標題：Dark Pink APT組織針對東南亞以及歐洲地區的攻擊活動（一）

長期以來，亞太地區國家一直是高級持續性威脅(APT)的重災區。最近網絡安全公司Group-IB發現了一波針對東南亞以及歐洲地區的攻擊，目前暫將其命名為Dark Pink，截止發文還沒有分析出其背後的攻擊者，因此極有可能Dark Pink是一個全新的APT組織。為研究方便，本文就將其幕後組織稱為Dark Pink APT組織。

有證據表明，“Dark Pink”活動早在2021年年中就開始了，2022年中後期激增。目前已確認的受害者包括菲律賓和馬來西亞的兩個軍事機構，柬埔寨、印度尼西亞和波斯尼亞和黑塞哥維那的政府機構，以及越南的一個宗教組織。

攻擊者正在利用一套新的戰術、技術和程序，他們利用一個自定義工具包，包括TelePowerBot、KamiKakaBot、Cucky和Ctealer信息竊取器(所有名字都被稱為Group-IB)，旨在竊取政府和軍事組織網絡上的機密文件。特別值得注意的是，Dark Pink甚至有能力攻擊連接到受攻擊設備的USB設備，甚至訪問受攻擊設備上的即時通訊工具。此外，Dark Pink組織利用兩種核心技術，其中一種是DLL側加載和執行由文件類型關聯觸發的惡意內容（事件觸發執行：更改默認文件關聯）。

重要發現在2022年6月至12月期間，Dark Pink對某個目標發動了七次攻擊。

研究人員將Dark Pink的首次活動與攻擊者利用的Github賬戶聯繫在一起，首次攻擊發生在2022年6月。他們的活動在2022年的最後三個月達到頂峰，當時他們發動了四次攻擊。

Dark Pink的受害者分佈在五個亞太國家(越南、馬來西亞、印度尼西亞、柬埔寨、菲律賓)和一個歐洲國家(波黑)。攻擊對象包括軍事機構、政府和發展機構、宗教組織和一個非營利組織。

Dark Pink APT的主要目標是進行商業間諜活動，竊取文件，從受攻擊設備的麥克風中捕獲聲音，並從即時通訊工具中竊取數據。

Dark Pink最初的核心載體是針對魚叉式網絡釣魚郵件，攻擊者假扮成求職者。有證據表明，“Dark Pink”背後的組織掃描了發布空缺職位的網站，並偽裝成求職者發送了電子郵件。

幾乎所有工具都是定制，包括TelePowerBot和KamiKakaBot，以及Cucky和Ctealer竊取程序。整個調查過程中，我們只發現了一個公共工具：PowerSploit/Get-MicrophoneAudio。

Dark Pink APT使用了一種稱為事件觸發執行的罕見技術，通過更改默認文件關聯，以確保惡意TelePowerBot惡意軟件的啟動。這些特殊攻擊者利用的另一種技術是DLL側加載，他們用它來避免在初始訪問期間被發現。

攻擊者創建了一組PowerShell腳本，用於在受害者和攻擊者的基礎設施之間進行通信，其目的是橫向移動和網絡偵察。

受攻擊的基礎設施和Dark Pink背後的攻擊者之間的所有通信都基於Telegram API。

Dark PinkAPT組織實施的攻擊非常先進。他們利用複雜的自定義工具組合來攻破多個政府和軍事組織的防禦系統。首次發現是2022年6月在越南的一個宗教組織上註冊的攻擊。然而，在此之前，他們就一直很活躍，因為Group-IB研究人員發現了這些攻擊者使用的Github賬戶，其活動可以追溯到2021年年中。根據研究，由攻擊者初始化的惡意軟件可以發出命令，讓受攻擊的設備從這個特定的Github帳戶下載模塊。有趣的是，在迄今為止的整個活動期間，攻擊者似乎只使用了一個Github賬戶，這可能表明他們已經能夠在很長一段時間內不被發現。

上圖詳細顯示2021（上圖）和2022年（下圖）Dark Pink APT在Github賬戶上的活動

在2022年6月的攻擊之後，Group-IB研究人員無法將任何其他惡意活動歸因於Dark Pink。然而，這個APT組織在夏末突然活躍起來，當時Group-IB注意到2022年8月越南一家非營利組織遭受的攻擊具有6月攻擊的所有特徵。這樣，Group-IB就能夠將9月份的一次攻擊、10月份的兩次攻擊(一次成功，一次失敗)、11月份的兩次攻擊和12月份的一次攻擊統一在一起。 2022年12月8日，印度尼西亞政府組織就被攻擊了一次。

Dark Pink APT時間線和攻擊目標

攻擊鏈Dark Pink攻擊的複雜性體現在它執行了多個不同攻擊鏈。攻擊者能夠用幾種編程語言製作工具，這使他們在試圖破壞防禦基礎設施並在受害者的網絡上獲得持久性時提供了很大的靈活性。因此，我們將討論這些過程的不同步驟和階段，但需要注意的是，大部分攻擊都基於PowerShell腳本或命令，旨在啟動受攻擊網絡和攻擊者基礎設施之間的通信。

最初的訪問是通過成功的魚叉式網絡釣魚郵件實現的，這些信息包含一個短鏈接，引導受害者下載惡意ISO映像，在一個示例中，Group-IB發現該映像存儲在公共免費共享服務MediaFire上。一旦受害者下載了ISO映像，攻擊者就可以使用三個不同的攻擊鏈，我們將在下面詳細介紹。

首先引起我們注意的是，攻擊者和受害者設備之間的所有通信都是基於Telegram API的。由TelePowerBot和KamiKakaBot創建的自定義模塊旨在通過攻擊者控制的Telegram木馬讀取和執行命令。有趣的是，這些模塊是用不同的編程語言開發的。 TelePowerBot是用PowerShell腳本表示的，而KamiKakaBot則是在.NET上開發的，其中包含了竊取功能。自2021年9月以來，攻擊者一直使用相同的Telegram木馬程序。

此外，Dark Pink APT利用自定義Ctealer和Cucky從網絡瀏覽器中竊取受害者的憑據。

首次訪問Dark Pink的成功很大程度上要歸功於用於獲得初始訪問權限的魚叉式網絡釣魚郵件。在一個示例中，Group-IB能夠找到攻擊者發送的原始電子郵件。在這個示例中，攻擊者假扮成一名申請公關和傳播實習生職位的求職者。在郵件中，攻擊者提到他們在求職網站上發現了這個空缺，這可能表明攻擊者掃描了求職板，並使用這些信息創建了高度相關的釣魚電子郵件。

這些電子郵件包含一個鏈接到免費使用的文件共享網站的短URL，受害者可以從中選擇下載一個ISO映像，其中包含攻擊受害者網絡所需的所有文件。在調查過程中，研究人員發現攻擊者利用了幾個不同的ISO映像，我們還注意到這些ISO映像中包含的文件因情況而異。根據目前掌握的信息，我們堅信攻擊者會向每個受害者發送獨特的電子郵件，我們認為攻擊者可以通過電子郵件將惡意ISO鏡像作為直接附件發送給受害者。

Dark Pink APT發送的原始魚叉式釣魚郵件截圖，其中記錄了文件共享網站上ISO映像的存儲情況

魚叉式網絡釣魚郵件中發送的ISO映像包含不同數量的文件。目前，在攻擊者發送的所有ISO映像中發現了三種類型的文件：已簽名的可執行文件、非惡意的誘餌文檔(例如.doc、pdf或.jpg)和惡意DLL文件。鑑於這封電子郵件與一個職位空缺有關，我們可以假設受害者首先會尋找所謂的申請人的簡歷，簡歷通常以MS Word文檔的形式發送。然而，在Dark Pink攻擊中，攻擊者在ISO鏡像中包含一個模仿MS Word文件的.exe文件。該文件在文件名中包含“.doc”，並包含MS Word圖標，以此來迷惑受害者並認為該文件可以安全打開。

Group-IB發現一個ISO圖像中包含的五個文件的屏幕截圖。請注意，doc和.dll文件位於隱藏視圖中

如果受害者首先執行.exe文件，與.exe文件位於同一文件夾中的惡意DLL文件將自動運行。這是一種被稱為DLL側加載的攻擊者使用的技術。 DLL執行的主要功能是確保攻擊者的核心惡意軟件TelePowerBot獲得持久性。在文件執行完成之前，誘餌文件(如信件、簡歷)會顯示在受害者的屏幕上。

木馬執行和持久性目前Group-IB研究人員已完整了解了TelePowerBot或KamiKakaBot在受害者設備上啟動的過程。如上所述，包含這兩個惡意軟件之一的惡意DLL文件可以位於魚叉式網絡釣魚活動期間發送的ISO映像中。在Group-IB分析的一個案例中，攻擊者使用了一系列MS Office文檔並利用了模板注入(Template Injection)，即攻擊者在初始文檔中插入指向包含惡意宏代碼的模板文檔的鏈接。在Group-IB研究人員檢查的另外兩個案例中，Dark Pink背後的攻擊者通過DLL側加載技術啟動了他們的惡意軟件。總的來說，我們發現了攻擊者利用的三個不同的攻擊鏈，我們將在下面詳細介紹它們。

攻擊鏈1：全包式ISO攻擊鏈的第一個變體導致ISO映像通過魚叉式網絡釣魚郵件發送給受害者。此ISO映像包含一個惡意DLL文件，其中包含TelePowerDropper(名稱是Group-IB定義的)。此DLL文件的主要目標是在受攻擊設備的註冊表中獲得TelePowerBot的持久性。在某些情況下，DLL文件還可以啟動攻擊者的專有竊取程序，它會解析來自受害者設備上瀏覽器的數據，並將其存儲在本地文件夾中。在初始訪問期間，攻擊者可以啟動任何類型的竊取程序。 Dark Pink可以在攻擊的所有階段發送特殊命令來下載和啟動竊取程序。

攻擊鏈1的完整示意圖

需要注意的是，在此階段DLL文件已打包。當文件啟動時，它對自己進行解密，並將控制權傳遞給自己的解壓縮版本。此外，一旦DLL文件啟動，就會創建一個互斥鎖。其中一個例子是gwgXSznM-Jz92k33A-uRcCCksA-9XAU93r5。完成此步驟後，啟動TelePowerBot的命令將添加到自動運行中。這意味著每次用戶登錄系統時，TelePowerBot都會被啟動。這可以通過通過路徑HKCU\Environment\UserInitMprLogonScript創建註冊表項來實現。新建的密鑰值如下:

上面的代碼顯示，該命令啟動了一個標準實用程序whoami，它顯示有關該設備當前用戶的信息。輸出被重定向到文件並完成執行。

此時還不知道TelePowerBot如何開始，答案的關鍵是文件擴展名.abcd。簡而言之，攻擊者使用此擴展名創建一個文件，作為名為“事件觸發執行：更改默認文件關聯”的技術的一部分。其思想是添加一個處理程序來處理註冊表項樹中無法識別的文件擴展名。這在下面的截圖中有詳細說明。

創建擴展名為.abcd的文件時運行的詳細命令截圖

上面的屏幕截圖詳細介紹了在創建具有特定擴展名.abcd的文件時觸發的PowerShell命令的一部分。 PowerShell命令存儲在base64視圖中，並且高度模糊。這些命令的結果相對簡單：讀取註冊表項、解密並啟動TelePowerBot。

攻擊鏈2：Github宏攻擊鏈的第二個變異與前一個幾乎完全相同。唯一不同的是初始階段使用的文件。在我們的分析過程中，我們發現攻擊者使用命令在打開初始ISO文件中包含的.doc時自動從Github下載包含TelePowerBot的惡意模板文檔。寫入此模板文檔的宏代碼可以確保惡意軟件的持久性。

攻擊鏈2的完整示意圖

在本例中，發送給受害者的ISO映像包含一個MS Word文檔，導致從Github自動下載包含TelePowerBot的惡意模板文檔。為了在初始訪問期間避開檢測，宏代碼被寫入模板文檔。這種技術被稱為模板注入。宏包含多個帶有字段的表單，在執行過程中，這些表單字段的值將被讀取並作為註冊表項中的值建立。

這個技巧可以幫助惡意軟件躲避檢測，因為文檔本身不包含任何惡意功能或代碼。編碼的文檔包含帶有幾個參數的表單，這些文件中包含的宏可以讀取這些值，並確保TelePowerBot在受害者的設備上具有持久性。

截圖詳細顯示了兩個包含預定義密鑰和值的表單，這些密鑰和值是由惡意宏代碼寫入到註冊表中發送給受害者的MS Word文件中。

攻擊鏈3：X(ML)標記點我們將詳細介紹的第三種也是最後一種攻擊鏈變體是Group-IB分析的最近一次Dark Pink攻擊中使用的一個，在2022年12月8日，攻擊者破壞了印度尼西亞政府機構的網絡。通過魚叉式網絡釣魚電子郵件發送給受害者的ISO映像包含誘餌文檔、已簽名的合法MS Word文件和名為KamiKakaDropper的惡意DLL。此攻擊載體的主要目標是在受攻擊的設備上持久化KamiKakaBot。在這個攻擊鏈中，XML文件位於加密視圖中誘餌文檔的末尾。與攻擊鏈1一樣，惡意DLL文件是由DLL側加載技術啟動的。一旦DLL文件啟動，啟動下一階段攻擊鏈的XML文件將從誘餌文檔中解密並保存在受攻擊的設備中。

攻擊鏈3的完整示意圖

XML文件包含MSBuild項目，該項目包含執行.NET代碼的任務。要了解有關此過程如何工作的詳細信息，請參閱以下Microsoft文檔。 NET代碼的邏輯很簡單：啟動KamiKakaBot，它本身位於XML文件（以base64格式打包和編碼）中。打開此文件後，控制權將傳遞給KamiKakaBot。

解包並啟動KakaKamiBot的XML文件內的代碼片段

XML文件的路徑在啟動MSBuild時作為參數傳遞。運行MSBuild的命令位於註冊表項(HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell)中，該註冊表項是在DLL文件執行期間創建的。完成此步驟後，每當用戶登錄到系統時，MSBuild將運行。此外，DLL創建一個可重複的任務，將受害者從系統中註銷。