PyMICROPSIA：双尾蝎的新型信息窃取木马再度来袭

双尾蝎组织，长期针对中东地区的高级持续威胁组织，自2017年起开始进行有组织、有计划、有针对性的攻击，主要目标包括基础设施、国防、教育、政府、媒体、交通等关键领域。该组织活动频繁，涉及美国、韩国、巴勒斯坦、日本、瑞典、以色列等国家，利用Windows和Android双平台攻击武器，其Windows平台恶意代码丰富多样，包含多种语言编译的后门。近期，奇安信威胁情报中心红雨滴团队捕获到使用Python构建的攻击样本，被命名为PyMICROPSIA。

PyMICROPSIA具有丰富的信息窃取和控制功能，通过将各功能模块拆分，以便在攻击样本被曝光后及时更新，实现免杀效果。这种开发策略缩短了开发周期，易于利用，导致首次上传VirusTotal时，仅少数厂商能够查杀。双尾蝎组织的命名习惯依然存在，使用演员或编剧名字为变量命名，包括对C2以及一些变量的命名。在流程方面，PyMICROPSIA首先连接google.com进行网络联通性判断，只有在返回200状态码后才进行后续操作，以此规避一些沙箱，导致沙箱误判。该样本利用Python内置库和网上开源库实现远控功能，如使用mss库完成截图功能。新版本PyMICROPSIA使用AES算法加密所获取文件，并使用受害者电脑名、用户名及随机生成的10位字符与加密密钥的一部分拼接，疑似标记受害终端信息。新版本还删除了Outlook文件窃取、管道后门、窃取Chrome密码的模块。

PyMICROPSIA包含大量远控指令，遵循双尾蝎组织使用人名作为远控指令标识的习惯。其实现基于HTTP的C2协议，通过不同的URL路径和变量实现不同功能。下载的文件中，第一个为rar.exe，用于压缩收集的文件，第二个文件因未托管在C2上导致下载失败，第三个为SecureAssessmentManagerNetwork.exe，采用看似系统文件命名方式，需要传递有效参数才能成功执行，这有助于避免沙箱分析。该程序删除了键盘记录器功能，仅保留创建LNK文件实现持久化的功能。但令人不解的是，攻击程序名为ProperDataecutionPreve.exe，却创建了ModelsControllerLib.lnk文件。

在分析过程中，发现PyMICROPSIA中包含一句未改变的阿拉伯文字符串，可能与假旗行动相关。通过奇安信威胁情报平台查询解析IP为79.133.41.250，发现与之通信的样本与双尾蝎APT组织常用攻击手法一致。通过对样本恶意功能、URL路径结构、以及C2的关联性分析，有理由相信PyMICROPSIA为双尾蝎组织的新型信息窃取木马。

双尾蝎组织持续拓展新的攻击方法，武器库错综复杂。PyMICROPSIA使用Python编写，免杀效果较好，需引起警惕。奇安信红雨滴团队建议用户避免点击执行未知来源链接、邮件附件、运行标题夸张的未知文件，安装非正规途径来源的APP，及时备份重要文件，更新安装补丁。若需运行未知应用，可使用奇安信威胁情报文件深度分析平台进行判别。奇安信全线产品已支持此类攻击的精确检测。

MD5值：d96968934691fa9b1547eb98aaced472，30cb8229264315ffc07ac2796c9fbc9d，36e291abe37fff7868c5ca7d4105c86b。C2域名：wayne-lashley.com，jane-chapman.com。解析IP：79.133.41.250。参考链接：[1] ti.qianxin.com/apt/deta...，[2] unit42.paloaltonetworks.com...，[3] ti.qianxin.com/blog/art...
附表一：完整远控指令功能表（略）

您可能感兴趣问答

Collapsible

热门标签

热点问答