APT-C-26（Lazarus）组织伪造电商组件攻击活动分析报告

1.攻击流程

2. 样本分析

样本调用rundll32执行，参数有6个，分别由载荷名、固定编码、C&C、本地上传路径等元素构成。

样本功能集中在导出函数sqlite3_connect；

申请堆空间，在申请的堆空间拷贝标志字符串“a ”（0x6120）；

解析Unicode命令行字符串并返回指向命令行参数的指针数组。

判断传入参数1是否为大于等于6，且argv+8取地址获取到参数（S0RMM-50QQE-F65DN-DCPYN-5QEQA）判断长度是否为29，满足条件则继续执行。

读取下阶段载荷并解密，解密算法如下，第二阶段载荷通过XOR解密，载荷从末尾开始的每个字节都移动至前一个字节。

对v16前两个字节赋值0x8406：

根据传入case 参数6 执行函数，函数参数1为解密的后续载荷、参数2为载荷长度，参数3(v16)为C2地址。

获取当前进程页面大小并申请空间释放下一个阶段的载荷，并跳转至程序入口点。

参数1为二阶段载荷地址，参数2为0x1，参数3为C&C地址。

第二阶段载荷分析

申请空间并传入C2字符串，判断前面2个字节是否为0x8406。

二阶段执行后会创建一个线程，参数为C2。

代理设置Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; Win64; x64; Trident/7.0; .NET4.0C; .NET4.0E)。

访问请求地址http://www.stracarrara[.]org/public/photos/image/image.asp，获取数据。

CreateFile 打开文件c:\ProgramData\Alibaba\cfpconfg.out文件并读取。

判断是否有读取到文件，读取到文件跳转至http相关函数发送至C2，没有读取到文件则退出程序。

继续跟进可以发现后续请求格式。

3. 关联分析

本次Lazarus行动，关联至NukeSped家族，大多数加载NukeSped的恶意软件都会检查命令行参数，并且只有在给出预期参数时才继续执行恶意程序。这是该恶意软件家族加载程序中的一个常见特性。

本次伪造载荷加载由6个参数组成，与之前披露的参数数量是一致的，第二个参数固定为字符串S0RMM-50QQE-F65DN-DCPYN-5QEQA，第三个参数为C&C地址，第四个参数为本地上传路径。

当执行解密的内存有效载荷时，它会将传递的配置数据的标头与字符串“ 0x8406”进行比较，与之前披露的NukeSped特征相同。

后续请求格式与NukeSped字符串特征相同

解密算法与之前披露的NukeSped解密后阶段载荷相似，通过XOR解密，载荷从末尾开始的每个字节都移动至前一个字节。

在分析同目录样本过程中发现有利用服务启动Mimikatz解密的操作，服务名为PCAudit，推测解密后的数据为载荷参数中本地将要上传的文件，之前披露的NukeSped组件也存在利用Mimikatz解密的操作。