自2016年以来，Quick Heal Labs一直在跟踪此网络间谍活动。我们已将这种攻击确定为操作 m_project。在过去的一年中，我们看到了这些APT活动的激增。多年来，攻击者的作案手法一直保持不变。攻击者发送带有恶意Office文档的鱼叉式网络钓鱼电子邮件，该电子邮件利用Office漏洞或使用VBA宏-成功利用后，进一步导致下载基于MSIL的RAT。该RAT执行数据窃取活动，并将其发送到C2服务器。
在最近的广告活动中，我们发现了两个不同的变体，如下所示：
变体1：
在观察到的文件文件中，可以看出攻击者使用军事事件“第72届印度陆军日”作为诱饵，要求接收者打开链接进行培训和其他详细信息。
一旦受害者单击该链接，它将下载并打开另一个doc或Xls文件，其中包含实际的恶意宏代码。
包含宏代码的文件将对字符串进行解码，并将其作为PK（zip存档）文件写入计算机。宏代码定义提取PK（zip）文件的位置，并在确定操作系统的版本后将其提取，然后执行PE文件。
有效负载是.NET程序集，它是Crimson Rat家族的文件，在执行后与攻击者控制的CnC服务器建立连接。
一旦受害者主机连接到CnC服务器，它将向受害者计算机发送命令以获取OS信息以及用户信息。这也意味着，如果CnC处于关闭状态，则有效负载将不会执行任何操作。
我们观察到有几个模块执行不同的功能，例如对当前计算机进行屏幕截图，提取所有重要数据，邮件数据，将文件发送到CnC服务器等。有趣的是，某些模块还可以从受害者的服务器中删除文件（s）。
以下是CnC命令通讯-
形式2：
我们观察到 透明 它使用不同的技术来执行后门的部落。诱饵文件的内容用于引诱一些政府雇员。诱饵文件在本活动中的使用如下：
对手使用相关数据来诱骗用户打开文档并执行宏代码。启用宏后，恶意活动开始。首先，它将一个zip文件以及一个VBS脚本和一个CS文件放入“％programdata％\ systemidlepref”位置。与以前的变体不同，在该变体中，宏代码本身负责在磁盘上拖放单个zip组件，而在该变体中，.vbs代码用于将文件提取到磁盘中。在执行windproc.scr后，它将调用从Realtime.cs文件编译的Realtime.scr文件。 Realtime.scr文件的主要目的是从CnC服务器下载最终的有效负载。下载的文件名为x64.scr，这是另一个.NET文件。
X64.scr会将一个与文件夹名称“ SppExtComTel.scr”相同名称的组件放入％programdata％\ SppExtComTel文件夹中。 .LNK文件也位于启动位置的“ SppExtComTel”中，以永久保留在系统中。
当执行执行实际恶意活动的SppExtComTel.scr时，它将开始收集系统信息，例如运行过程信息，以及将其PID发送到CnC服务器的PID。
最初，它会检查“ rundll32.exe”是否存在于“ C：\ Windows \ system32”位置。如果存在，它将进入第一个无限while循环，当“ whatcostus（）”函数返回某些值时终止。
以下是“ whatcostus（）”的代码
它枚举正在运行的进程信息，如进程名称，进程ID，MainWindowTitle，并存储在本地数组中。使用“ HTTP POST”方法将收集到的信息发送到CnC服务器。
包含URL信息的变量地址在执行时被清除。
hxxp：// awsyscloud [。] com // E @ t！aBbU0le8hiInks / cred！tors [。] php
将数据发送到服务器后，它将以控制字（仅当请求有效时）做出响应，该控制字可以分配给 文本 变量以终止无限while循环。如果响应为NULL，则while循环将再次根据whatcostus（）继续执行。
以后，根据对代码的分析，它可能会下载另一个文件并执行该文件以进行进一步的活动。
斜切ATT&CK Coverage:
跟随ATT&在APT透明部落中观察到的CK技术。
| 初始访问 | 执行 | 坚持不懈 | 防御规避 | 发现 | 采集 | 命令与控制 | 渗出 |
| 鱼叉式附件 | 命令行界面 | 注册表运行键/启动文件夹 | 交付后编译 | 流程发现 | 屏幕截图 | 自定义命令和控制协议 | 通过命令和控制通道渗透 |
| 鱼叉式链接 | 通过模块加载执行 | 脚本编写 | 查询注册表 | 远程文件复制 | |||
| 脚本编写 | 安全软件发现 |
附件名称：
- dhcp提供列表的csoi
- 1562850317-circular1.xls
- 特别优惠.doc
- 陆军军官标准.doc
- 7-All-Selected-list.xls
- 为所有国防人员提供咨询.doc
国际奥委会’s:
| 6099E910FC0D4C9F3D884E8DB70BB407 | XLS |
| 4B103160DAB1837CF64EBA8E9FA4C2EC | XLS |
| 1f8076bad6a2d7963a813f2f81fe0647 | 文件 |
| 2fbc14f02a8325c9f40da4640349e95c | 文件 |
| A3a0750d74705d235b60556f1331ae9b | 聚乙烯 |
| D333BAE2C45FE431BEFD7A88F1D7A540 | 聚乙烯 |
参考-
//blogs.quickheal.com/beware-email-attachments-can-make-victim-spear-phishing-attacks/
//blogs.quickheal.com/quick-heal-labs-report-on-targeted-attack-named-m_project/
//blogs.quickheal.com/wp-content/uploads/2016/03/Report.pdf
结论-
由于这两种变体都用于进行有针对性的攻击，因此某些相似之处是诱饵文档宏，有效载荷传递机制和.NET组装。由于政治和地理利益，这种间谍活动将继续针对敏感的印度组织。
我们已经详细分析了该APT， 白皮书 点击这里 for more details.
主题专家：
阿尼鲁达（Aniruddha Dolas）
Prashant Tilekar
潘旺乔杜里
没意见