一直以來buhtrap組織以其針對俄羅斯的金融機構和企業而聞名。在我們的跟蹤過程中，發現并分析了該組織的主要后門以及其他工具。
自2015年底以來，該組織變為以經濟利益位目的的網絡犯罪組織，其惡意軟件出現于東歐和中亞進行間諜活動中。
2019年6月我們第一次發現Buhtrap使用0day攻擊作。 同時我們發現Buhtrap在攻擊過程中使用了本地提權漏洞CVE-2019-1132。 ? ?
在Microsoft Windows中的本地權限提升漏洞利用的是win32k.sys組件中的NULL指針取消引用產生的問題。一旦發現該漏洞，已經向微軟安全響應中心報告，該中心及時修補并發布了相關補丁。 ? ?
歷史活動
下圖中的時間表體現了Buhtrap活動中一些最重要的發展節點。 ? ?
當該組織工具在網上開源時，很難將它們與網絡攻擊行為聯系起來。 然而，由于該組織在目標的轉變后發生了源代碼泄漏的問題，我們迅速高效的分析了該組織攻擊的惡意軟件，明確了該組織針對的企業和銀行目標，同時確認了該組織參與了針對政府機構的攻擊。
盡管新的工具已經添加到他們的武器庫中并且替換了舊版本，但是不同時期的Buhtrap活動中使用的策略、技術和程序并沒有發生顯著變化。他們廣泛使用NSIS安裝程序作為droppers，而惡意文檔則是其主要的載體。 此外，他們的一些工具會使用有效的代碼簽名證書進行簽名，并利用已知的合法應用程序來作為攻擊載體。
用于傳遞攻擊載荷的文件通常為設計好的釣魚文件，以避免在受害者打開時產生懷疑。對這些釣魚文件為我們的分析提供了可靠的線索。 當Buhtrap目標為企業時，釣魚文件通常是合同或發票。該組織在2014年的攻擊活動中曾使用下圖中展示的通用發票。
當該組織將目標對準銀行時，釣魚文件通常與金融系統法規或Fincert的咨詢有關，Fincert是俄羅斯政府創建的一個組織，為其金融機構提供幫助和指導。
因此，我們在看到與政府行動有關的釣魚文件時立即開始對這些行為進行跟蹤。2015年12月，發現了第一批惡意樣本，它下載了一個NSIS安裝程序，該安裝程序的作用是安裝buhtrap后門，釣魚文檔如下圖： ? ?
URL在文本中具有獨特的特點，使其與烏克蘭國家移民局網站dmsu.gov.ua非常相似。 該文本以烏克蘭語要求員工提供他們的聯系信息，尤其是他們的電子郵件地址，還試圖說服他們點擊文本中的惡意鏈接。 ? ?
這是我們在遭遇Buhtrap組織用于攻擊政府機構的諸多惡意樣本中的首例。 我們認為另一個更近期的釣魚文件也是由Buhtrap組織設計的，如圖所示這個文件可以吸引與政府相關的另一類群體。 ? ?
0day攻擊分析
該組織在0day攻擊中使用的工具與其用于企業和金融機構的工具非常相似。 我們分析的第一批針對政府組織的惡意樣本哈希為2F2640720CCE2F83CA2F0633330F13651384DD6A。 此NSIS安裝程序下載包含Buhtrap后門的常規包，并顯示如上文提到的2015年12月的釣魚文檔。 ? ?
從那以后，我們看到了針對這一政府組織群體的多次攻擊。 攻擊中經常使用漏洞來提升權限，以便安裝惡意軟件。 他們利用了舊的漏洞，如CVE-2015-2387。他們最近使用的0day也采用了相同的模式：利用漏洞以最高權限運行惡意軟件。 ? ?
多年來，該組織使用了具有不同功能的軟件包裝。 最近，我們發現并詳細分析了兩個全新軟件包，因為它們與該組織典型的工具集相比發生了變化。 ? ?
釣魚文檔包含一個惡意宏，啟用后會刪除NSIS安裝程序。NSIS安裝程序的任務是安裝主后門。 但是此NSIS安裝程序與此組織早期使用的版本不同， 它更簡單，僅用于設置并啟動嵌入其中的兩個惡意模塊。 ? ?
后門分析
第一個模塊，稱為“抓取器”，是一個獨立的密碼竊取程序。它試圖從電子郵件和瀏覽器中獲取密碼，并將其發送到C＆C服務器。該模塊使用標準的Windows API來與其命令和控制服務器進行通信。 ? ?
第二個模塊是我們從Buhtrap操作人員得到的：一個包含合法應用程序的NSIS安裝程序，將用來安裝Buhtrap主后門。利用的是一種免費的反病毒掃描程序AVZ。 ? ?
Meterpreter和DNS隧道
該文件包含有害宏代碼，一旦啟用會刪除NSIS安裝程序，而該安裝程序的目的是為主后門準備安裝準備工作。在安裝過程中，會設置防火墻規則，以便允許惡意組件與C&C服務器進行通信。以下是NSIS安裝程序用于配置這些規則的命令示例：
<p>```</p><p>cmd.exe /c netsh advfirewall firewall add rule name=”Realtek HD Audio Update Utility” dir=in action=allow program=”<path>RtlUpd.exe” enable=yes profile=any </p><p>```</p>
最終的有效載荷是與Buhtrap傳統工具完全不同的東西。 在其正文中加密了兩個有效負載。 第一個是一個非常小的shellcode下載器，而第二個是Metasploit的Meterpreter。Meterpreter是一種反向Shell，可讓操作員完全訪問遭受攻擊的系統。
實際上，Meterpreter反向shell通過DNS隧道與其控制與命令服務器進行通信。對于防御者來說，檢測DNS隧道可能很困難，因為所有惡意流量都是通過DNS協議完成的，而不是常規的TCP協議。 以下是此惡意模塊的初始通信片段。
```7812.reg0.4621.toor.win10.ipv6-microsoft[.]org7812.reg0.5173.toor.win10.ipv6-microsoft[.]org7812.reg0.5204.toor.win10.ipv6-microsoft[.]org7812.reg0.5267.toor.win10.ipv6-microsoft[.]org7812.reg0.5314.toor.win10.ipv6-microsoft[.]org7812.reg0.5361.toor.win10.ipv6-microsoft[.]org[…]```
此示例中的C＆C服務器域名模仿Microsoft。 事實上攻擊者注冊了不同的域名，其中大多數都模仿微軟域名。
總結
雖然我們不知道為什么該組織突然轉變目標，但它是說明了網絡間諜團體與網絡犯罪之間界限日益模糊。 目前還不清楚該組織中的一個或幾個成員出于什么原因改變目標，但未來會有更多的攻擊行為出現。 ? ?
##IOC
###ESET檢測名稱
VBA/TrojanDropper.Agent.ABMVBA/TrojanDropper.Agent.AGKWin32/Spy.Buhtrap.WWin32/Spy.Buhtrap.AKWin32/RiskWare.Meterpreter.G
###惡意軟件樣本
Main packages SHA-1：
2F2640720CCE2F83CA2F0633330F13651384DD6A E0F3557EA9F2BA4F7074CAA0D0CF3B187C4472FF C17C335B7DDB5C8979444EC36AB668AE8E4E0A72
Grabber SHA-1：
9c3434ebdf29e5a4762afb610ea59714d8be2392
###C&C服務器
https://hdfilm-seyret[.]com/help/index.php https://redmond.corp-microsoft[.]com/help/index.php dns://win10.ipv6-microsoft[.]org https://services-glbdns2[.]com/FIGm6uJx0MhjJ2ImOVurJQTs0rRv5Ef2UGoSc https://secure-telemetry[.]net/wp-login.php
###Certificates
| Company name | Fingerprint |
|---|---|
| YUVA-TRAVEL | 5e662e84b62ca6bdf6d050a1a4f5db6b28fbb7c5 |
| SET&CO LIMITED | b25def9ac34f31b84062a8e8626b2f0ef589921f |
###MITRE ATT&CK techniques
| Tactic | ID | Name | Description |
|---|---|---|---|
| Execution | T1204 | User execution | The user must run the executable. |
| T1106 | Execution through API | Executes additional malware through CreateProcess. | |
| T1059 | Command-Line Interface | Some packages provide Meterpreter shell access. | |
| Persistence | T1053 | Scheduled Task | Some of the packages create a scheduled task to be executed periodically. |
| Defense evasion | T1116 | Code Signing | Some of the samples are signed. |
| Credential Access | T1056 | Input Capture | Backdoor contains a keylogger. |
| T1111 | Two-Factor Authentication Interception | Backdoor actively searches for a connected smart card. | |
| Collection | T1115 | Clipboard Data | Backdoor logs clipboard content. |
| Exfiltration | T1020 | Automated Exfiltration | Log files are automatically exfiltrated. |
| T1022 | Data Encrypted | Data sent to C&C is encrypted. | |
| T1041 | Exfiltration Over Command and Control Channel | Exfiltrated data is sent to a server. | |
| Command and Control | T1043 | Commonly Used Port | Communicates with a server using HTTPS. |
| T1071 | Standard Application Layer Protocol | HTTPS is used. | |
| T1094 | Custom Command and Control Protocol | Meterpreter is using DNS tunneling to communicate. | |
| T1105 | Remote File Copy | Backdoor can download and execute file from C&C server. |
