.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
偵察和橫向移動只要受害者組織網絡中的一台設備被攻擊，Dark Pink的下一個目標是收集盡可能多的關於受害者網絡基礎設施的信息。研究人員發現攻擊者對以下內容感興趣：
來自標準實用程序的信息，例如標準實用程序systeminfo的輸出；
來自網絡瀏覽器的信息；
安裝軟件，包括防病毒解決方案；
有關連接的USB設備和網絡共享的信息；
攻擊者還收集了可用於寫入的網絡和USB驅動器列表，然後將這些驅動器用於橫向移動。接下來，攻擊會看到用啟動TelePowerDropper的命令創建一個LNK文件(Windows快捷方式)，而不是原始文件。在這個階段，受害者是看不見原始文件的。
攻擊者如何在USB設備上進行橫向移動？首先攻擊者註冊一個新的WMI事件處理程序。從現在開始，每次將USB設備插入受感染的設備時，都會執行一個特定的操作，看到TeleBotDropper下載並存儲在USB設備。讓我們更深入地分析一下這個過程。
1.受害者將USB設備插入受攻擊設備；
2.WMI事件被觸發，並導致從攻擊者的Github帳戶自動下載. zip壓縮文件。這個壓縮文件中有三個文件：Dism.exe,Dism.sys和Dismcore.dll。第一個文件是具有有效數字簽名的合法文件。 DLL文件的功能是從文件Dism.sys中解壓縮原始可執行文件。
3.壓縮文件被解壓縮到%tmp%文件夾，然後將這些文件複製到USB設備，並在其中創建一個名為“dism”的新文件夾。文件夾屬性更改為隱藏和系統；
4.創建一個名為system.bat的文件，其中包含啟動Dism.exe的命令；
5.最後，創建的LNK文件數量與USB驅動器上的文件夾數量相同。原始文件夾的屬性將更改為隱藏和系統。使用命令創建LNK文件，打開explorer.exe中的隱藏文件夾並啟動system.bat。
之後，用戶將看到與USB設備上找到的文件夾同名的LNK文件。一旦用戶打開此惡意LNK文件，TeleBotDropper將通過DLL側加載技術啟動（TeleBotDroper的功能已在上一節中顯示）。結果，讀取註冊表項、解密和啟動TelePowerBot的命令被傳輸到新設備。必須記住，如果USB設備上只有一個文件夾，則此解決方案有效。這就是為什麼我們觀察到不同的實現，例如，在USB設備上創建LNK文件而不是.pdf文件（不僅僅是文件夾）。附錄B中提供了更詳細的工作原理示例，在原始文件的位置創建LNK文件的機制也用於網絡共享。
數據洩露與許多其他類似攻擊一樣，攻擊者通過ZIP壓縮文件洩露數據。在Dark Pink攻擊期間，所有要發送給攻擊者的數據(來自公共網絡共享的文件列表、web瀏覽器數據、文檔等)都堆疊在$env:tmp\backuplog文件夾中。但是，收集和發送過程彼此獨立運行。當受攻擊的設備發出下載$env:tmp\backuplog文件夾的命令時，文件列表將被複製到$env:tmp\backuplog文件夾中，添加到壓縮文件並發送到攻擊者的Telegram木馬。在此步驟完成後，$env:tmp\ backuplo1目錄將被刪除。
攻擊者還可以利用他們自定義的竊取程序Cucky和Ctealer從受攻擊的設備中提取數據。這兩個竊取程序的功能是一樣的。它們可以用來從網絡瀏覽器中提取密碼、歷史記錄、登錄名和cookie等數據。竊取程序本身不需要任何互聯網連接，因為他們將執行結果(被盜數據)保存到文件中。通過惡意軟件發出的命令，可以從攻擊者的Github帳戶自動下載這兩種竊取程序。用於啟動Cucky的腳本示例見附錄C。
總的來說，Group-IB研究人員發現，Dark Pink通過三個不同的途徑洩露文件。第一種途徑是攻擊者使用Telegram接收文件。當設備被攻擊時，惡意軟件會收集特定文件夾中的信息，並通過一個特殊命令通過Telegram發送。通過擴展，發送給攻擊者的文件是:doc，docx, xls，xlsx，ppt，pptx，pdf，執行此過程的腳本示例可以在附錄D中找到。
除了Telegram, Group-IB還發現了攻擊者通過Dropbox竊取文件的證據。這種方法與通過Telegram進行竊取的方法略有不同，因為它涉及一系列PowerShell腳本，通過使用硬編碼令牌執行HTTP請求，將文件從特定文件夾傳輸到Dropbox帳戶。
Group-IB還發現了一次特別的攻擊，儘管該設備是由攻擊者控制的Telegram方式通過Telegram木馬發出的命令控制的，但一些有趣的文件是通過電子郵件發送的。該命令的示例如下所示。
數據洩露過程中使用的郵件列表如下所示：
在這一階段，Group-IB研究人員認為，選擇的洩露方法取決於受害者網絡基礎設施中設置的潛在限制。
逃避技術在他們的攻擊過程中，攻擊者使用了一種已知的技術來繞過用戶帳戶控制(UAC)來更改Windows Defender中的設置。他們通過提升COM接口來做到這一點。所使用的方法並不是唯一的，在不同的編程語言中發現了不同的實現。
允許繞過UAC的反編譯可執行文件截圖
設置由一個特殊的PowerShell腳本更改，該腳本作為命令接收，並在.NET應用程序中實現。該命令以可執行文件(在base64視圖中)的形式出現，在攻擊時自動從Github下載。可執行文件不會獲得持久性，也不會保存在受攻擊的系統上。可執行文件不會持久存在，也不會保存到受攻擊的系統中。下載和啟動的示例如下所示。
修改Windows Defender設置的PowerShell命令作為參數傳遞，如下所示：
PowerShell命令將使用.NET應用程序作為權限升級工具來執行
工具CuckyCucky是在.NET上開發的一個簡單的自定義竊取程序。在調查過程中發現了各種各樣的樣本。分析最多的版本是由Confuser打包的。它不與網絡通信，收集的信息保存在文件夾%TEMP%\backuplog中。 Cucky能夠從目標網絡瀏覽器中提取密碼、歷史記錄、登錄名和cookie等數據。雖然我們沒有任何與使用被盜數據相關的信息，但我們認為它可以用於訪問電子郵件web客戶端，根據web歷史進行額外的基礎設施偵察，編制組織員工列表，傳播惡意附件，並評估目標設備是真實的還是虛擬的。
Cucky具有從以下瀏覽器竊取數據的功能：
Chrome, MS Edge, CocCoc, Chromium, Brave, Atom, Uran, Sputnik, Slimjet, Epic Privacy, Amigo, Vivaldy, komita, Comodo, Nichrome, Maxthon, Comodo Dragon, Avast瀏覽器，Yandex瀏覽器。
反編譯的Cucky 竊取程序的截圖
找到的示例包含以下調試信息的路徑：
CtealerCtealer是Cucky的模擬版本，但是在C/c++上開發的。 TelePowerDropper或攻擊者發出的特殊命令可用於部署Ctealer。工作過程也非常類似於Cucky，因為它還將收集的文件保存到%TEMP%\backuplog文件夾。 Ctealer可以從以下web瀏覽器獲取信息：
Chrome, Chromium, MS Edge, Brave, Epic Privacy, Amigo, Vivaldi, Orbitum, Atom, komita, Dragon, Torch, Comodo, Slimjet, 360瀏覽器，Maxthon, K-Melon, Sputnik, nicchrorome, CocCoc, Uran, Chromodo, Yandex瀏覽器。
找到的示例包含以下調試信息的路徑：
TelePowerBot正如我們已經註意到的，每次受攻擊設備的用戶登錄系統時，TelePowerBot都會被啟動。當這種情況發生時，將啟動一個特殊的腳本。腳本讀取另一個regkey的值(例如HKCU\SOFTWARE\Classes\abcdfile\shell\abcd)，開始解密並啟動TelePowerBot。加密基於xor，其中密鑰是0到256之間的數組號。在解密之前，原始有效負載將從base64解碼。去模糊化的命令示例如下：
解密階段不是最終階段，這是一個中間階段，也是基於PowerShell的，並且是高度模糊的。在這個階段，最終腳本已經存儲在階段中，但是它被分割成塊。由此，創建一個base64字符串，解碼後，我們將得到一個ZIP流。最後，TelePowerBot在解壓縮後啟動。
該工具可以與Telegram通道通信，以接收來自攻擊者的新任務。木馬可以與各種受攻擊的設備通信，木馬每60秒檢查一次新命令。在執行過程中，木馬使用兩個註冊表項：HKCU\Environment\Update和HKCU\Environment\guid。第一個存儲最後一個消息id，該消息id由Telegram木馬處理(來自Telegram的參數update_id)。第二個密鑰存儲受攻擊設備的唯一標識。它是在木馬第一次啟動時由命令[guid]:NewGuid()生成的。註冊後，攻擊者就會獲得有關受攻擊設備的各種信息，如ip、guid、設備名稱。 IP地址也通過獲取請求來確定https://ifconfig.me/ip，這些進程也是基於PowerShell命令的，我們將在後面的報告中更深入地討論這些命令。木馬的實施如附錄A所示。
該模塊的一些變體包含用於確保橫向移動的附加功能。所有其他功能都是一樣的。在Group-IB進行分析的情況下，Telegram參數可以硬編碼在腳本中，也可以從註冊表項中讀取。
KamiKakaBotKamiKakaBot是TelePowerBot的. net版本，我們發現它們之間幾乎沒有區別。在讀取命令之前，KamiKakaBot能夠從Chrome, MS Edge和Firefox瀏覽器中竊取。它能夠更新自己，一旦它接收到命令，它可以將參數傳遞給cmd.exe進程。
詳細說明包含KamiKakaBot的反編譯可執行文件的屏幕截圖
PowerSploit/Get-MicrophoneAudio如上所述，Dark Pink背後的攻擊者幾乎只利用定制工具。然而，為了記錄來自受感染設備的麥克風音頻，他們轉向了公開可用的PowerSploit模塊-Get-MicrophoneAudio。這是通過從Github下載加載到受害者的設備上的。 Group-IB研究人員發現，當攻擊者試圖啟動該模塊時，受害者設備上的防病毒軟件會阻止這一進程。我們發現攻擊者試圖混淆原始的PowerSploit模塊，使其無法被檢測到，但這些都沒有成功。結果，攻擊者返回繪圖板並添加了一個腳本(如下所示)，該腳本能夠成功地在受攻擊的設備上錄製麥克風音頻。
這個簡單的腳本啟動了一個後台任務，它會觸發一個標準實用程序PSR，以每分鐘捕獲一次聲音。錄製的音頻文件將保存在位於臨時文件夾(%TEMP%\record)的ZIP壓縮文件中。文件的命名模板如下:“yyyyMMddHHmmss”。然後，這些音頻文件被一個單獨的腳本洩露，該腳本將它們(作為ZIP壓縮文件)發送給攻擊者的Telegram木馬。
ZMsg(即時通訊工具信息洩露)攻擊者還對從受攻擊設備上的即時通訊工具中竊取數據感興趣。為此，它們能夠執行命令來識別主要的即時通訊工具，如Viber、Telegram和Zalo。在Viber的示例中，這些命令允許攻擊者竊取受攻擊設備上的%APPDATA%\Viberpc文件夾，從而允許他們訪問受害者的消息和聯繫人列表。我們仍在努力評估攻擊者能夠從受攻擊設備上的Telegram賬戶中獲取什麼信息，但Zalo的示例卻非常獨特。
如果受害者的設備上存在Zalo即時通訊工具，攻擊者可以啟動命令從Github下載一個特殊的實用程序(Group-IB稱為ZMsg)。這個實用程序是一個基於FlaUI庫的.NET應用程序，它允許組織在Zalo平台上竊取受害者的消息。 FlaUI是一個幫助Windows應用程序自動UI測試的庫，入口點通常是應用程序或桌面，以生成自動化元素。通過這種方式，可以分析子元素並與其交互。
ZMsg迭代Windows應用程序中的元素，以發現具有特定名稱的元素。例如，帶有消息的元素的名稱為“messageView”。所有收集的信息存儲在%TEMP%\KoVosRLvmU\文件夾中，文件擴展名為.dat和.bin。文件名創建為編碼的十六進製字符串，並根據以下模板生成：
%PERSON_NAME%_%DAY%_%MONTH%_%YEAR%
命令攻擊者通過指定ip、設備名或botid向受攻擊的設備發出命令，還可以同時向所有受感染的設備發出任務。在檢查過程中，我們注意到幾種不同的命令。其中一些命令的功能是重疊的，但它們都基於PowerShell命令。例如，TelePowerBot可以執行一個簡單的標準控制台工具，比如whoami，或者一個複雜的PowerShell腳本。
在攻擊期間，攻擊者執行幾個標準命令(例如net share、Get-SmbShare)來確定哪些網絡資源連接到受攻擊的設備。如果發現網絡磁盤的使用情況，他們將開始探索這個磁盤，以找到他們可能感興趣的文件，並可能對其進行竊取。在上一節中，我們注意到Dark Pink攻擊者如何進行橫向移動。在此活動中，攻擊者還可以攻擊連接到受攻擊設備的USB設備上的文件。下面的腳本詳細說明了攻擊者如何編譯網絡共享和連接到設備的可移動設備的列表。
攻擊者還可以發出命令，截取受攻擊設備的桌面截圖，並將這些截圖保存在%TEMP%目錄中。然後通過發出下面的命令來下載圖像。
總結Dark Pink的活動再次證明了魚叉式網絡釣魚活動給組織帶來的巨大危險，因為即使是高度先進的攻擊者也使用這種載體來訪問網絡。