forkasimov[.]hopto.org/beau/updates.html

sort[.]freedynamicdns.org/home/key.html

hiodus[.]bounceme.net/nations/history.html

geros[.]freedynamicdns.org/bin/key.html

inform[.]3utilities.com/lib64/index.html

vincula[.]online/interdependent_/25.11/item.php

proserpinus[.]online/nevertheless/LwRoTct.dot

kasidvk[.]3utilities.com/instructor/wDewdIf.dot

jikods[.]hopto.org/heap/EAuRvHK.dot