.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
ToddyCat是一個相對較新的複雜APT組織，卡巴斯基研究人員最早在2020年11月檢測到該組織的活動，當時該威脅組織正在對目標的Microsoft Exchange服務器進行一系列攻擊，去年的一篇文章曾描述過它。
之後，該組織於2020年12月開始活動，並對歐洲和亞洲的知名對象發動了多起攻擊。
在去年，我們發現了一組新的全新加載程序，並收集了有關其開發後活動的信息，這使我們能夠擴展對該組織的了解，並獲得有關攻擊者的TTP(戰術，技術和程序)的新信息。接下來，我們將描述他們的新工具集，用於竊取和洩露數據的惡意軟件，以及該組織用於橫向移動和進行間諜活動的技術。
工具集標準的加載器加載程序是64位庫，由rundll32.exe調用，或者用合法的和簽名的可執行文件進行側加載，這些組件在感染階段用於加載Ninja木馬作為第二階段。我們已經看到了這些新加載器的三種變體：
第一個變體的文件名為update.dll或x64.dll，通常使用合法的rundll32.exe Windows實用程序加載，大多數惡意代碼駐留在DllMain中，但下一個階段是通過導出的Start函數調用的，其他兩個變體應該與合法的VLC.exe媒體播放器一起加載，這被濫用來加載惡意庫。
加載程序通過從同一目錄中應該存在的另一個文件加載加密的有效負載來啟動其活動，然後使用異或對加載的數據進行解碼，其中異或項是使用一種不尋常的技術生成的。惡意軟件使用靜態種子（static seed）通過shuffle和add操作生成256字節的XOR_KEY塊。
使用另一個嵌入的64字節IDX塊作為索引再次對生成的XOR_KEY塊進行改組，以獲得特定的256字節XOR鍵，XOR密鑰用於解密文件內容，並將結果值加載到內存中。
Update A和VLC A在其進程地址空間中加載下一階段，解密的有效負載應該是一個庫，該庫導出具有特定名稱的函數：“Start”或“_”，具體要看變體。
變體VLC B創建一個新的wusa.exe (Windows Update Standalone Installer)進程，這是一個位於System32目錄下的合法Windows程序。然後，它將解密的有效負載注入遠程進程地址空間的地址空間，並使用CreateRemoteThread函數運行它。
定制的加載程序調查時，我們注意到在攻擊某些目標時，攻擊者用另一種變體替換了標準加載程序，我們稱之為定制加載程序，因為加密文件是為特定係統量身定制的。
該代碼與標準加載器變體VLC a類似，主要區別在於加密文件的位置和文件名（%CommonApplicationData%\Local\user.key
）以及用於獲取最終有效負載的解密方案。使用上面提到的相同算法，其中使用XOR_SEED生成256字節的XOR_KEY塊，然後使用另一個嵌入的64字節IDX塊將其混合，在混合兩個塊之前，惡意軟件會收集PhysicalDrive0的存儲屬性，從而獲得硬盤的型號。
用於獲取存儲屬性的代碼片段
並使用GetVolumeNameForVolumeMountPointA函數來檢索“C：\”卷GUID。
用於獲取卷GUID的代碼片段
這兩個值連續用作修改IDX塊的異或項。這種方法表明存儲在user.key的加密有效負載是為目標系統量身定制的。
據觀察，定制加載器用於保持長期持久性。用於實現此目標的技術與攻擊者的Samurai後門所使用的技術相同，後者允許攻擊者將惡意軟件隱藏在svchost.exe地址空間中。
在這種情況下，攻擊者創建以下註冊表項：
此註冊表項旨在強制合法的svchost.exe進程在系統啟動期間加載FontCacheSvc服務。進程的命令行看起來像這樣：
C：\Windows\system32\svchost.exe -k fontcsvc -s fontachesvc
攻擊者還創建一個新的服務，該服務被配置為加載定制的加載程序，該加載程序通常存儲在文件名apibridge.dll中。
Ninja由前面描述的組件加載的最後一個階段是Ninja代理。這是一種用c++編寫的複雜惡意軟件，可能是ToddyCat開發的未知利用後工具包的一部分。我們之前介紹過。
代理是一個提供各種功能的強大工具，包括但不限於：
運行進程的枚舉和管理；
文件系統管理；
管理多個反向shell會話；
向任意進程注入代碼；
在運行時加載附加模塊(可能是插件)；
代理功能，用於在C2和遠程主機之間轉發TCP數據包。
代理的最新版本支持與上一個報告中描述的相同的命令，但是配置不同。雖然以前的版本使用XOR項0xAA混淆了嵌入式配置，但新版本使用NOT二進制操作來實現相同的目的。
儘管配置中包含的信息保持不變，但互斥對象名稱已移到HTTP標頭之後。
LoFiSe
這是一個用於查找和收集目標系統上感興趣文件的組件。 LoFiSe這個名字來源於這個工具使用的互斥對象名稱(' MicrosoftLocalFileService ')，該工具本身是一個名為DsNcDiag.dll的DLL文件，使用DLL側加載技術啟動。使用軟件包“Pulse Secure Network Connect 8.3”中具有數字簽名和原始名稱為“nclauncher.exe”的合法可執行文件作為加載程序。以下路徑和文件名在被攻擊的系統上是已知的：
C：\ProgramFiles\WindowsMail\AcroRd64.exe
C：\ProgramFiles\WindowsMail\DsNcDiag.dll
C：\ProgramFiles\CommonFiles\VLCMedia\VLCMediaUP.exe
C：\ProgramFiles\CommonFiles\VLCMedia\DsNcDiag.dll啟動後，LoFiSe開始跟踪文件系統中的更改。系統中的所有驅動器都被監控。在收到文件創建或修改事件後，該工具執行幾次檢查。過濾大小大於6400000字節( 6mb)的文件。某些文件夾中的文件也會被過濾。這些都是在其完整路徑中包含ProgramData的文件，或者已經存儲在LoFiSe工作目錄中的文件。
以下是工具存儲文件的工作目錄，具體取決於版本：
C：\Programdata\Microsofts\
C：\windows\temp\在下一階段，根據以下掩碼檢查文件擴展名：
如果文件通過了所有的檢查並且適合收集，LoFiSe就會計算它的MD5哈希值，並用它來檢查以前複製的文件，並將此信息存儲在數據庫中。在該工具的所有已知版本中，數據庫文件稱為Date.db，並在工作目錄中創建。數據庫中添加了兩個表：
數據庫中的文件路徑
其他存儲數據
如果MD5文件不在表中，它將被添加到工作目錄中。
每隔三個小時，LoFiSe將工作目錄中的所有文件收集到一個有密碼保護的ZIP-archive中，並將其放入一個單獨的文件夾中以供進一步竊取：
準備收集數據時產生的日誌
DropBox上傳器這是一個通用的DropBox上傳器，任何人都可以使用它將數據上傳到流行的文件託管服務。這個工具可能不是todddycat唯一使用的，但我們觀察到該組織使用它來竊取被盜的文件，
這個小實用程序接受DropBox用戶訪問令牌作為參數。然後，它解析當前工作目錄並上傳具有以下擴展名的文件：
調查中，我們還發現了其他幾個類似的樣品，這些樣品由不同的包裝商保護，只在東南亞檢測到。然而，在某些示例中，該工具是在沒有明顯被ToddyCat感染的系統上發現的。
Pcexter這是另一個用於將存檔文件洩露到微軟OneDrive的上傳程序。該工具作為名為Vspmsg.dll的DLL文件傳播，該文件使用DLL側加載技術執行，作為加載器，該工具使用來自Visual Studio的合法可執行文件VSPerfCmd，該文件用於收集性能數據。這些可執行文件在受攻擊系統上的已知路徑如下：
c：\windows\temp\googledrivefs.exeC：\windows\temp\vspmsg.dll
c：\programfiles\windowsmail\securityhealthsystray64.exec：\programfiles\windowsmail\vspmsg.dll
c：\programfiles\commonfiles\vlcmedia\vlcmediastatus.exec：\programfiles\commonfiles\vlcmedia\vspmsg.dll這個工具需要以下參數：
啟動後，Pcexter等待事件“Global\SystemLocalPcexter”觸發，然後開始使用給定的掩碼在指定目錄中搜索文件。這是LoFiSe工具在創建要發送的存檔時設置的事件。
Pcexter使用OneDrive OAuth 2.0授權，檢索訪問令牌並通過POST方法發送文件：
其他工具被動UDP後門這是一個很小的被動後門，用UDP數據包接收命令，攻擊者通常在執行此後門之前通過任務遠程執行以下命令。
該命令在目標主機上創建一個名為SGAccessInboundRule的新防火牆規則。它允許後門在端口49683上接收UDP數據包。執行該命令後，攻擊者執行後門：
後門的邏輯很簡單：它將UDP套接字綁定到指定端口，解壓縮接收到的數據，並使用WinExec函數執行結果字符串。命令執行後，後門會返回一條包含當前系統時間和已執行命令的消息，以此反饋命令的執行情況。但是，後門程序不提供該命令的輸出。
這個後門的確切目的目前尚不清楚，但有可能是為了在檢測到其他植入程序時提供額外的持久性。
CobaltStrike在調查過程中，我們觀察到攻擊者在部署Ninja代理之前使用了CobaltStrike。具體來說，我們觀察到一個用c++編寫的加載器的使用，它位於：
C：\ProgramData\Microsoft\mf\windef.dll惡意軟件加載一個名為“BIN”的嵌入式資源。使用異或算法和嵌入在代碼中的密鑰：B0 9A E4 EA F7 BE B7 B0對資源內容進行反混淆。
由此產生的有效負載是CobaltStrike信標，配置為與以下URL通信：
hxxps：//www.githubdd.workers[.]dev/fam/mfe?restart=false攻擊開始大約10分鐘後，系統檢測到ToddyCat Ninja。
Post-exploitation調查發現，為了實現這一目標，攻擊者使用上面描述的加載程序和木馬等工具滲透企業網絡。之後，它就開始收集連接到同一網絡主機的信息，以查找可能具有感興趣文件的目標。
該組織執行發現活動，通過利用標準操作系統管理實用程序(如net和ping)枚舉域帳戶和DC服務器：
在確定潛在目標後，該組織通過使用受攻擊的域管理憑據在本地安裝網絡共享來橫向移動：
攻擊者註意隨著時間的推移輪換使用的憑據，相同的憑據不太可能長期使用。
複製腳本後，將創建一個計劃任務，執行並立即刪除網絡共享，所有這些都是針對每個目標主機循環進行的：
計劃任務通常可以包含單個發現命令、二進制調用或負責執行收集活動的PS1或BAT腳本。
在橫向移動期間，單命令計劃任務的輸出保存在特定的文件中，以便攻擊者將遠程驅動器掛載為本地共享時可以捕獲它：
在運行腳本的情況下，命令如下：然後，我們觀察到PS1腳本中發現的相同的PowerShell命令被包裝在BAT腳本中，這可能是為了避免被檢測到。
然而，有些文件夾似乎比其他文件夾更受歡迎：
攻擊者會對同一會話重用相同的任務名，這樣的名字通常會引起較少的懷疑，例如“one”和“tpcd”，而腳本名稱可以從兩個到四個隨機的鍵盤觀察字符變化，具有更高的熵。
在活動結束時，掛載一個臨時共享，然後在洩漏主機上刪除：
數據收集和洩露
如上所述，一旦確定了感興趣的目標，收集階段就開始了。攻擊者通常從許多不同的主機收集文件，並將它們存儲在檔案中，然後使用公共文件存儲服務從目標網絡中洩漏出來。
數據竊取方案
我們已經描述了一些工具，例如LoFiSe，專門用於識別和收集感興趣的文件，但是在調查過程中，我們還發現了ToddyCat使用的其他腳本，這些腳本使用WMI枚舉目標主機磁盤上的文件，並收集最近修改的具有.pdf,doc,docx,xls 和.xlsx擴展名的文檔。
在這些情況下，使用諸如7zip或RAR實用程序之類的工具執行壓縮，特定的工具可能是根據基礎設施中已經可用的工具來選擇的。與LoFiSe不同，集合腳本將枚舉文檔的路徑存儲在純文本TXT文件中。文檔壓縮可以直接在目標主機或洩漏主機上完成。
下面是在目標主機上運行的BAT腳本的內容：
在上面的示例中，文件被文件在一個tmp_文件夾中；我們還觀察到使用根據主機名參數化名稱的文件夾，例如：
要收集的文件也是根據它們最後的寫入時間來選擇的。文件的最後修改日期應該大於一定天數。這個數字通常作為腳本參數傳遞，並且可以硬編碼。
在主驅動器和輔助驅動器上選擇數據源時，收集腳本使用不同的策略。對於默認的Windows主驅動器，腳本遍歷用戶配置文件目錄(C：\Users)。這種方法增加了捕獲有價值數據的可能性，同時減少了所需的處理時間，並最大限度地減少了收集不需要文件的機會。在處理外部設備和其他非主存儲介質時，腳本會選擇一種更方便的策略，即選擇根目錄(\)。雖然主驅動器始終可用，但輔助驅動器可能並不總是可訪問，從而限制了收集機會。為了減少這一限制，攻擊者偶爾會擴展時間範圍，將輔助驅動器和可移動驅動器上的舊文件包括在其作用域中(如BAT代碼片段所示)。
以下是PS1腳本的結構：
攻擊者試圖通過保護腳本並將腳本代碼嵌入到PE “.text”部分中的特定釋放器來傳播它們以逃避防禦。
PowerShell腳本里面的可執行文件
滴管接收兩個參數；第一個是啟動執行時必須提供的密碼字符串，第二個是通過命令行實際傳輸到PS腳本的數字。啟動後，dropper創建一個名為pro.ps1的文件，並通過PowerShell執行它：