一、情况

废水（MuddyWater）APT组织是一个疑是来源于沙特的攻击组织，该组织关键对于中东国家、原苏联我国、土尔其等中亚地区的阅批机构开展攻击。该组织是现阶段全世界最活跃性的的APT攻击组织之一，百度安全御见威胁情报中心也曾一度公布该组织的攻击主题活动。

最近，百度安全御见威胁情报中心又不断检测到该组织在东亚、中东国家的一些攻击主题活动，包含塔吉克斯坦的外交关系、阅批机构、土尔其的阅批机构等。而且该组织也升级了其攻击TTPs，如宏代码拼凑内嵌硬编码字符串数组载入VBE；运用注册表文件，自启动文件夹运行VBE等，除此之外在受害人挑选上也更加精准，根据第一阶段侧门意见反馈的受害人信息选择总体目标开展下一步持久化等。

文中为对最近一些主题活动的攻击小结，除此之外百度安全御见威胁情报中心还将再次不断对该组织的一些攻击主题活动开展追踪。

二、攻击主题活动

1.攻击主题活动一：对于塔斯克斯坦联合国组织单位的攻击主题活动

1）攻击鱼饵信息：

文档hash

文件夹名称

文件属性

文本文档创作者

最终改动者

最终修改时间

上传入VT時间

1e8afda2721eff834ed9c87371a432fe

UNDP_TJK_Agreement_ORGS.doc

MS Word Document

Khursheda Aknazarova

win

2019-05-29 12:32:00

2019-05-30 04:07:35

文档鱼饵內容以下：

从鱼饵內容看来，该波垂钓攻击的目标为塔吉克斯坦联合国组织有关部门。

打开文档后，提醒打开宏。实行宏代码后，最先会创建文件%public%dj.txt，并载入硬编码在宏中的字符串数组，接着再在启动文件夹下建立antibiotic.vbe文档，并将控制domainServer中的內容开展拼凑载入vbe文档：

2）Antibiotic.vbe剖析

vbe破译后进行，这一段vbs代码功效是建立%public%USERCa.jpeg文件，并将内嵌编号字符串数组载入该文件中，接着运用powershell运作该照片：

3）USERCa.jpeg剖析

此段內容历经编号搞混：

去搞混后的powershell脚本制作为：

脚本制作最先会破译出去有关的c2配备：

接着会搜集当地设备信息载入%temp%log.txt中，随后获得guid和c2拼凑成详细地址，最终将log.txt中的內容载入并开展base64编号，传输给拼凑的详细地址，最终再去要求服务器下载最终的powershell木马病毒。

post当地信息url：

然后下载下一步powershell侧门：

2.攻击主题活动二：对于塔吉克斯坦阅批机构的攻击

1）攻击鱼饵

文档hash

文件夹名称

文件属性

文本文档创作者

最终改动者

最终修改时间

上传入VT時间

7cb076f1f42573c5c43083a89bcfe442

Zakupki_Agency on Public Procurement.doc

MS Word Document

win7

win7

2019-05-23 04:00:00

2019-05-27 00:11:18

文本文档內容为：

从鱼饵內容看来是对于塔吉克斯坦购置单位的一次垂钓攻击。

该文本文档开启后，一样提醒必须开启宏。而实行宏代码后，会建立%Temp%aulngr.vbe和%Temp?bbbb.tmp并将内嵌硬编码数据载入。接着设定注册表文件自动运行：