1.概述

“暗象”組織（DarkElephant Group）是一個疑似來自印度的APT攻擊組織，其主要針對印度境內的社會活動人士、社會團體和在野政黨等，同時也會竊取印度周邊國家如中國和巴基斯坦等的軍事政治目標的重要情報�！鞍迪蟆苯M織的主要攻擊手段是使用谷歌/雅虎郵箱或者利用盜取的郵箱，向對方發(fā)送極具迷惑性的魚叉郵件，誘騙對方運行具備多種免殺技巧、包含成熟商用遠控木馬載荷。至少自2012年以來，該組織針對印度境內的目標，以及包括中國在內的印度周邊的目標，發(fā)動了長達十年的網(wǎng)絡攻擊活動。因為該黑客組織在構陷其境內目標時手段十分暗黑（Bhima Koregaon案件中誣陷社會活動人士的執(zhí)行者），以及結合其組織層面的面貌暗藏十年有逾而鮮有曝光的情況，安天CERT將該組織命名為“暗象”。本文參考了國際其他安全團隊的研究成果[1][2]，并補充“暗象”組織針對我國重要單位的網(wǎng)絡攻擊活動，最后通過溯源分析指出該組織背后的運營人員可能位于東5.5時區(qū)（印度國家標準時間）。

2.攻擊組織分析

“暗象”組織的整體特點可總結如下：

表2-1 “暗象”組織特點總結

      在觀察到的大多攻擊案例中，攻擊者都喜好使用谷歌和雅虎郵箱偽裝成收信人的好友或社會知名人士、知名機構，誘導內容緊隨時事熱點或與對方的工作方向密切相關，攻擊者特別對于印度本土活動的社會活動家、社會團體以及印共等黨派的活躍人士表現(xiàn)出強烈而長久的滲透入侵、信息獲取興趣，對于特別重要的個人目標能實施長達多年跨越多種系統(tǒng)平臺的監(jiān)控活動，而對于印度境外的別國軍事政治目標，攻擊者主要是以竊密和潛伏為主要目的。

圖 2‑1樣本文件談及印度境內相關組織制作定時**

      經(jīng)過關聯(lián)并結合已公開的數(shù)據(jù)，我們統(tǒng)計出“暗象”組織典型的攻擊樣本如下：

表2-2 “暗象”組織典型樣本

      在以上樣本中，攻擊者采用過不同的C2運營技巧。最早在2012年時，“暗象”組織的擊鍵記錄器會將竊密數(shù)據(jù)發(fā)往硬編碼的郵箱賬號。在之后采用各種商業(yè)木馬竊密時，先是注冊免費的動態(tài)域名如：*.ddns.net和*.zapto.org等，到2020年以后開始自行注冊命名上具有迷惑性的C2域名。

      除了在網(wǎng)絡基礎設施的搭建運營上表現(xiàn)出一定的低廉性，在所有觀察到的攻擊樣例里，也沒有發(fā)現(xiàn)任何攻擊者自身設計研發(fā)的竊密程序，大多是直接使用成熟的商用遠控工具如NetWire、DarkComet、ParallaxRAT等，猜測此能力狀況主要是適應其主要業(yè)務：應對集中在印度境內的處境窘迫、缺乏網(wǎng)絡安全防范意識和手段的社會活動人士，事實上，當攻擊者嘗試以此手段攻擊我國境內目標時可能就很容易被察覺和阻斷。

3.針對我國的竊密事件

3.1攻擊流程分析

2020年10月13日，國內某重要單位信箱收到一份可疑的電子郵件，發(fā)件人使用Gmail郵箱且不在該單位的通訊錄內，郵件主題為“關于丟失帶有敏感文件的外交包的信”，并在正文中提供了一條可供下載可疑文件的網(wǎng)盤鏈接。

      該鏈接為國外某網(wǎng)盤的分享鏈接，點擊可下載得到一份ZIP壓縮包，名為“Letter regarding loss of Diplomatic Bag with Sensitive Documents.zip”，包內存有一份包含惡意代碼的自解壓誘餌“Letter regarding loss of Diplomatic Bag with Sensitive Documents.exe”：

圖 3‑1 ZIP壓縮包的內容

表 3‑1自解壓誘餌

      該自解壓誘餌同時被多個數(shù)字證書簽名，文件內容包含：4個木馬程序（Pollard.exe、Sexton.exe、Beltran.exe和Wilcox.exe），加載器Nevaeh.exe及其配置文件Nevaeh.cfg，功能腳本Meredith.vbs：

以及1個運行后展示給受害者的掩飾文檔：DiplomaticBag.pdf

當自解壓誘餌被執(zhí)行后，會先運行加載器Nevaeh.exe，加載器調用其配置文件Nevaeh.cfg后運行功能腳本Meredith.vbs，Meredith.vbs負責運行4個木馬程序（Pollard.exe、Sexton.exe、Beltran.exe和Wilcox.exe），4個木馬程序會解密遠控木馬的載荷，最后將載荷注入系統(tǒng)的白進程的內存中運行。梳理整體的流程如下圖：

3.2 加載器分析

加載器Nevaeh.exe實際為知名的自動運行工具AdvanceRun，攻擊者此處通過配置文件Nevaeh.cfg傳輸參數(shù)，實現(xiàn)在系統(tǒng)的臨時目錄中靜默執(zhí)行功能腳本Meredith.vbs：

3.3 功能腳本分析

Meredith.vbs腳本的代碼夾雜有大量注釋，梳理出的主要功能有如下：

a) 展示掩飾文檔DiplomaticBag.pdf，迷惑受害者：

3.4 木馬程序分析

四個木馬程序（Pollard.exe、Sexton.exe、Beltran.exe和Wilcox.exe）都會隨計劃任務而定時啟動，啟動后運行各自對應的四個系統(tǒng)白程序，同時在內存中解密出同一shellcode， shellcode負責將自身包含的一段PE數(shù)據(jù)（ParallaxRAT遠控木馬）注入對應的白進程中。其中，Beltran.exe負責操作rundll32.exe進程，Pollard.exe操作svchost.exe進程，Sexton.exe操作dllhost.exe進程， Wilcox.exe操作notepad.exe進程。

      梳理出的白進程調用和注入流程關系如下：

注入白進程的PE數(shù)據(jù)屬于Parallax RAT遠控木馬，在內存中運行時會嘗試連接域名asianmedics.today，解析到的IP為23.160.208.250，端口號為8647。Parallax RAT屬于公開的商業(yè)遠控，具備文件管理、擊鍵記錄、遠程桌面、密碼竊取、命令執(zhí)行、進程管理、上傳和執(zhí)行等能力，功能運行都成熟穩(wěn)定，足以支持常規(guī)的竊密操作。

3.5 對抗手段分析

上述四個木馬程序皆具備以下三種對抗分析的能力：

a) 擁有數(shù)字簽名：形成一定的免殺能力，迷惑取證分析時的人工判斷，且基本每次行動都會更換簽名。