应急响应之响尾蛇APT组织攻击分析报告

0x1 事件概述

本报告记录了针对响尾蛇(SideWinder)APT组织攻击事件的应急响应过程。攻击者利用文档漏洞和白加黑技术进行攻击，最终在受害主机上植入恶意木马。

0x2 应急响应过程

2.1 外联排查与恶意进程识别

1. 通过对外联活动的排查，发现恶意IP地址：xx.xxx.xx.136
2. 定位到可疑进程PID：6304
3. 通过PID找到关联进程：credwiz.exe
4. 在相应文件夹中发现可疑DLL文件：Duser.dll

2.2 恶意文件验证

1. 使用云沙箱运行分析，确认Duser.dll为响尾蛇组织木马
2. 使用火绒剑进行扫描，再次验证该文件为恶意文件

0x3 病毒技术分析

3.1 攻击手法特征

响尾蛇组织主要采用"白加黑"技术绕过防护软件：

• 常用两种组合：
  • cmdl32.exe + cmpbk32.dll
  • credwiz.exe + duser.dll（本次攻击使用）

3.2 攻击链分析

1. 初始入侵阶段：

   • 钓鱼邮件携带恶意文档附件
   • 利用CVE-2017-0199漏洞从xx.xxx.xx.200下载并运行RTF文件

2. 漏洞利用阶段：

   • RTF文件触发CVE-2017-11882漏洞
   • 从同一IP(xx.xxx.xx.200)下载并运行HTA文件

3. 载荷投放阶段：

   • HTA文件进行初始恶意文件释放和配置
   • 替换系统可信文件credwiz.exe加载的Duser.dll

4. 持久化与控制阶段：

   • credwiz.exe运行时加载恶意Duser.dll
   • DLL首先测试网络连通性
   • 连接C2服务器：ap-xxx.net
   • 接收并执行远程命令

3.3 恶意功能分析

恶意DLL的主要功能模块：

1. 网络连通性测试模块
2. C2通信模块
3. 命令执行分发模块
4. 根据接收的命令执行相应恶意操作

0x4 攻击流程图解

钓鱼邮件携带恶意文档
↓
利用CVE-2017-0199下载RTF
↓
RTF触发CVE-2017-11882下载HTA
↓
HTA释放并配置恶意文件
↓
替换credwiz.exe的Duser.dll
↓
credwiz.exe加载恶意DLL
↓
DLL测试网络后连接C2(ap-xxx.net)
↓
接收并执行远程命令

0x5 防御建议

5.1 漏洞防护

1. 及时修补以下漏洞：
   • CVE-2017-0199 (Office/WordPad远程代码执行)
   • CVE-2017-11882 (Office公式编辑器漏洞)

5.2 检测与防护

1. 监控以下可疑行为：

   • credwiz.exe异常加载Duser.dll
   • 系统进程异常外联行为
   • 对Duser.dll文件的修改操作

2. 部署防护措施：

   • 使用高级威胁检测工具监控白加黑攻击
   • 限制Office宏执行
   • 禁用不必要的Office功能(如公式编辑器)

5.3 应急响应建议

1. 发现感染后的处置步骤：
   • 隔离受感染主机
   • 检查并清除恶意文件(Duser.dll)
   • 检查同一网络其他主机是否受影响
   • 重置可能泄露的凭据

0x6 总结

本次事件是典型的APT组织攻击案例，攻击者利用多个漏洞构成攻击链，最终通过白加黑技术实现持久化驻留。防御此类攻击需要多层防护策略，包括漏洞修补、行为监控和威胁情报应用。