警惕：近期针对电子元器件行业的攻击活动分析
颁布功夫 2021-09-13一、概述
近期，GA黄金甲ADLab捕获到多起针对电子元器件企业的垂钓邮件攻击活动，攻击指标涉及多家电子元器件行业的上市公司或高低游供给商，蕴含天马微电子股份有限公司（中国深圳）、弘忆国际股份有限公司（中国台湾）、questcomp（美国加利福尼亚）、axitea（意大利米兰）等。攻击者以“Dretax.inc-Ryan Osborn -INV -034708182958- 2021.24.08”、“Dretax.inc-Alissa Chung -INV -420511295810- 2021.24.08”等虚伪的发票单据为邮件标题提议鱼叉式垂钓攻击并进一步向指标设备植入Dridex木马，攻击中利用了宏暗藏、多层Loader混合加密、API动态获取、API向量异常处置挪用等多种技术伎俩匹敌分析，同时其回连的网络基础设施均选取CDN和P2P代理节点来躲避追踪与检测。
Dridex是一款以窃取银行账户凭证为主张，集僵尸、窃密木马、邮件蠕虫、勒索软件等多多职能于一体的综合性蠕虫病毒，由于其占有复杂的P2P节造机造、多层代理、急剧变异、内表网双渠路习染、RSA-AES通讯加密等特点，受攻击企业一旦中招，可能引起内网扩散习染并进一步造成失泄密、遭逢勒索攻击、出产线停摆等严沉的后果。
随着《数据安全法》的正式执行，全行业、全领域城市受之影响，必要成立美满的数据安全战术。电子元器件及半导体行业作为我国“十四五”大力发展的战术新兴产业，是支持当前经济社会发展和保险国度安全的战术性、基础性和先导性产业，其产业链安全不变意思沉大。黑客组织一旦通过网络攻击入侵到有关企业内部，一方面会严沉威胁到我国自主可控的产业链安全和数据安全；另一方面也可能因勒索攻击、出产线中断等造成巨大的经济损失。因而，GA黄金甲ADLab提醒有关单元、企业务必器沉此类网络攻击活动并实时进行安全防备。
二、攻击威胁分析
2.1 电子元器件企业频遭网络攻击
这次攻击活动对准了电子元器件行业的有关企业，我们观察到，近年来电子元器件进入“涨价期”，同时疫情的发作又加快突破了产业链的供需平衡，造成电子供给链产品供不应求，价值疯涨。一些黑客组织以此为契机，再三针对电子元器件行业发展网络攻击从而牟取高额利益，我们统计了近一年来电子元器件行业遭逢网络攻击的部门安全事务如图1所示。
图1 近一年电子元器件行业遭逢网络攻击事务
能够看到，针对电子元器件行业的攻击方式重要集中在加密数据勒索、数据泄漏勒索、回绝服务攻击勒索（导致出产线歇工）等。2020年7月，全球当先的晶圆大厂X-FAB颁布布告称其遭到网络攻击，导致所有IT系统和其6个出产基地均终场工作；8月SK海力士、LG电子遭到Maze勒索软件攻击，导致部门人员的大量资料泄露，且SK海力士被黑的文件中还蕴含与苹果、IBM等客户公司的存储芯片价值协商邮件；9月，以色列芯片巨头TowerJazz忽然遭逢网络攻击，导致部门系统服务器和造作部门暂停运行，婆宗出产线歇工的压力，其向黑客支付了数十万美元的“保释费”，以换取黑客对服务器终场攻击；12月，富士康母公司鸿海集团位于墨西哥的工厂遭逢勒索软件“DoppelPaymer”攻击。黑客窃取并加密了部门文件数据，并要求公司支付1804枚比特币以获取解密工具（依照当天市价高达3450万美元）；今年3月，全球驰名电脑造作商宏基遭逢REvil勒索软件攻击，并被索要5000万美元赎金（约3.3亿人民币），创下最高勒索软件赎金纪录。今年8月，我们发现黑客组织又在摩拳擦掌，起头针对多家电子元器件企业提议垂钓邮件攻击活动。后文也将针对这次攻击活动进行深刻的分析和介绍。
2.2 这次攻击指标
GA黄金甲ADLab通过对这次攻击活动进行溯源与分析关联，整顿出部门攻击者使用的垂钓邮件，邮件信息见表1。
表1 邮件信息
在进一步分析后，我们发现攻击者使用了定造的垂钓邮件模板进行发票类垂钓邮件的自动化天生和攻击，并针对邮件中涉及发送人、发票序号、发票日期等内容进行了随机化处置。其中，发件人的邮箱后缀被精心假装成与发票、订单有关的内容，例如payment.dretax.com、invoice.dretax.com、order.dretax.com、mail.dretax.com，邮件标题与附件名也均通过公司名（Dretax.inc）、INV（invoice缩写，译为发票）、日期、编号（随机天生）、发件人名（随机天生）等进行组合假装，垂钓邮件如图2所示。
图2 垂钓邮件
这次攻击涉及的指标均为电子元器件行业的有关公司，蕴含天马微电子股份有限公司、弘忆国际股份有限公司、questcomp、axitea等，由于黑客并没有以特定国度为攻击指标，所以我们以为这是一路宽泛针对电子元器件行业的攻击行动，黑客组织的主题指标可能是窃取电子元器件公司的机密数据或技术资料，同时可能进一步通过加密数据勒索、数据泄漏勒索、锁定系统勒索等伎俩来牟取更多的经济利益。这次活动涉及的部门攻击指标信息如表2所示。
表2 攻击指标信息
三、技术分析
在这次攻击活动中，攻击者将带有恶意附件的垂钓邮件投递至电子元器件企业员工，一旦垂钓打算成功，恶意宏会开释并执行VBScript剧本，该剧本是一个下载器，尝试通过谈天软件Discord的CDN服务下载黑客托管的恶意DLL文件，同时会开释另一个VBScript脚正本加载该恶意DLL。加载的DLL实则为Dridex木马Loader，其使用了多层打包的方式进行下发，在内存中经过2次解密开释Loader后最终从C&C服务器下载执行Dridex木马，并进一步衔接至Dridex的P2P代理网络执行恶意操作。
下图展示了这次攻击活动齐全的流程：
图3 攻击流程图
3.1 钓饵邮件投递
攻击者假装了多封以Dretax公司（美国西萨克拉门托）管帐人员为发件人的垂钓邮件，邮件主题均与“发票信息”有关，以图4邮件为例，收件报答我国天马微电子股份有限公司名为“panpan_cao”的员工。邮件正文中单一描述了发票信息及开具发票的管帐部门的联系方式，并提醒保留所附的发票。
图4 垂钓邮件
邮件附件是一份假装的8月发票单，从钓饵文档打开后的内容（如图5）来看，Excel表格仅蕴含一张图片，内容大意为：“此文档是由Microsoft office excel的早期版本创建，请启用宏选项以显示文档内容”。一旦受害者被诱骗启用宏选项，恶意宏代码便会当即执行。
图5 恶意的邮件附件
3.2 恶意宏代码执行
宏代码被暗藏在工作簿的表格傍边，默认打开Excel只能看到表Sheet1（表Macro1被暗藏），当点击“启用宏”后，由于表的状态被暗藏仍无法看到，能够通过右键单击主表选项卡取缔暗藏选项。
图6 取缔暗藏的工作表
此时能够在表Macro1中看到恶意宏代码，该恶意代码被混合后拆分至多个表格中存储。与常见的宏代码暗藏方式分歧，此类暗藏技术无法在VBAProject中看到宏代码，可能在肯定水平上滋扰安全分析。
将xlsm文件解压缩，同样能够在其中\xl\macrosheets\sheet1.xml的地位发现该暗藏的恶意宏代码。
图7 暗藏的宏代码
攻击者将恶意代码以10进造字符的大局存储在单元格内（每个字符存储在独立的单元格中），现实执行时通过Excel的CHAR()函数转换为字符串代码后再进一步加载，从而达到混合和匹敌安全检测的主张。将剧本去混合后，代码的整体挪用逻辑如图8所示。
图8 代码挪用逻辑
恶意代码会创建“C:\ProgramData\veqxg.sct”文件，并将J162至S604单元格内的数值内容（如图9）转化为CHAR值后写入其中，而后通过号令EXEC (MSHTA C:\ProgramData\veqxg.sct)执行veqxg.sct文件。
图9 恶意代码（每个字符存储在独立的单元格中）
3.3 恶意“sct”文件执行
veqxg.sct文件实则为VBScript剧本，该剧本会在同目录下开释下一阶段的VBScript剧本vaBlOKVbTNVXMTWIJcdR.sct，之后从服务器下载后续的恶意代码vaBlOKVbTNVXMTWIJcdR.dll，若是下载成功，则通过vaBlOKVbTNVXMTWIJcdR.sct剧本执行后续的恶意DLL。
图10 veqxg.sct剧本
下载链接如表3所示：
恶意DLL下载链接
vaBlOKVbTNVXMTWIJcdR.sct剧本会进一步通过rundll32.exe 执行恶意DLL（参数为CPGenRandom)，经过度析，该恶意DLL是Dridex木马的Loader，下文我们将对Dridex木马及其Loader进行具体的分析和介绍。
图11 vaBlOKVbTNVXMTWIJcdR.sct剧本
3.4 Dridex木马分析
这次的Dridex使用了多层打包的方式进行下发，第一层Loader执行后，会使用shellcode在内存中解密出第二层Loader来执行，第二层Loader再去攻击者节造的C&C服务器下载Dridex木马。这两个Loader使用了动态函数获取和向量异常处置来挪用系统函数，从而躲避安全软件的查杀和滋扰安全人员的分析。以下是具体分析：
3.4.1 第一层Loader分析
该Loader的代码经过了整数运算操作混合，其同时还使用了动态函数挪用的技术来执行系统API，以增长静态分析的难度，下图是该Loader在IDA中的部门伪代码：
图12 Loader导出函数伪代码
我们结合动态调试分析，发现该Loader的主张是在内存中解密执行一个PE文件。这个过程通过两阶段的shellcode实现：
第一阶段的shellcode被加密保留在该Loader的.rdata段，Loader执行后，将.rdata段的shellcode解密后写到.data段，而后动态挪用VirtualProtect函数将.data段的对应shellocde属性批改为可读可写可执行，如下图所示：
图13 批改.data段的内存属性为可读可写可执行
之后，loader就去执行.data段的shellcode代码，如下图所示：
图14 执行.data段的shellcode代码
shellcode的起头是一段解密代码，其掌管将第二阶段的shellcode解密出来（循环异或解密shellcode），如下图所示：
图15 解密第二阶段的shellcode
解密实现后，shellcode再动态挪用VirtualAlloc函数申请一段内存，将解密后的第二阶段shellcode写入到指标内存，之后跳转到第二阶段的shellcode去执行，如下图所示：
图16 执行第二阶段的shellcode
第二阶段的shellcode执行后，会动态挪用VirtualAlloc函数申请内存，将加密数据写入该内存后，再解密执行，解密执行的payload为一DLL文件，如下图所示：
图17 内存中解密出的DLL文件
3.4.2 第二层Loader分析
该DLL同样是一个loader，其主张是从远程服务器下载下一阶段的Dridex木马。该DLL同样使用了动态函数挪用的方式进行函数挪用，只有当必要挪用指标函数时，恶意代码才会使用FS寄放器检索对应函数的现实地址，而后利用int3异常挪用指标函数，如下图所示：
图18 利用int3异常挪用指标函数
这种函数挪用的道理是，当法式产生异常的时辰，一共有两种处置异常的方式。一种是SHE（Structured Exception Handling），另一种是VEH（Vectored Exception Handling）。该DLL使用了VEH的方式挪用指标函数：在运行的起头，恶意代码会注册一个VEH处置法式（如下图所示），当CPU为INT3引发异常时挪用异常处置法式以对指标函数进行挪用。
图19 注册异常处置函数
该DLL内置有3个C&C服务器地址，如下表所示：
该DLL会尝试逐个和这些C&C服务器进行衔接，一旦衔接成立成功，DLL就会挪用HttpSendRequestW函数向C&C服务器回传指标环境的加密数据（如下图所示），之后该DLL会从C&C服务器下载下一阶段的Dridex木马执行。
图20 向C&C回传的加密数据
3.4.3 Dridex主题木马
由于我们在分析的时辰，第二层Loader当前未能将Dridex主题马下载下来执行，但是通过溯源发现当前Loader正是Dridex V4所使用的Loader，自身Dridex主题马并未产生较大变动，其最重要攻击能力重要体此刻其强度而矫捷的插件技术上。新的攻击中所选取的恶意钓饵文档及Loader随着黑客组织的更替而不休进化。本文将不再对Dridex的具体技术进行分解，只对Dridex的根基职能和特点进行简要的介绍。如需深刻相识Dridex木马，可仔细阅读GA黄金甲另表一篇深度分析汇报《躲在P2P蠕虫网络背后的鬼魂：Dridex蠕虫新型变种探秘》，我们在汇报中对Dridex V4所选取的攻击手法，技术伎俩，通讯机造等等做了全面而深刻的分析。
Dridex别名Bugat、Cridex、Feodo，于2014年初次出现，是目前全球活跃的技术最先进的银行木马之一，从出现以来，其一向在不休更新和演变，直到目前为止仍极度活跃。该木马的重要指标是窃取受害者主机的银行凭证。和这次攻击一样，其通常通过鱼叉式垂钓邮件的方式进行传布。除了窃取银行凭证，Dridex通�；够嵯略仄渌亩褚饽？�，目前已知的职能�？橛蠽NC�？椤⑵聊唤赝寄？椤⒋砟？椤⒅醒肴四？椤⒓碳吐寄？椤⑵局で匀∧？椤eb注入�？椤⒛谕叭灸？椤⒂始寄？椤⑸诚浼觳饽？榈�。
Dridex的攻击指标遍布世界各地，如：中国、美国、德国、法国和加拿大等。以下是Dridex近几年的一些攻击事务：
2014年7月，Seculert公司的安全钻研员发现Dridex窃取了至少5万个邮箱的登录账号和密码信息列表，此时Dridex重要以习染德国和波兰为主，其他习染过的国度有奥地利、美国、瑞士、英国、意大利、荷兰等。
2015年5月，Dridex起头将js剧本文件作为邮件传布附件进行大面积传布，该js剧本文件用于下载Locky勒索软件执行。
2015年8月，有关安全机构分析统计，在2015年间不到一年的功夫里，Dridex已经入侵了横跨27个国度的成千上万家企业，并且已经导致英国2千万英磅(其时合3050万美元)以上的经济损失，以及美国1千万美金的经济损失。
2015年8月14日，FBI结合安全厂商捣毁了Dridex服务器并扣留了一名Dridex幕后操控者。
2016年2月4日，Dridex产生了一次戏剧性事务，那就Dridex蠕虫病毒后端服务器疑被白帽子入侵，所有下载的�？楸淮娉闪薃vira杀毒软件。
2016年9月6日，安全钻研人员发现新的Dridex变衷祓头用于窃取虚构钱币如比特币钱包。
2017年4月，Proofpoint钻研人员观测到数百万次Dridex蠕虫攻击，其攻击手法与早年的攻击类似，同样通过邮件携带附件的大局进行疯狂的传布，只是新的攻击中增长了通过ZIP打包的vb剧本文件、PDF文件和可执行的PE文件。
2017年5月10日，Dridex蠕虫变种使用了原子注入技术发起攻击，以躲避安全产品的查杀。
2017年12月12日，前英国银行员工植入Dridex蠕虫援手两位黑客洗钱，担任洗钱黑客的个人信任经理，利用伪造的身份证件开设了多达105个账户，汇款与转账超过250万英镑。
2018 年 12月，摩尔多瓦国民Andrey Ghinkul，别名“ smilex ”（ 2017年2 月，从塞浦路斯引渡到美国）因分发Dridex恶意软件被判刑。
2019 年 6 月，攻击者利用Spelevo 的缝隙利用工具投递银行木马Dridex。
2019年12月，美国当局指控两个俄罗斯公民（Maksim V和Igor Turashev）部署Dridex恶意软件，两人在10年内窃取超过了1亿美元。
2020年12月期间，攻击者投递仿冒亚马逊免费亚马逊礼物卡的垂钓邮件
2021年8月，攻击者针对多家电子元器件企业提议垂钓攻击活动，蕴含天马微电子股份有限公司、弘忆国际股份有限公司、questcomp、axitea等。
四、总结
这次攻击重要对准电子元器件企业的员工，并且涉及到我国企业的数据安全，必要引起宽大企事业单元足够的警惕。结合Dridex木马的汗青活动迹象，其背后的攻击者以窃密、勒索等方式图谋经济利益的可能性较大。Dridex在经历多年的发展进化后，已经形成了集蠕虫、僵尸、窃密木马、勒索软件、P2P代理于一身的混合型蠕虫病毒。该蠕虫同时具备内表网扩散、正反馈的关环习染、C&C服务器及通讯流量暗藏、匹敌分析、急剧变异、�？榛雀呒赌芰�，对于中招企业拥有极大的风险性。
鉴于Dridex僵尸网络持久通过垂钓邮件以及OfficeVBA宏进行攻击的惯用伎俩，我们建议企事业单元不定期为员工进行安全教育培训，提升员工的安全防备意识。务必做好邮件系统的防护，把稳不要轻易打开未知起源的电子邮件（尤其是带有附件的电子邮件）。如有必要可通过打开Office文档中的：文件-选项-信赖中心-信赖中心设置-宏设置，禁用所有宏代码执行。一旦系统或服务器出现异常行为，实时汇报并请专业人员进行排查，以解除安全隐患。
京公网安备11010802024551号