J9集团官网ADLab：MSC文件的在野利用情况与黑客攻击活动分析
颁布功夫 2024-09-14一、背 景
2024年6月22日 ，一个利用MSC体式的新型攻击技术的恶意样本呈此刻VT平台上 ，此时利用这种技术的恶意样本在VT上均显示为零检测率。这种技术被Elastic钻研团队定名为“GrimResource” ，其通过恶意构建的MSC文件在Microsoft治理节造台中执行肆意代码。J9集团官网ADLab在尔后的两个月功夫中 ，持续关注使用这种利用手法的攻击 ，通过监测的了局分析发现：自该技术公开后 ，同类攻击迅速增长 ，到目前为止可能监测到的有效攻击及其攻击样本有100多起。并且有越来越多的APT组织、黑产团伙和红队利用该技术在全球领域内进行网络攻击 ，蕴含Kimusuky、银狐、海莲花等。目前已发现的指标有中国、韩国、越南、蒙古等国度确当局机构和企业 ，涉及当局、科技、教育、石油等敏感行业。
这些攻击普遍通过MSC文件作为恶意payload ，通过各类方式发送给指标并诱使指标打开该文件。由于MSC体式的攻击文件是一种相对罕见的文件类型（无数被攻击者可能熟悉.exe、.doc等常见的可执行文件扩大名 ，但并不相识.msc文件 ，因而可能在现实攻击中产生奇效） ，并且目前防护系统也鲜有对此类文件的针对性检测 ，所以黑客利用该技术实现攻击的成功率高 ，被检测和发现的几率低 ，就目前我们观察到攻击钓饵 ，有蕴含如：“《**论坛》表审专家约请函与文章评审单”、：“匿名审稿专家回执 (校表) ”、“合用于南海的两种司法造度钻研 (稿件)”、“美国战术收缩对中东地缘政治的影响”、“****网络大会”等极具引诱性的攻击 ，一旦点击其中的MSC文件 ，其系统便会被植入窃密木马 ，导致沉要敏感数据被窃取。
通过我们对攻击的追忆发现早在2024年4月 ，Kimusuky APT组织就起头利用MSC文件来对其指标执行了大量的攻击 ，但其利用手法与GrimResource技术有所分歧。由于MSC样本的公开利用和技术演变尚处于发展初期 ，因而有关攻击样本和手法的变动值得引起持续关注。此表 ，Outflank于8月13日发文称GrimResource技术源于其兵器库 ，其在攻防演练中被防守方上传到公共沙箱。
二、近期在野攻击活动分析
通过对目前网络到的100余个MSC样本的分析 ，我们发现最早的利用样本呈此刻2024年4月5日 ，所有样本中 ，呈此刻4-5月的攻击样本重要属于Kimusuky组织。6月后 ，随着GrimResource技术的公开 ，MSC体式的样本数量以月为单元呈显著的递增关系 ，批注黑客们正积极利用和测试有关攻击技术并转化为现实攻击。以下是近几个月捕获到的MSC体式的攻击样本数量图。
图1 MSC攻击样本数量统计图（单元:月）
在这批攻击样本中 ，其中一些是基于开源项目编译的样本（如下图中图标为“眼睛”的样本即为开源项目MSC_Dropper天生） ，这类样本可能是部门攻击者在积极地进行技术筹备和免杀测试。同时 ，一些真实的攻击活动也越来越频仍地出现 ，在现实攻击中样本通常会把图标假装成WORD、PDF、MP4等各类常见的文件体式用以蛊惑受害指标 ，下图是部门样本及图标示例。
图2 捕获MSC样本示例
从中我们发现了数起针对全球多个国度和地域的攻击活动 ，指标重要蕴含中国、韩国、越南、蒙古等 ，攻击的指标行业则涉及当局、科技、教育、石油等敏感行业。其中 ，针对中国的APT攻击活动在近期起头显著增多。在7月初期 ，有关攻击重要以“易翻译副手”、”抖音千粉企业号”、“教育行业数据”等为钓饵的黑产组织攻击为主。而在8月之后 ，起头陆续出现了多起以政治议题、专家约请、会议日程、投诉建议、举报资料等针对当局组织或科研部门的针对性攻击 ，必要引起高度警惕 ，部门钓饵文档如下所示。
图3 主题为“专家约请函”类的钓饵文档
图4 主题为“政策造度钻延妆类的钓饵文档
图5 主题为“****网络大会”的钓饵文档
图6 针对水利署的钓饵文档
除了针对中国以表 ，韩国、越南、蒙古等多国也接连遭逢到利用MSC文件的攻击活动 ，其中尤以韩国遭逢的攻击最多 ，这可能与kimsuky组织的攻击指标偏差有关 ，部门攻击活动钓饵如下所示。
图7 针对韩国的钓饵文档
图8 针对越南石油公司的钓饵文档
在针对这批样本进行深刻分析后 ，我们发现了攻击者使用的多个基础设施 ，蕴含多阶段下载服务器和C2服务器等 ，其中大部门都选取了云服务来滋扰溯源追踪 ，其中一些服务器归属于美国、日本、瑞典、法国、新加坡等国度。部门样本及C2服务器如下所示。
表1 恶意服务器地址
同时 ，我们也捕获到了部门样本的投递URL地址如下表所示。
三、MSC文件利用技术道理分析
MSC(Microsoft Snap-In Control)文件 ，是微软治理节造台(MMC)用来增长/删除的嵌入式治理单元文件, 治理员通过创建节造台能够治理推算机的各类设置 ，增长各类职能如用户账户治理、系统服务、设备驱动法式等 ，而后能够将这些治理单元的自界说配置以XML的大局保留到磁盘上 ，即MSC体式。Windows中常见的设备治理器、磁盘治理器、组战术治理器等都是MSC体式文件。如下图是自界说MSC文件的治理单元工作板界面 ，攻击者能够通过编程的方式与MMC进行交互 ，从而机关自界说的界面和内容。
图9 MSC文件治理单元工作板
图10 MSC文件技术利用流程图
图11 利用方式一
图12 节造台工作板执行肆意号令示例
图13 工作板执行肆意号令XML
将ActiveX对象加载到“ActiveX控件”治理单元中。
将HTML文件加载到“链接到Web地址”治理单元中。
在HTML文件中 ，使用JavaScript与加载的ActiveX对象进行交互。并通过 MSXML步骤 ，触发XSL转换来执行JScript代码。
最后从JScript代码中挪用系统函数 ，或者通过 DotNetToJScript 执行.NET代码。
首先 ，在MMC法式中 ，攻击者能够自界说插入ActiveX控件。通过文件编纂器打开创建的MSC文件时 ，能够看到创建的ActiveX控件存储在XML的StringTable中。
图14 插入ActiveX控件对象
但若是想成功加载对象 ，就要绕过ActiveX 控件的安全忠告。攻击者选取了一种奇妙的步骤 ，通过Microsoft Internet Explorer浏览器组件接见external 对象 ，从而与MMC节造台的其他元素进行交互 ，这是微软官方支持的一种方式。如下图中 ，scopeNamespace和docObject即是通过external.Document获取现有对象 ，而非创建新的ActiveX对象 ，进而绕过了直接创建ActiveX控件时的安全限度。
图15 GrimResource技术利用代码
XSLT是一种用于将XML文档转换为其他文档体式的说话 ，XSLT形状表（XSL）则界说了若何将一个XML文档转换为其他大局。微软支持MSXML XSLT使用
图16 剧本中的
四、案例分析
J9集团官网ADLab接连捕获到了多起利用MSC文件针对全球指标的攻击活动。其中已发现针对中国、韩国、越南、蒙古等国度确当局机构和企业的攻击 ，越来越多的APT组织、黑产团伙和红队在利用有关技术在全球领域内进行网络攻击 ，蕴含Kimusuky、银狐、海莲花等。在诸多的攻击案例中 ，我们拔取了在技术层面较有代表性且相对敏感的两类攻击样本作为这次的分析案例 ，利用GrimResource技术针对中国的攻击活动 ，以及Kimsuky组织利用MMC节造台工作板针对韩国的最新攻击活动。下面我们将对拔取的两个案例进行深刻的分析。
4.1 以政治话题为钓饵针对中国的攻击活动
此案例利用的是GrimResource技术 ，当受害者点击运行msc文件时 ，mmc.exe会执行样本中的js代码 ，继而执行嵌入在xml中的VBScript代码。其中 ，引致VBA代码的执行的关键点是transforNode(xsl)步骤的挪用。
图17 引致VBA代码执行的关键点
transforNode步骤常用于将一个XML文档通过XSLT形状表（作为参数）转换为其他文档体式。若是XSLT形状表中含有
图18 XSLT形状表内容
被执行的VBScript代码通过自界说编码和解码、字符串拼接、特殊字符混合编码等混合技术 ，可能有效地暗藏其真实逻辑和恶意行为 ，同时增长了分析人员进行逆向分析的功夫成本。下图展示了在初次解码之后的部门代码块 ，可能看到代码中依然存在着其他混合。
图19 混合的VBScript代码
我们持续对代码进行去混合以及函数沉定名处置后 ，能够看到剧本先是设置文件蹊径和目录结构 ，再从XML结构中提取数据进行base64解码并保留为指定文件（钓饵文档） ，最后打开该文件。
图20 开释钓饵文档
在本案例中 ，用于蛊惑受害者的是三个假装成Word的钓饵MSC文件 ，具体内容如下图所示。
图21 钓饵文档示例一
图22 钓饵文档示例二
图23 钓饵文档示例三
接着提取和解码其他base64数据 ，再将解码后的数据保留为最终的Warp.exe和7z.dll可执行文件。随后将“ t 8.8.8.8”作为参数（自动加载同目录下“7z.dll”的所需前提）启动Warp.exe法式。
图24 天生并执行warp.exe法式
经查看 ，“Warp.exe”拥有 “Lenovo (Beijing) Co., Ltd.”的合法数字署名 ，其原文件名为“7zwrap.exe”。具体信息如下图所示。
图25 “Warp.exe”具体信息
当恶意“7z.dll”文件被“Wrap.exe”成功加载后 ，其会在内存中对指定数据进行解密。经内存特点扫描后 ，判定最终被加载执行的是CobaltStrike ，我们提取出的CS配相信息如下图所示。
4.2 以学术演讲为钓饵针对韩国的攻击活动
该案例是Kimsuky APT黑客组织在今年所引入的一种新的攻击战术 ，攻击者通过XML的设置属性将MSC恶意文件的图标设置为Word图标 ，借以假装成WORD文德反蛊惑受害者。
图27 假装的Word图标
当受害者点击MSC文件时 ，用户账户节造（UAC）会弹出要求权限选择 ，若是选[是] ，则会通过执行msc衔接法式mmc.exe ，展示攻击者定造的名为“?????.docx”的Microsoft治理节造台界面。具体如下图所示。
图28 “?????.docx”的Microsoft治理节造台界面
表3 特殊符号内容解析
图29 含有特殊符号的cmd参数号令行内容
通过该符号所对应的解析进行代替后 ，得到了如下图所示的批处置号令。该串批处置号令则是执行MSC后的治理节造台根工作窗口的号令行参数。该段号令的重要职能是从指定URL下载名为“Grieco Kavanagh Passive Supporters.docx”的用于假装的钓饵文档 ，以及后续阶段的“pest.exe”和“pest.exe.manifest”文件。除此之表 ，其还会创建一个名为“TemporaryClearStatesesf”的打算工作 ，每58分钟执行一次“%appdata%\pest.exe”文件。内容如下图所示。
图30 cmd参数号令行内容
查看“pest.exe”法式具体信息 ，发现该法式的数字署名名称为“Adersoft” ，原始文件名为“launcher.exe”。该法式为VBSEdit（由Adersoft公司出品的一款幼巧而强悍的VBScript编纂工具）剧本启动器。
图31 “pest.exe”法式具体信息
图32 “pest.exe”法式执行报错
“pest.exe.manifest”文件内容是XML体式 ，恶意代码蕴含在“”标签之间。该文件的重要职能是由一段经base64编码的VBScript代码来实现。部门代码如下图所示。
图33 base64编码的VBScript代码
图34 bat文件操作代码
若是“sim.sid”文件不存在 ，则向指定的Google drive链接发送HTTP要求 ，并获取响应内容。
图35 向Google drive共享链接发送要求
成功获取后 ，从接管到的内容中提取base64编码的数据（在"pprbstart--"和"--pprbend"标签之间） ，最后代替特殊字符并将解码后的数据写入至”%appdata%\Microsoft\sif.bat"。
图36 解析响应内容
五、总 结
本文针对我们近期捕获到的一系列基于新型MSC文件的攻击活动进行了分析 ，沉点介绍了目前MSC文件在野使用的两种利用技术道理 ，披露近期利用MSC文件的多起敏感攻击活动 ，并针对其中的两个案例进行了深刻分析。从近几个月MSC文件有关攻击的活跃趋向来看 ，攻击活动涉及到越来越多的APT组织、黑产组织以及红队等 ，尤其是近期针对政治、科技、教育、石油等领域的APT攻击起头显著增多 ，必要引起有关政企和幼我用户的沉点关注。
J9集团官网积极防御尝试室（ADLab）
ADLab成立于1999年 ，是中国安全行业最早成立的攻防技术钻研尝试室之一 ，微软MAPP打算主题成员 ，“黑雀攻击”概想首推者。截至目前 ，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计颁布安全缝隙5000余个 ，持续维持国际网络安全领域一流水准。尝试室钻研方向涵盖基础安全钻延注数据安全钻延注5G安全钻延注人为智能安全钻延注移动安全钻延注物联网安全钻延注车联网安全钻延注工控安全钻延注信创安全钻延注云安全钻延注无线安全钻延注高级威胁钻延注攻防系统建设。钻研成就利用于产品主题技术钻延注国度沉点科技项目攻关、专业安全服务等。
京公网安备11010802024551号