事件背景
ScarCruft是Kaspersky于2016年披露的东亚地区APT组织,该组织擅长在攻击活动中使用0-day漏洞、图片隐写术以及合法云服务等。
2023年8月24日,日本政府将经过处理的福岛核废水排入太平洋,这项决定引发国际社会的广泛关注和争议。该核废水总量超过100万吨,曾经受到放射性核素污染,福岛第一核电站在日本政府批准和国际原子能机构监督下,将核污染水过滤和稀释后逐步排入海洋,预计整个排海计划为期至少30年。
近期,安恒猎影实验室再次捕获ScarCruft利用福岛核废水排放话题针对韩国用户的CHM攻击样本,攻击手法在我们上周发布的报告《ScarCruft针对韩国金融、高校下发Chinotto后门的攻击活动分析》中有详细的介绍。
此次,ScarCruft依然以CHM文件执行远程代码的方式进行钓鱼邮件攻击,后续下发Chinotto后门,后门主要功能依旧为窃取本机文件上传,对比上个版本新增了计划任务创建功能以及文件删除功能,具有更好的持久化驻留以及入侵痕迹清除能力。
攻击分析
本次捕获到的初始文件上传自韩国,文件名为Fukushima.rar(福岛),该RAR文件中包含同名CHM文件。
CHM文件运行后,将执行远程代码hxxp://navercorp.ru/dashboard/image/202302/4.html
同时释放诱饵文件内容以迷惑目标用户,诱饵内容主要描述了日本福岛核污水排海后,韩国没有发生大规模消费者抵制日货的行动,其中日本啤酒的销量反而在一周内同比增长了35%。
远程代码依然是通过powershell.exe执行Chinotto后门
本次捕获到的Chinotto后门与此前披露的后门指令更新如下:
该后门的主要功能依旧为窃取本机文件上传,近期更新的版本种新增了创建计划任务功能,以加强其持久化驻留的能力,以及文件删除功能,以清除后门植入留下的痕迹。
防范建议
猎影实验室提醒广大用户朋友,不运行未知来源的邮件附件。如有需要鉴别的未知来源样本,可以投递至安恒云沙箱查看判别结果后再进行后续操作。猎影实验室将持续对全球APT组织进行持续跟踪,专注发现并披露各类威胁事件。
目前安全数据部已具备相关威胁检测能力,对应产品已完成IoC情报的集成。针对该事件中的最新IoC情报,以下产品的版本可自动完成更新,若无法自动更新则请联系技术人员手动更新:
1. AiLPHA分析平台V5.0.0及以上版本
2. AiNTA设备V1.2.2及以上版本
3. AXDR平台V2.0.3及以上版本
4. APT设备V2.0.67及以上版本
5. EDR产品V2.0.17及以上版本
IOC
a8c06b1f34c430358a2db30988066def
9e6a2914a35256dd450db549fb975f45
hxxp://navercorp.ru/dashboard/image/202302/4.html
hxxp://navercorp.ru/dashboard/image/202302/com.php?U=
转载来源:https://starmap.dbappsecurity.com.cn/blog/articles/2023/09/06/scarcruft-fukushima/
图片来源网络侵权可联系删除