概述

奇安信威脅情報中心在日常終端運營過程中發現了一個異常的行為，一個名為WindowsPackageManagerServer的進程經過複雜的操作最終啟動了免殺的Lumma Stealer，我們隨即展開了調查，並最終在微軟應用商店找到了對應的惡意安裝包，內容為俄語版的7Zip軟體。經過我們的測試微軟應用商店並沒有上架官方的7ZIP安裝程序，如果使用者搜尋「7z」相關的關鍵詞則會展示該惡意安裝包。

我們第一時間將該情況上報給了微軟，目前該惡意軟體已經從微軟應用商店下架, 上報時間線如下：

通過溯源發現該安裝包最早出現於2023年一月份，幾乎免殺了一整年。我們內部將該團伙命名為UTG-Q-003，並將該事件細節和IOC公開給開源社區，供友商分析排查。

攻擊鏈

我們不清楚攻擊者是如何將惡意的安裝包上架到微軟應用商店的，基於奇安信大資料平臺7z-soft軟體最早的下載時間是2023年3月17。執行鏈如下：

JPHP是使用java的虛擬機器執行PHP程式碼的一款開源項目，將php的源程式碼編譯成java位元組碼，並在JVM裡面運行，故免殺效果非常好，攻擊者使用JPHP的庫函數jurl從遠端伺服器下載後續payload。

攻擊者為了保持長時間的免殺在其C2伺服器上頻繁更新payload，我們一天能請求到2-3個MD5不同的soft.exe，主要目的是竊取受害機器上的txt、doc、rdp、key、wallet、seed、lnk等類型的檔案，所涉及的家族為redline malware、Lumma Stealer、Amadey。

基於VT資料我們觀察到7z-soft.exe除了微軟應用商店投遞外還有別的下載方式

上述URL目前已經無法訪問，但是基於歷史的資料我們發現在請求域名（deputadojoaodaniel.com.br）後跳轉到cdn.discordapp.com託管的連結上

查看兩個域名歷史的html頁面發現均為wordpress網站，這就意味著UTG-Q-003極有可能入侵了wordpress的網站並將其作為跳板，用於存放payload和實現網頁重定向。這種攻擊手法對於俄語系的團伙非常常見。

在十月份時我們檢測到在訪問analiticaderetail.com時直接跳轉到了browserneedupdate.com頁面，經過我們的分析，這是攻擊者另一套攻擊鏈，基於chrome瀏覽器訊息推送機制的社工攻擊鏈，攻擊流程如下：

攻擊者製作了一個較為逼真的cloudflare DDOS防護頁面，並提示你該域名正在處於DDOS攻擊中，接著彈出一個仿冒人機驗證的框誘導受害者進行點選，

點選後會新啟動一個頁面並跳轉到brolink2s.site域並載入一個JS，JS主要功能彈出顯示通知並且誘導受害者點選允許按鈕。

受害者一旦點選允許，那麼該網站就會加入chrome的訊息推送列表，並且通知推送適用於任何平臺（MAC、windows、Android）。

即使受害者的瀏覽器處於關閉狀態，攻擊者依然可以通過windows通知推送相關連結，推送效果圖如下：

我們統計從十月至今一共有十個域名重定向到browserneedupdate.com,域名類型也都為電影資源網、軟體開發等，這就意味著攻擊者完全可以在攻擊的第一階段只投遞帶有誘導受害者開啟訊息通知連結的釣魚郵件，並且通過入侵合法網站設置跳轉的方式繞過郵件網關檢測，第二階段攻擊者根據目標主機的平臺可以推送定製化的釣魚連結，誘導受害者下載並運行誘餌檔案，這種社工方式的可信度要比釣魚郵件提示使用者軟體更新要高很多，並且非常隱蔽。

除此之外，UTG-Q-003還投遞過如下類型的安裝包，仍然是基於JPHP框架的下載者。

歸因和影響

基於奇安信威脅情報中心遙測資料，從8月份開始，從微軟應用商店下載該安裝包的數量明顯增多，我們認為可能與winrar漏洞有關，在CVE-2023-38831的EXP公佈後四五天就有東亞地區的APT組織對中國發起釣魚攻擊活動，各單位可能要求員工更換壓縮軟體，外加國內搜尋引擎已經被SEO黑產團伙搞得烏煙瘴氣，根本無法找到7zip官方下載網站，所以部分使用者只能去微軟應用商店去下載7zip從而導致中招。

這也是為什麼在一款俄語的惡意安裝包上的差評竟由中文使用者提交，這看起來很諷刺但這就是目前國內軟體下載的糟糕生態。

攻擊者所使用的域名的註冊資訊都是與俄烏相關的，但我們無法獲取到國外受害者的資訊，特別是俄語區的受害者。故無法做出相關的歸屬。

總結

目前，基於奇安信威脅情報中心的威脅情報資料的全線產品，包括奇安信威脅情報平臺（TIP）、天擎、天眼高級威脅檢測系統、奇安信NGSOC、奇安信態勢感知等，都已經支持對此類攻擊的精確檢測。

IOC

有關UTG-Q-003的詳細IOC，請參閱奇安信威脅情報中心紅雨滴團隊Github^[1]。

參考連結

[1].https://github.com/RedDrip7/APT_Digital_Weapon/tree/master/UTG-Q-003

點選閱讀原文至ALPHA 6.0

即刻助力威脅研判