一、攻击活动分析 

1.攻击流程分析

蔓灵花组织此类攻击的核心初始载荷为NUITKA打包的python样本，该文件功能简单，下载一个后门组件。该后门组件主要功能是执行cmd指令。攻击者通过远程执行cmd指令，从而进行以下操作：获取系统基本信息、后续后门组件下载、下载python脚本执行套件、下载窃密组件等。整个攻击流程如下图所示：

2.恶意载荷分析

捕获的恶意样本如下所示：

2）打包的python版本为python312。NUITKA特征是会将组件释放到%TEMP%\onefile_XXXX_XXXXXXX文件夹中。

3）该样本核心功能是连接C2，获取C2命令执行。NUITKA打包python的逻辑，是将py脚本中每一行代码，都使用C语言进行实现。以这行代码为例“socket.socket(socket.AF_INET, socket.SOCK_STREAM)”（这也是relish_for_ketty的核心代码）：

首先是从模块列表中获取到socket的模块。

从socket模块中，获取socket类。

获取socket类中AddressFamily_type，等同于代码“socket.AF_INET”。

最后执行socket类的构造函数，创建一个socket对象。

4）样本连接C2：89.46.236.152:443。

本次NUITKA样本，需接收C2传来的cmd命令，才会执行才会进行后续操作。本次捕获到的C2命令分为五类：

第一类：获取系统信息

第二类：下载后续组件

捕获到url：

https://domainnamevalidator[.]com/uploads/taskhost

保存到c:\programdata\usoshared\taskhost.exe

第三类：样本复制

通过certutil来进行文件复制

第四类：配置计划任务、启动项、开始菜单快捷方式。

注：未捕获到样本

%LocalAppData%\\Microsoft\\WindowsApps\\MsEdge.exe

第五类：解压需要使用的组件，如：python

注：未捕获到myarchive.rar文件。

python.zip为正常的python安装包。安装包会保存到%userprofile%\downloads中。该python版本是312。

3.攻击组件分析

• shell后门组件

该组件主要功能为执行C2传输的cmd指令。

2）连接C2:213.111.185[.]78:443。

3）样本向C2发送上线包，上线包内容为：用户名@计算机名\n系统版本\n。

样本接收C2指令，执行cmd指令，并将对应结果传回C2。

捕获到攻击者命令有五类：

第一类：将taskhost.exe设置为计划任务和启动项

第二类：查看系统的信息

第三类：下载后门组件

url:

https://domainregistationcheck[.]com/uploads/b1

保存到c:\programdata\usoshared\crsrs.exe

第四类：静默安装python环境，并下载执行py脚本。python的运行环境会被安装到C:\\Python312中。

注：未捕获到对应python脚本

第五类：下载Remcos后门

url: http://46.30.191[.]221/pw.exe

样本被保存到

c:\programdata\usoshared\logs\imagingdevices.exe

• 文件窃密组件

该工具为文件窃密组件，主要功能是用于监测存储设备变更情况，并将存储设备的文件数据同步到C2服务器中。

2）样本采用异步的方式进行通信和执行任务。

3）样本连接C2:

https://151.236.4[.]164:5010/get_sync_hash_table/(AES加密的计算机名_用户名)

AES key：

8802304DE46385A3672730C3539BC25B38930077AE9D9FF46E05D63409DFBCBB

4）样本C2返回的数据为json格式，样本解析其中的file_hashes字段，获取其中的哈希列表

5）样本创建一个异步任务，用于从C2下载文件。样本首先会初始化一个计时器，定时器设为34秒。

样本下载文件，保存到当前的工作路径中。并执行。

6）样本执行一个异步任务，用于监测存储设备变更情况。判断存储设备（如：u盘、硬盘等）拔插行为。如果设备出现了数量变化，就暂停计时器。

7）样本通过连接C2，获取某类存储的同步优先级(如SSD、HDD）、获取特定存储的实际同步优先级(如：C盘)、获取关注的敏感词、获取传输任务数量。

之后就是启动计时器，根据C2传来的配置进行更新，将当前的任务队列进行更新。随后就进入到窃密工作。

样本根据任务队列配置的优先级，进行路径或磁盘扫描。

扫描过程中，会将含有关键词的文件加入到文件列表中。

根据文件列表中的数量，挨个进行文件异步传输。

读取目标文件的内容

将文件内容post到C2服务器中。

• Remcos后门

该组件是一个加载器，用于释放加载Remcos后门。

2）样本使用rc4进行解密，密钥：

wJhZdeKG30FY70E315U2qMf0h3CvBD7N

3）解密后数据为PE文件，其中有Remcos经典字符串。

4）Remcos的C2配置信息89.31.121[.]220:443

 二、归属研判 

蔓灵花使用NUITKA打包的python样本攻击，最早出现在25年年底，主要针对于巴基斯坦、孟加拉等周边国家。近期监测发现，该类样本的攻击目标范围出现新的变化。

1.对本次攻击的relish_for_ketty.dll，与巴基斯坦的历史样本进行对比，二者代码执行流程非常一致，均使用了python312版本，且加载使用的python模块也完全相同。

2.本次攻击使用的Remcos远控组件，也曾出现在过往针对巴基斯坦地区的攻击活动中。

综合上述线索可判断，本次攻击归属于APT-C-08（蔓灵花）组织。

MD5：

397591dd098f9240684f9a999e38eb12  

23f5e51bf6d540553aa88c48480450a8  

d286d439393bde76b734bd3406628d47 

ab17051365bb75c2fd4637b0d560a312  

e7c535d2ef05405870923204dd5829d6  

b33c8f6a2bebe8d6a41bff851a45f35f  

13209c997f62c6c6934bc3f20a6adbd8  

017eb0e90e70a48e3b57f9c315e280f5  

C2&URL:

89.46.236[.]152:443

https://domainnamevalidator[.]com/uploads/taskhost 

213.111.185[.]78:443 

https://domainregistationcheck[.]com/uploads/b1 

https://151.236.4[.]164:5010 

getserviceupdates[.]com 

http://46.30.191[.]221/host.txt 

http://46.30.191[.]221/MsEdge 

http://46.30.191[.]221/taskhost 

http://46.30.191[.]221/appv1.exe 

http://46.30.191[.]221/input.txt 

http://46.30.191[.]221/ppersis.py 

http://46.30.191[.]221/pw.exe 

http://46.30.191[.]221:8080/get-pip.py 

http://46.30.191[.]221/cf.py 

http://46.30.191[.]221/ppp.py  

89.31.121[.]220:443