专业攻击日本的APT组织“蓝白蚁（blue termite）”新动向

        今年6月初日本养老金系统被入侵，大约125万份个人信息遭泄，而卡巴斯基报告指出进行攻击的是专门针对日本的APT攻击组织“蓝白蚁（blue termite）”。
        2014年10月，实验室开始了针对“蓝白蚁”APT的研究，尽管这并不是日本第一次遭遇APT的攻击，但是这次旷日持久的攻击还是有两点与众不同的地方。
        与其他APT不同，“蓝白蚁”的攻击目标集中于日本。目前他们最为“成功”的攻击活动便是入侵日本养老金系统，造成了125万个人信息泄漏。但除此之外，“蓝白蚁”的攻击目标还包括政府及政府机构、地方政府、公共利益团体等。更为不幸的是，攻击仍在持续中，并且受影响的行业范围一直在扩大中。
        通常，APT的主要感染方式是通过钓鱼邮件进行的。卡巴斯基实验室发现这个新方式是利用来自Hacking Team泄露事件中曝光的flash漏洞（CNNVD-201507-197）exp，让受害者因“被迫下载”而受到感染。
        几个日本网站已经因为这种攻击方式而被黑，如图：

        攻击者插入一段恶意代码到网站上，指向“faq.html”。“faq.html”的源代码为：

        “faq.html”会加载“movie.swf”，这个文件中包含exp。通过这种方式，当用户设备访问时便会被恶意感染。
        “movie.swl”的header显示为“ZWS”，也就是说，这是一个用LZMA（Lempel-Ziv-Markov chain-Algorithm）压缩的flash文件。

        文件中包含一个数据段，标记为蓝色：

        数据包括了12字节的header。经过编码的数据以0x5dca (“\x78\x9c\xec\xb7….”)起始，然后使用zlib压缩。解压缩之后，我们发现一个带“MZ header”的可执行文件。

        除了上面展示的数据之外，swf文件中还有ActionScript (AS)的shellcode。

        这个shellcode的功能非常简单：它将提取的可执行文件保存到当前临时目录，命名为“rdws.exe”，然后用WinExec()执行它。

        提取的可执行文件为攻击者使用的一个新的感染向量——“emdivi t17”（后文简称“t17”）。我们发现几种执行rdws.exe的恶意软件，而t17便是其中之一。
        实验室发现了一些“水管攻击”，其中包括一个属于日本政府重要议员的网站。研究者给网站管理者以及受影响站点的ISP发送了一个通知邮件，却没有收到任何回复。但是，就在大约一小时后这段恶意代码就被删除了。下面的代码过滤了大部分IP地址，除了一个是特属于日本政府机构。

        检测发现，“emdivi t20”（后文简称“t20”）恶意软件具有根据目标而产生针对性攻击的能力。尽管t17和t20来自同一个emdivi家族，但是后者更为复杂一些。t20通常用于已经感染t17后，而此时t17充当了后门的角色。现在来看看t20是如何利用这些后门的。t17有9种命令，另一个方面，一些t20样本中则有多达40种命令。两者储存的都是后门指令的md5校验值。在分析t20的样本时，我们发现它在两个方面具有高度针对性。
        首先，一个t20样本中包含硬编码内部代理信息，信息经过加密，位置在0x44e79c：

        解密后的代码为"proxy.??????????.co.jp:8080"：

        这种方法虽然并不新颖，但也没有被广泛应用。这是由于它可能会暴露目标，或者这并不是一个可以通用的方法，并且只有在一个特殊组织中才能运用。然而，相似的案列在其他APT攻击中也有遇到。
        另一个方面则十分有趣。emdivi储存了自身的重要数据，其中包括C2、API名称、用来干扰分析的字符串、互斥对象价值、md5校验和以及内部代理信息。这些信息以加密形式储存，并在必要时进行解密。因此，详细分析一个emdivi的实例，我们需要探明加密的十六进制编码，并对其进行破解。在解密的过程中，每个样本都需要一个特殊的解密密钥。
       emdivi t20可以用Salt1和Salt2生成一个解密密钥。Salt1来自一个含有四个数字（疑似C2的ID）的“魔字符串”。
       下面是一个“魔字符串”的例子：

       emdivi的部分命名（“t17”和“t20”）便是来自于这个硬编码的“魔字符串”。Salt2是通过大量被硬编码的数据生成的：

       在大多数情况下，emdivi会用Salt1和Salt2生成一个解密密钥。
       然而，在2015年7月初，实验室发现一个样本通过Salt1、Salt2和Salt3创建了一个解密密钥，Salt3是被感染电脑的安全标识符。
       下面是解密密钥生成流程：

       换句话说，这个样本只能在它的攻击目标电脑中运行。如果不清楚受害者的SID，那么解密密钥则无法成功生成出来，而解密也就变得十分困难。这也意味着想要详细分析恶意软件是无法实现的。
       而幸运的是，我们还能分析这些样本，并从几个没有SID的样本中成功地暴力破解这些解密密钥。
       今年6月初，就有新闻指出日本养老金系统因一名员工操作不当，导致系统遭网络攻击，大约125万份个人信息被泄露。各种日本组织开始部署更为严格的保护措施。然而，攻击者“蓝白蚁“组织似乎也一直密切关注着事态的动向，开始使用新的攻击方式并成功地扩大了他们的行动规模。目前，另一个emdivi t20的样本被发现，它除了SID的把戏之外还运用了AES加密，让针对敏感数据的解密更加困难。