一、背景

从2018年4月起至今，一个疑似来自南美洲的APT组织盲眼鹰（APT-C-36）针对哥伦比亚政府机构和大型公司（金融、石油、制造等行业）等重要领域展开了有组织、有计划、针对性的长期不间断攻击。

其攻击平台主要为Windows，攻击目标锁定为哥伦比亚政企机构，截止目前360威胁情报中心一共捕获了29个针对性的诱饵文档，Windows平台木马样本62个，以及多个相关的恶意域名。

2018年4月，360威胁情报中心捕获到第一个针对哥伦比亚政府的定向攻击样本，在此后近一年时间内，我们又先后捕获了多起针对哥伦比亚政企机构的定向攻击。攻击者习惯将带有恶意宏的MHTML格式的Office Word诱饵文档通过RAR加密后配合鱼叉邮件对目标进行投递，然后将RAR解压密码附带在邮件正文中，具有很好的躲避邮件网关查杀的效果。其最终目的是植入Imminent后门以实现对目标计算机的控制，为接下来的横向移动提供基础。

360威胁情报中心通过分析攻击者投递的多个加密的Office Word文档的最后修改时间、MHTML文档字符集（语言环境）、攻击者使用的作者名称等信息，并结合地缘政治等APT攻击的相关要素，判断攻击者疑似来自于UTC时区在西4区（UTC-4）正负1小时对应的地理位置区域（南美洲）。

由于该组织攻击的目标中有一个特色目标是哥伦比亚盲人研究所，而哥伦比亚在足球领域又被称为南美雄鹰，结合该组织的一些其它特点以及360威胁情报中心对 APT 组织的命名规则，我们将该组织命名为盲眼鹰（APT-C-36）。

二、攻击目标和受害者分析

根据关联到的样本对受害者进行分类统计后，我们发现攻击者主要针对哥伦比亚的政府机构和大型公司，其目的是植入Imminent后门以实现对目标计算机的控制，为接下来的横向移动等攻击行为提供基础。从受害者的背景信息来看，攻击者所关注的政企机构在战略层面有重大意义，同时也不排除其同时有窃取商业机密和知识产权的动机。

伪装来源及行业分布

基于360威胁情报中心对该APT组织的攻击信息统计显示，攻击者伪装成哥伦比亚国家民事登记处、哥伦比亚国家税务和海关总署、哥伦比亚国家统计局、哥伦比亚国家网络警察局、哥伦比亚国家司法部门，对哥伦比亚的政府、金融机构，本国大型企业或跨国公司的哥伦比亚分公司进行攻击，相关信息统计如下。

攻击者使用的部分恶意域名也仿冒了哥伦比亚的政府网站，比如diangovcomuiscia.com从名称上仿冒了muiscia.dian.gov.co，而后者是哥伦比亚税务与海关总署官网。

攻击者对使用的木马程序的公司信息也进行了伪造，相关列表如下：

部分受影响目标

360威胁情报中心在近一年内针对该APT攻击进行监控和关联后发现了其多个用于攻击哥伦比亚政府、金融机构及大型企业的相关邮件。基于对鱼叉邮件的分析，我们列举了如下针对性的诱饵文档以及对应的受害政企。

1. 哥伦比亚国家石油公司

1）被攻击机构信息及相关邮件

哥伦比亚国家石油公司（www.ecopetrol.com.co）主要经营范围包括石油、天然气勘探开发，管线建设以及石油炼制。

攻击哥伦比亚国家石油公司的相关邮件

2）相关诱饵文档

攻击者伪装成哥伦比亚国家税务和海关总署进行攻击活动：

Dian Embargo Bancario # 609776.doc

2. 哥伦比亚石油公司（Hocol）

1）被攻击机构信息及相关邮件

Hocol成立于1956年，是哥伦比亚国家石油公司Ecopetrol的子公司，专注于哥伦比亚国内各地的勘探和生产活动。

攻击哥伦比亚石油公司Hocol的相关邮件

2）相关诱饵文档

攻击者伪装成哥伦比亚国家税务和海关总署进行攻击活动：

estado de cuenta.doc

3. 哥伦比亚物流公司（Almaviva）

1）被攻击机构信息及相关邮件

Almaviva是一家物流运营商，通过流程和工具的安全管理优化供应链，确保物流运营的效率。

攻击物流公司Almaviva的相关邮件

2）相关诱饵文档

攻击者伪装成哥伦比亚国家统计局进行攻击活动：

listado de funcionarios autorizados para censo nacional 2018.doc

4. 哥伦比亚国家金融机构（BancoAgrario）

1）被攻击机构信息及相关邮件

哥伦比亚国家金融机构（BancoAgrario）主要致力于向农村地区提供金融服务。

攻击BancoAgrario的相关邮件

2）相关诱饵文档

攻击者伪装成哥伦比亚国家网络警察局（caivirtual.policia.gov.co）进行攻击活动

Reporte fraude desde su dirrecion ip.doc

5. 哥伦比亚车轮制造商（IMSA）

1）被攻击机构信息及相关邮件

IMSA是专业的车轮制造商，致力于使用优质原材料进行车轮制造。

攻击IMSA的相关邮件

2）相关诱饵文档

攻击者伪装成哥伦比亚国家税务和海关总署（www.dian.gov.co）进行攻击活动

Dian Embargo Bancario # 609776.doc

6. 哥伦比亚银行（Banco de Occidente）

1) 被攻击机构信息

Banco de Occidente是哥伦比亚最大的银行之一，是哥伦比亚Grupo Aval金融服务集团的一部分。

攻击Banco de Occidente的相关邮件

2) 相关诱饵文档

攻击者伪装成哥伦比亚国家司法部门（www.fiscalia.gov.co）进行攻击活动

Citacion Fiscalia general de la Nacion Proceso 305351T.doc

7. ATH哥伦比亚分部

1) 被攻击机构信息

ATH是一个跨国银行金融机构，在哥伦比亚开设有分部。

攻击ATH哥伦比亚分部相关邮件

2) 相关诱饵文档

攻击者伪装成哥伦比亚国家司法部门（www.fiscalia.gov.co）进行攻击活动

Fiscalia proceso 305351T.doc

8. Sun Chemical哥伦比亚分部

1) 被攻击机构信息

Sun Chemical是印刷油墨，涂料等用品的跨国企业，同样在哥伦比亚开设有分公司。

攻击Sun Chemical哥伦比亚分公司的邮件

2) 相关诱饵文档

攻击者伪装成哥伦比亚移民权力机构（www.migracioncolombia.gov.co）进行攻击活动

Proceso Pendiente Migracion Colombia.doc

9. 哥伦比亚Byington公司

1) 被攻击机构信息

Byington对哥伦比亚主要的商业公司进行评级和财务评估。

攻击哥伦比亚Byington公司的相关邮件

2) 相关诱饵文档

攻击者伪装成哥伦比亚国家税务和海关总署（www.dian.gov.co）进行攻击活动

estado de cuenta.doc

三、技术细节

360威胁情报中心基于该APT组织常见的攻击手法对整个攻击过程进行了详细分析。

1. 最新的一次攻击

2019年2月14日，360威胁情报中心再次监控到该APT组织的最新攻击活动，根据最近捕获到的诱饵文档（MD5：0c97d7f6a1835a3fe64c1c625ea109ed）并没有找到对应的邮件，不过在进行关联调查后，我们发现了另外一个类似的诱饵文档（MD5：3de286896c8eb68a21a6dcf7dae8ec97）及其对应的有针对性攻击邮件（MD5：f2d5cb747110b43558140c700dbf0e5e）。该邮件伪装来自哥伦比亚国家民事登记处，对哥伦比亚国家盲人研究所进行攻击。

最近捕获的诱饵文档，伪装来自哥伦比亚国家民事登记处（MD5：0c97d7f6a1835a3fe64c1c625ea109ed）

攻击哥伦比亚国家盲人研究所的邮件

2. 伪造来源及躲避查杀

攻击者在攻击不同目标时，仔细考虑了如何伪装邮件的来源从而使其看起来更加可信。比如通过伪装民事登记处来攻击盲人研究所，伪装成税务和海关总署来攻击那些有国际贸易的企业，伪装成司法部门和移民权力机构来针对银行和跨国公司哥伦比亚分部等。

攻击者同样对邮件内容进行精心构造，使其看似源自被伪造的机构，且与被攻击者日常工作生活相关。下图为伪装成哥伦比亚国家司法部门对ATH哥伦比亚分部的攻击中对应邮件的内容翻译：

邮件附件被加密存放在压缩包内，并在邮件正文中提供解密密码，用于绕过邮件网关的安全检测。

邮件正文附带RAR密码

对邮件进行分析后，我们发现攻击者在发送邮件时都使用了VPN等方式来隐藏自身，因此尚未能获得发件者的真实IP，只是发现这些邮件通过位于美国佛罗里达州的IDC机房发出，部分相关的IP地址为：

128.90.106.22

128.90.107.21

128.90.107.189

128.90.107.236

128.90.108.126

128.90.114.5

128.90.115.28

128.90.115.179

3. 诱饵文档

此次攻击活动诱饵文档均采用MHTML格式的Word文档进行攻击，MHTML格式的Word文档能在一定程度上避免杀毒软件的查杀。例如360威胁情报中心在2019年2月中旬捕获的样本：Registraduria Nacional - Notificacion cancelacion cedula de ciudadania.doc

MHTML格式的Word文档

文档伪装成哥伦比亚国家民事登记处，并利用西班牙语提示受害者开启宏代码，从而执行后续Payload

当受害者打开该MIME文档并启用宏功能后，将自动调用Document_Open函数：

Document_Open首先调用Main函数下载hxxp://diangovcomuiscia.com/media/a.jpg并保存为%AppData%\1.exe（md5: ef9f19525e7862fb71175c0bbfe74247）：

接着调用fcL4qOb4函数，设置伪装成Google的计划任务，相关计划任务的信息如下：

相关代码如下图所示：

4. Payload（Imminent）

释放执行的1.exe为最终的木马后门，该样本为混淆比较严重的C#代码：

去混淆后可以明确看到Imminent Monitor字符串，该样本为Imminent Monitor RAT：

样本运行后首先从资源文件中提取名称为“application”的数据，并解密出一个来自7zip合法的lzma.dll库：

随后从资源文件中提取名称为“_7z的”数据，并利用lzma.dll解压缩该段数据，得到真正的Imminent Monitor RAT样本（MD5: 4fd291e3319eb3433d91ee24cc39102e）：

核心功能分析

1）静态分析

该样本包含Imminent Monitor RAT实体功能代码，但采用了ConfuserEx+Eazfuscator.NET双重淆器加密了代码，如下图所示：

部分去混淆后可以看出其提供的功能如下表：

通过分析与其官方网站提供的功能说明一致：

2）动态调试

核心模块运行后会检测是否在%temp%\[appname]目录下，如果不在则将自身拷贝为%temp%\[appname]\[appname]，并设置文件属性为隐藏：

然后启动%temp%\[appname]：

最后删除原始文件，并退出进程

样本重新启动后将在%AppData%目录创建Imminent目录，该目录将保存加密后的日志、网络信息、系统信息等文件，当接受到相应指令时发送到服务端：

C&C地址为：mentes.publicvm.com:4050

四、TTP（战术、技术、过程）

360威胁情报中心总结了该APT组织的TTP如下：

五、溯源和关联

360威胁情报中心通过分析攻击者投递的多个加密的Office Word文档的最后修改时间、MHTML文档字符集（语言环境）等信息，并结合地缘政治等APT攻击的相关要素，怀疑攻击者来自于UTC时区在西4区（UTC-4）正负1小时对应的地理位置区域。

1. 可靠的文件修改时间

以投递的加密RAR压缩包（Registraduria Nacional del Estado Civil -Proceso inicado.rar）为例，由于RAR会保存文件的修改时间，所以解密RAR包后得到的Word文档的修改时间非常可靠。右边为解密得到的Word文档修改时间，这和左边诱饵文档（MHTML）元信息内包含的文档修改时间一致（由于笔者处于UTC+8时区，需要将文件修改时间减8小时对比）：

通过对比所有加密RAR文件内的诱饵文档修改时间和文档元信息内的文档修改时间，我们有很大的把握确认文档元信息内的修改时间为攻击者的真实修改时间，这样我们可以以捕获到的所有诱饵文档元信息内的修改时间做数据统计。

2. MHTML诱饵文档修改时间统计

我们统计了所有诱饵文档的修改时间如下表：

从大量样本的修改时间可以看出，从未出现过修改时间在05:30到12:30之间的诱饵文档。基于最合理的推测：正常的休息时间应该在晚12点到早8点之间的区域（睡觉时间段），那么攻击者所处的时区应该在西4区（UTC-4）正负1小时的区间内。

3. PE时间戳与诱饵文档修改时间对比

我们还统计了木马程序去混淆后dump出来的核心PE文件时间戳信息，与每个对应的诱饵文档修改时间进行对比可以看出：诱饵文档的修改时间与对应的PE文件的时间戳间隔都非常接近，这更加说明了该攻击活动的定向属性：

4. 语言和charset

另外，我们统计了所有的诱饵文档（MHTML），可以看到所有诱饵文档都基于西欧语言环境（西班牙语等）编写：

Charset：windows-1252

而部分诱饵文档的作者信息也是西班牙文：

Centro de Servicios Judiciales

5. 攻击者画像

基于攻击者所处时区、使用的语言以及APT攻击的地缘政治因素我们总结了以下观点：

1. 攻击者所处时区的地理范围刚好处于南美洲

2. 南美洲大部分国家都使用西班牙语（除巴西），这和攻击者的语言环境及Office用户名吻合

3. APT攻击大部分基于地缘政治因素（本国或邻国）

4. 从受害者的背景以及本次攻击行动的持续时间来看，攻击者所关注的政企机构在战略层面有重大意义，且持续时间较长。

综上所述，360威胁情报中心认为攻击者有较大可能是来源于南美洲国家的具有国家背景的APT组织。

IOC

参考链接

[1].https://cloudblogs.microsoft.com/microsoftsecure/2018/05/10/enhancing-office-365-advanced-threat-protection-with-detonation-based-heuristics-and-machine-learning/

[2].http://www.pwncode.club/2018/09/mhtml-macro-documents-targeting.html

*本文作者：360天眼实验室，转载请注明来自FreeBuf.COM