发布机构：360威胁情报中心
- 2014年11月起至今，黄金鼠组织（APT-C-27）对叙利亚地区展开了有组织、有计划、有针对性的长时间不间断攻击。
- 攻击平台主要包括Windows与Android，截至目前我们一共捕获了Android样本29个，Windows样本55个，涉及的C&C域名9个。
- PC与Android端间谍软件主要伪装成Telegram等聊天软件，并通过水坑等攻击方式配合社会工程学手段进行渗透。
- 相关恶意可执行程序多为“.exe”和“.scr”扩展名，但是这些程序都伪装成Word、聊天工具图标，并通过多种诱导方式诱导用户中招。
- 攻击者在诱饵文档命名时也颇为讲究，如“حمص تلبيسة قصف بالهاون”（炮击霍姆斯），此类文件名容易诱惑用户点击。
- 攻击者针对PC平台使用了大量的攻击载荷，包括Multi-stage Dropper、njRAT、VBS脚本、JS脚本、Downloader等恶意程序，此类恶意程序多为远控，主要功能包括上传下载文件、执行shell等。
- Android端后门程序功能主要包括定位、短信拦截、电话录音等，并且还会收集文档、图片、联系人、短信等情报信息。
- 通过相关信息的分析，发现该组织极有可能来自阿拉伯国家。
关键词：黄金鼠、APT-C-27、叙利亚、Windows、Android、水坑、伪装、诱饵文档、RAT、后门
概述
从2014年11月起至今，黄金鼠组织（APT-C-27）对叙利亚地区展开了有组织、有计划、有针对性的长时间不间断攻击。攻击平台从开始的Windows平台逐渐扩展至Android平台，截至目前我们一共捕获了Android平台攻击样本29个，Windows平台攻击样本55个，涉及的C&C域名9个。
2016年6月，我们首次注意到该攻击组织中涉及的PC端恶意代码，并展开关联分析，但通过大数据关联分析发现相关攻击行动最早可以追溯到 2014年11月，并关联出数十个恶意样本文件，包括PC和Android平台。此外，Android和PC平台的恶意样本主要伪装成聊天软件及一些特定领域常用软件，通过水坑攻击方式配合社会工程学手段进行渗透，向特定目标人群进行攻击，进一步结合恶意代码中诱饵文件的内容和其他情报数据，我们判定这是一次以窃取敏感信息为目的的针对性攻击，且目标熟悉阿拉伯语。
2015年7月，叙利亚哈马市新闻媒体在Facebook上发布了一则消息，该条消息称带有“土耳其对叙利亚边界部署反导弹系统进行干预，详细信息为http://www.gulfup.com/?MCVlNX”的信息为恶意信息，并告诫大家不要打开信息中链接，该链接为黑客入侵链接，相关C&C为31.9.48.183。哈马市揭露的这次攻击行动，就是我们在 2016年6月发现的针对叙利亚地区的APT攻击。从新闻中我们确定了该行动的攻击目标至少包括叙利亚地区，其载荷投递方式至少包括水坑式攻击。
360威胁情报中心将APT-C-27组织命名为黄金鼠，主要是考虑了以下几方面的因素：一是该组织在攻击过程中使用了大量的资源，说明该攻击组织资源丰富，而黄金鼠有长期在野外囤积粮食的习惯，字面上也有丰富的含义；二、该攻击组织通常是间隔一段时间出来攻击一次，这跟鼠有相通的地方；三是黄金仓鼠是叙利亚地区一种比较有代表性的动物。因此，根据360威胁情报中心对APT组织的命名规则（参见《2016年中国高级持续性威胁研究报告》），我们命名APT-C-27组织为“黄金鼠”。
攻击组织的三次攻击行动
图1 该攻击组织相关重点事件时间轴
注：
圆形蓝色里程碑：相关典型后门首次出现时间
正方形灰色里程碑：相关典型后门再次出现时间
三角形深蓝色里程碑：相关C&C出现时间
菱形黑色里程碑：重要事件出现的时间
| 攻击行动 | 活跃时间 | 主要载荷 | 主要C&C |
| 第一次 | 2014.10 – 2015.7 | njRAT、Downloader | bbbb4.noip.me
31.9.48.183 |
| 第二次 | 2015.8 – 2016.11 | DarkKomet、VBS Backdoor、AndroRAT | basharalassad1sea.noip.me
31.9.48.183 |
| 第三次 | 2016.12 – 至今 | Android RAT、定制RAT、JS Backdoor、JS后门 | 82.137.255.56
telgram.strangled.net chatsecurelite.us.to |
表1 三波攻击行动
第一次攻击行动集中在2014年10月到2015年7月，该期间攻击组织主要使用开源远控njRAT和Downloader进行攻击，攻击载荷并不复杂，使用的C&C主要为bbbb4.noip.me和31.9.48.183。但是2015年7月，该组织使用的C&C（31.9.48.183）被叙利亚哈马市新闻媒体在Facebook曝光。
第二次攻击行动集中在2015年7月到2016年11月，在这期间攻击者使用了多种不同类型的攻击载荷。在2015年8月攻击者开始使用Delphi编写的DarkKomet远控，此外，在2015年11月针对Android操作系统的攻击开始出现，并使用了AndroRAT恶意程序，期间使用的C&C主要是31.9.48.183，但是到了2016年1月，该组织开始使用新的域名basharalassad1sea.noip.me作为C&C服务器。另外，本次攻击行动具有代表性的就是2016年10月开始使用Facebook进行水坑攻击，并使用全新的VBS后门作为攻击载荷。
第三次攻击行动集中在2016年12月到至今，该期间攻击组织表现尤为活跃，使用的攻击载荷变得更加丰富。在2017年4月使用了telgram.strangled.net钓鱼页面进行水坑攻击，并且根据telegram升级程序的步骤制作RAT进行攻击，攻击平台包括PC与Android，C&C服务器也改变成82.137.255.56。此外，在2017年5月，首次出现了JS后门，并结合前期的VBS后门、RAT同时攻击。在这次攻击中需要引起重视的是，在2017年9月，攻击者开始使用域名chatsecurelite.us.to替代原有域名telgram.strangled.net进行水坑攻击，并着重针对Android平台进行攻击，开发了一系列不同伪装形式的RAT，最近两个月，攻击者基本上都只对Android平台进行攻击。
载荷投递
水坑攻击
APT 攻击中主流的水坑攻击主要分为以下三种：1、攻击者将被攻击目标关注的网站攻陷，并植入恶意代码（俗称挂马），当目标访问时可能会触发漏洞从而植入恶意代码；2、攻击者将被攻击目标关注的网站攻陷，并把网站上一些可信应用或链接替换为攻击者所持有的恶意下载链接，当目标访问被攻陷的网站并将恶意下载链接的文件下载并执行，则被植入恶意代码；3、攻击者搭建一些具有迷惑性的网站，通过诱导用户转向此网站进行恶意程序的下载，如鱼叉邮件正文中嵌入恶意网址或基于社交网络的诱导。在该事件中，攻击者选择的是第三种水坑攻击方式。
（一） 钓鱼网站
PC端间谍软件主要伪装成Telegram、Chrome等升级软件，并通过挂载在具有迷惑性的下载网址上引诱目标下载安装。攻击者注册了一系列类似于http://telgram.strangled.net/、http://chatsecurelite.us.to这种具有迷惑性的网址，并且上面都挂着部分正常样本用于干扰、迷惑。表2是PC端RAT程序具体下载链接和链接对应文件MD5。
表2 PC端RAT程序下载链接和链接对应文件MD5
Android端间谍软件主要伪装成“System Package Update”、“Telegram Update”、“ChatSecure Ultimate 2017”、“Ms Office Update 2017”、“WordActivation”、“تسريع_نت_مجاني”等软件，这些软件普遍为一些聊天软件更新程序，并通过挂载在具有迷惑性的下载网址上引诱目标下载安装。
图2为攻击者钓鱼页面（chatsecurelite.us.to/تحميل-البرنامج/）。
图2 攻击者钓鱼页面
点击上图中的应用会跳转至真正后台进行应用下载，如图3所示：
图3 攻击者后台页面
目前该链接为正常状态，表3是某Android端RAT程序具体下载链接和链接对应的APK文件 MD5。
表3 Android端RAT程序下载链接和链接对应的APK文件MD5
通过分析我们发现telgram.strangled.net这个域名从2017年9月份停止使用，9月份之后，开始使用chatsecurelite.us.to这个域名。此外，通过链接下载的APK文件或EXE程序图标都会被修改成正常的软件更新程序欺骗用户，从而导致用户中招。
（二） 社交网络
除了上述诱导用户到指定链接下载恶意程序外，攻击者还利用社交网络Facebook传播恶意程序，甚至将带有水坑链接的这些消息置顶，以更好的达到欺骗效果。图4、图5、图6都是攻击者在Facebook上诱导用户点击水坑链接的截图，用户点击该链接实际上会下载恶意载荷。
图4 Facebook传播恶意载荷1
图5 Facebook传播恶意载荷2
图6 Facebook传播恶意载荷3
从上图可以知道，攻击者首先将部分恶意载荷上传至下载站，如https://jumpshare.com/、http://www.mediafire.com/，然后在Facebook上发送欺骗性消息，欺骗用户到指定网站下载恶意载荷。表4是某VBS载荷具体下载链接和链接对应的VBS文件 MD5。
表4 某VBS载荷下载链接和链接对应的VBS文件MD5
疑似鱼叉邮件
相关恶意可执行程序多为“.exe”和“.scr”扩展名，但是这些文件都伪装成doc、telegram、chrome图标，并且文件中还包含一些用以迷惑用户的文档，从以往此类事件的分析经验来看，一般这类可执行程序均进行压缩，以压缩包形态发送。压缩包和包内恶意代码文件名一般是针对目标进行精心构造的文件名，相关文件名一般与邮件主题、正文内容和恶意代码释放出的诱饵文档内容相符，因此这次攻击行动有可能也会以鱼叉邮件的方式进行投递。
诱导方式
攻击组织在这次行动中主要使用以下几种诱导方式。
文档诱导
文档诱导主要是指攻击者通过正常PDF、DOC文档，提醒用户到恶意URL处更新最新程序或诱导用户安装APK文件，从而导致用户中招。
图7为其中某诱饵文档，该文档指出用户所用版本为旧版本，提醒用户及时更新，但是实际上文档中URL为恶意URL，下载的程序为RAT。
图7 诱饵文档1
下图为诱导用户安装APK的PDF文件，如用户按照此方式进行安装，APK会隐藏图标，在后台静默执行恶意程序。
图8 诱饵文档2
文件图标伪装
PC与Android端特洛伊木马通过图标进行伪装，涉及的图标主要包括聊天工具、WORD文档、人物头像等图标，其中Android平台涉及的伪装图标主要是聊天工具和Word图标，如图9所示。
图9 Android端欺骗性软件图标
PC平台上涉及的伪装图标主要有人物头像、聊天工具升级图标等，如图10所示。
图10 PC端欺骗性软件图标
使用特殊文件格式
攻击者使用的部分载荷采用scr后缀的文件名，scr文件格式是Windows系统中屏幕保护程序，为exe的衍生类型。此外，攻击者在使用这种文件格式时，通常会对文件命名一个诱饵名字，如“حمص تلبيسة قصف بالهاون.scr”（炮击霍姆斯），霍姆斯是叙利亚的一个城市，并且被大规模武装袭击过。攻击者利用此类文件名及文件格式容易引起用户好奇心，从而点击文件中招。
正常软件更新伪装
攻击者不仅对恶意程序文件名、图标进行伪装，而且还会针对某些恶意更新程序（如telegram.exe，telegram是叙利亚一个比较流行的通讯软件）伪装其正常更新页面。当点击该恶意程序时，弹出正常的软件更新页面以迷惑用户，从而隐藏其层层释放恶意RAT的行为，普通用户很难辨别出此类软件恶意行为。图11为某一恶意程序运行的截图。
图11 软件更新伪装界面
后门分析
Android
1）Android平台的样本，伪装成“ChatSecure”、“WordActivation”、“whatsappupdate_2017”、“تسريع_نت_مج”等常用聊天办公软件，本质是一个RAT。
图12 “WordActivation”运行界面
2）Android设备管理器是Google提供的一套API，允许用户以system权限管理设备，一个APP激活设备管理器后，不能被轻易卸载（必须先取消激活）。这些RAT程序动后诱导用户激活设备管理器，然后隐藏图标在后台运行。
图13 激活设备管理器代码
图14 诱导用户激活设备管理器
3）启动RAT监控模块。RAT模块默认与31.9.48.183这个C&C建立连接，接收命令和参数。
图15 启动RAT监控模块
4）依据云端指令盗取用户手机中WhatsApp、Viber等软件的数据。
图16 盗取用户WhatsApp、Viber的数据
5）样本具有录音、拍照、GPS定位、上传联系人/通话记录/短信/文件、执行云端命令等能力，除伪装的APP名字不一样，功能基本相同。
图17 样本核心代码的结构
6）样本主要以xml格式向云端发送数据和接收指令。
图18 发送的数据和接收的指令
7）样本接收的指令如表5所示。经分析，这些指令都可以执行。
| 指令 | 功能 |
| 16 | 心跳打点 |
| 17 | connect |
| 18 | 获取指定文件的基本信息 |
| 19 | 下载文件 |
| 20 | 上传文件 |
| 21 | 删除文件 |
| 22 | 按照云端指令复制文件 |
| 23 | 按照云端指令移动文件 |
| 24 | 按照云端指令重命名文件 |
| 25 | 运行文件 |
| 28 | 按照云端指令创建目录 |
| 29 | 执行云端命令 |
| 30 | 执行一次ping命令 |
| 31 | 获取并上传联系人信息 |
| 32 | 获取并上传短信 |
| 33 | 获取并上传通话记录 |
| 34 | 开始录音 |
| 35 | 停止并上传录音文件 |
| 36 | 拍照 |
| 37 | 开始GPS定位 |
| 38 | 停止GPS定位并上传位置信息 |
| 39 | 使用云端发来的ip/port |
| 40 | 向云端报告当前使用的ip/port |
| 41 | 获取已安装应用的信息 |
表5 Android端RAT样本指令与功能对应关系
Windows
（一） Multi-stage Dropper
此类间谍软件伪装成聊天工具telegram的升级程序进行传播，为使用户中招和更好的隐藏自身，该恶意程序在多方面进行了伪装，不但使用具有诱惑性的名字和图标，而且还做了可以以假乱真的安装界面来迷惑用户。该恶意程序运行后会有一个伪装的telegram升级界面，在用户一步步点击进行升级的过程中，恶意程序通过层层释放，最终会将一个RAT程序释放到用户电脑并运行。下图是某恶意程序执行流程图。
图19 执行流程图
该RAT程序使用.net框架编写，通过接受控制端命令对用户计算机进行控制，如文件修改执行，杀进程等操作。通过对比发现该RAT与Android平台的RAT样本的命令除个别外其余编号对应的功能基本一致。对应关系如表6所示。
| 指令 | 功能 |
| 18 | 获取磁盘信息 |
| 19 | 上传文件 |
| 20 | 下载文件 |
| 21 | 删除文件 |
| 22 | 复制文件 |
| 23 | 移动文件 |
| 24 | 重命名文件 |
| 25 | 运行文件 |
| 26 | 压缩文件 |
| 27 | 解压文件 |
| 28 | 创建目录 |
| 31 | 上传屏幕截图 |
| 32 | 停止屏幕截图 |
| 33 | 获取进程列表 |
| 34 | 结束进程 |
| 35 | 执行命令 |
表6 PC端RAT样本指令与功能对应关系
（二） njRAT
该组织除了自己开发Multi-stage Dropper程序外，也使用近年来最为活跃的木马家族之一的远控njRAT。在使用njRAT时并不是直接使用，而是对在njRAT的基础上进行了二次封装，使用C#为njRAT加了一层壳，并对壳的代码进行了大量的混淆。该壳的作用是在内存中加载njRAT运行，防止njRAT被杀毒软件检测。
njRAT又称Bladabindi，是通过.net框架编写的RAT程序，通过控制端可以操作受控端的注册表，进程，文件等，还可以对被控端的键盘进行记录。同时njRAT采用了插件机制，可以通过不同的插件来扩展njRAT的功能。
图20 配置信息
图21 键盘记录
（三） C# Downloader
在进行关联分析中还发现该组织也使用Downloader进行二次下次，该Downloader使用具有诱惑力的名字，后缀也使用scr来诱导用户点击，如حمص تلبيسة قصف بالهاون.scr，شام الحرة.scr（炮击霍姆斯）。
Downloader主要是从pastebin.com去下载文件执行，在通过下载的文件执行核心功能，如backdoor，RAT等。
图22 下载功能1
图23 下载功能2
（四） VBS Backdoor
该组织在进行攻击时使用大量的VBS脚本，并且该脚本经过大量混淆，下图为其中一个VBS脚本的部分代码。除此之外，使用的VBS脚本不再是简单的下载文件，而且完整的一个后门程序。
图24 部分VBS代码
将代码去混淆后，得到主要代码。
图25 主要功能代码
该VBS主要功能是与C&C(31.9.48.183:1984)进行通信，表7是主要指令对用的功能。
| 指令 | 功能 |
| excecute | 执行远端命令 |
| update | 更新载荷 |
| uninstall | 卸载自身 |
| send | 下载文件 |
| site-send | 指定网站下载文件 |
| recv | 上传数据 |
| enum-driver | 枚举驱动 |
| enum-faf | 枚举指定目录下的文件 |
| enum-process | 枚举进程 |
| cmd-shell | 执行shell |
| delete | 删除文件 |
| exit-process | 结束进程 |
| sleep | 设置脚本的睡眠时间 |
表7 VBS样本指令与功能对应关系
（五） JS Backdoor
在此次行动中攻击者还使用了JavaScript脚本，脚本为完整后门程序。部分代码如图26所示。
图26 JS脚本部分功能代码
该样本功能是与82.137.255.56:1933进行通信，主要指令如表8所示。
| 指令 | 功能 |
| Sc | 在临时目录创建文件并运行 |
| Ex | 获取指定的环境变量 |
| Rn | 更新脚本程序并运行 |
| Up | 在临时目录创建脚本并运行 |
| Un | 执行命令 |
表8 JS样本指令与功能对应关系
综上所述，可以看出攻击者在攻击过程中使用了大量不同类型的攻击载荷。另外，需要特别说明的是，除上述攻击载荷外，该组织在攻击过程中还使用了Delphi开发的远控程序DarkKomet和XtremeRAT，使用C&C为31.9.48.183，但该类型远控占比较低且为公开远控，所以这里不再单独进行分析。
C&C分析
本章就攻击者使用的C&C进行分析，发现C&C使用的都是子域名（如telgram.strangled.net）或硬编码IP地址，攻击使用此类方式来隐藏自己的真实身份，安全研究机构或人员很难找到相关线索信息进行关联回溯，这说明了该组织对自己的真实身份有较强的保护意识。
C&C时间分布
| C&C使用时间 | 主要C&C |
| 2014年 | bbbb4.noip.me |
| 2015年~2016年 | basharalassad1sea.noip.me、31.9.48.183 |
| 2017年 | telgram.strangled.net、chatsecurelite.us.to
82.137.255.56 |
表9 域名时间分布
从上表中可以看出该组织攻击行动使用的C&C并不多，2014年第一次攻击行动使用的域名为bbbb4.noip.me，在2015到2016年期间，使用的主要C&C是basharalassad1sea.noip.me和31.9.48.183。不过2017年开始，以前使用的C&C基本都不再用了，而是使用telgram.strangled.net、chatsecurelite.us.to、82.137.255.56这三个C&C，通过分析发现2017年9月份之前攻击者水坑攻击使用的是telgram.strangled.net，9月份之后，开始使用chatsecurelite.us.to这个域名，而攻击载荷主要使用82.137.255.56这个C&C。
C&C服务器端口分布
攻击者使用的C&C服务器虽说较少，但是不同攻击载荷使用了不同的端口，下图为C&C服务器端口分布。
图27 C&C服务器端口分布
从上图C&C服务器端口分布来看，攻击者偏向于使用1177、1740、5552端口，其占比居前三位，分别为33.9%、19.4%、8.1%。其中1177和5552端口主要用于njRAT远控，1740端口多用于移动端RAT样本。紧随其后的有1940、1933端口，其占比分别为6.5%、4.8%，此二类端口多用于VBS后门中。另外其他类别主要包括3000、1990、1610、1984、4010、1920等端口。
C&C、IP及部分样本对应关系
图28 C&C、 IP及部分样本对应关系
通过图28中的C&C、IP及部分样本对应关系，很明确说明了PC端样本与Android平台样本存在强关联。此外IP 82.137.255.56与31.9.48.183都是攻击者所持有，后面第八章会重点分析两IP之间的关系。通过分析所有样本，发现早期PC端样本主要使用31.9.48.183作为C&C服务器，而后期PC与Android端则主要使用C&C服务器为82.137.255.56。
PC与Android关联分析
本章主要就该攻击组织使用的恶意代码、文件名、C&C服务器等层面进行关联分析。
共用C&C
| 针对操作系统 | PC |
| MD5 | d84a553f9f272c8e2e6db525fa4f9977 |
| C&C | 82.137.255.56:5601 |
表10 PC样本基本信息
图29 PC样本代码截图（C&C地址）
| 针对操作系统 | Android |
| MD5 | cf507aa156fe856e74f22b80e83055fd |
| C&C | 82.137.255.56:1740 |
表11 Android样本基本信息
图30 Android样本代码截图（C&C地址）
从掌握的样本信息发现，近期Android与PC端样本使用C&C都是 82.137.255.56，只是端口不一样。
共用远控指令
| 针对操作系统 | PC |
| MD5 | ad9c09bb6b22cb970706b5e3ffdf7621 |
| C&C | 82.137.255.56 |
表12 PC样本基本信息
图31 PC样本代码截图（远控指令）
| 针对操作系统 | Android |
| MD5 | cf507aa156fe856e74f22b80e83055fd |
| C&C | 82.137.255.56 |
表13 Android样本基本信息
图32 Android样本代码截图（远控指令）
从上述对比信息知道，PC与Android端的RAT远端指令20、21、22都一致，分别是下载文件、删除文件、复制文件。实际攻击在PC与Android端RAT样本使用的是同一套远控指令，都从数字17开始，这间接说明了攻击方都是同一伙人。
共用水坑链接
| 针对操作系统 | PC |
| MD5 | ad9c09bb6b22cb970706b5e3ffdf7621 |
| 下载链接 |
http://telgram.strangled.net/wp-content/uploads/2017/
telegram.exe |
表14 PC样本基本信息
| 针对操作系统 | Android |
| MD5 | 090ba0eef20b8fdcefd619ddc634b440 |
| 下载链接 |
http://chatsecurelite.us.to/wp-content/uploads/2017/
ChatSecurePro.apk |
表15 Android样本基本信息
通过表14和表15我们知道PC与Android端使用的水坑链接目录结构一致。实际上telgram.strangled.net、chatsecurelite.us.to这两个域名都是攻击者持有，且对应的IP都是82.137.255.56，只是攻击者从2017年9月开始使用chatsecurelite.us.to这个域名，并在11月将对应IP改为82.137.255.57。
共用文件名
攻击行动中PC与Android平台上的间谍软件使用的文件名大多是一些聊天软件名，如telegram.exe。
| 平台 | Md5 | 文件名 |
| PC | ad9c09bb6b22cb970706b5e3ffdf7621 | telegram.exe |
| Android | a5a7ad37a06d0beac8da7ae1663db001 | telegramupdate_2017.apk |
表16 样本文件名
从上表可以看出该组织针对这两种平台都喜欢使用聊天软件名。
共用字符串
攻击行动中PC与Android平台间谍软件代码中都包含“HAMZA_DELIMITER_STOP”等字符串, 此字符串是xml格式数据的结尾标志。此外发现PC与Android端样本代码中都使用了大量阿拉伯语，如 “لايمكن ضفط、 “فشل التحميل”等字符串。
| 平台 | Md5 | 字符串 |
| PC | ad9c09bb6b22cb970706b5e3ffdf7621 | HAMZA_DELIMITER_STOP、وصول غير مسموح（不允许访问） |
| Android | a5a7ad37a06d0beac8da7ae1663db001 | HAMZA_DELIMITER_STOP、فشل التحميل（加载失败） |
表17 样本中涉及的字符串
通过上述所有的关联分析，可以明确知道PC与Android端样本来自同一组织开发，并且该组织熟悉阿拉伯语。
特殊线索信息
PDB路径
PDB路径有一定地域特征。
| 样本MD5 | pdb路径 |
| 871e4e5036c7909d6fd9f23285ff39b5 | aboomar3laqat.pdb |
| 11b61b531a7bbc7668d7d346e4a17d5e | C:\Users\Th3ProSyria\Desktop\cleanPROs\cleanPROs\obj\Debug\NJ.pdb |
表18 PC样本PDB路径
上表是PC平台中部分PE文件的PDB路径，这个路径就是恶意代码作者本机的文件路径，从相关用户名“Th3ProSyria”、“aboomar”来看，这些用户名更多出现在阿拉伯国家。
特殊文件名
| 样本MD5 | 文件名 |
| a4e6c15984a86f2a102ad67fa870a844 | حمص تلبيسة قصف بالهاون.scr |
| 3f00799368f029c38cea4a1a56389ab7 | صفقة جيش الاسلام مع النظام المتضمنة تبادل 75 اسير للنظام من عدرا العمالية مقابل 15 معتقل لجيش الاسلام image.vbs |
| ea79617ba045e118ca26a0e39683700d | وثيقة رقم 1 العميد مناف طلاس يترأس هيئة الاركان العليا.vbs |
表19 PC样本PDB路径
上表是部分攻击样本的文件名，其中文件名“وثيقة رقم 1 العميد مناف طلاس يترأس هيئة الاركان العليا”是关于Manaf Tlass的信息，而Manaf Tlass是叙利亚前国防部长之子马纳夫・塔拉斯。文件名“حمص تلبيسة قصف بالهاون”直译是“炮击霍姆斯”，而霍姆斯是叙利亚的一个城市，通过上述文件名可以侧面看出攻击者针对地区为叙利亚。文件名“صفقة جيش الاسلام مع النظام المتضمنة تبادل 75 اسير للنظام من عدرا العمالية مقابل 15 معتقل لجيش الاسلام”是关于囚犯交换的。因此从这些文件名可以看出，攻击者在诱饵文档命名时也颇为讲究，此类文件名容易诱惑用户点击。
文档作者
通过在攻击者后台http://chatsecurelite.us.to/wp-content/uploads/2016/12/目录下发现文件1.docx文件，如下图。
图33 1.docx存放位置
查看1.docx的属性发现该文件有作者信息Raddex。
图34 1.docx属性
进一步关联分析发现，发现PC端样本SystemUI.exe(bdaaf37d1982a7221733c4cae17eccf8)也使用Raddex字符命名类，此样本C&C为31.9.48.183。这与叙利亚哈马市新闻网发布的攻击者IP信息一致。
图35 叙利亚哈马市新闻网发布的消息
因此，推断Raddex属于攻击者组织的用户名。
计算机名
图37 IP 82.137.255.56信息
图36、37分别是IP 31.9.48.183、82.137.255.56的相关信息，这两个IP都是攻击者所持有。通过对这两个IP关联分析，并结合前面的pdb路径，可以清楚知道aboomar、abo moaaz属于攻击组织的计算机名。aboomar、abo moaaz此名字常出现在阿拉伯地区。
总结
通过对该组织相关TTPs（Tools、Techniques、Procedures）的研究分析，以及结合以往跟进或披露的 APT 组织或攻击行动，总结出以下几点：
移动端APT事件逐渐增多
以往披露的APT事件主要是针对Windows系统进行攻击，现今由于Android系统、APP的普及与发展，带动了Android手机等智能终端用户量的持续攀升，从而导致黑客组织的攻击目标也逐渐转向移动端。从我们捕获的样本也可以知道，攻击者显示从Windows平台逐渐过度到Android平台，并且在近期攻击者主要使用Android样本进行攻击，且更新速率很快，从而变相说明该组织后期主要会基于Android系统进行攻击。
因此，针对移动端的APT攻击不容忽略。
攻击技术由浅入深。
技术分析显示，该组织初期使用的特种木马技术并不复杂，主要使用开源的njRAT。但后期版本中，攻击者开始使用定制RAT，此种RAT需要通过层层释放执行恶意功能，于此同时，攻击者也开始使用VBS、JS脚本、Android RAT进行全方位攻击。综合来看，该组织的攻击周期较长攻击目标之明确，并且攻击过程中使用了大量资源，都表明这不是一个人或一般组织能承受的攻击成本。
因此该组织行动背后组织应该不是普通的民间黑客组织，很有可能是具有高度组织化的、专业化的黑客组织。
攻击组织极可能来自阿拉伯国家。
通过前面分析我们知道PDB路径有“Th3Pro”、“aboomar”等字符串，文档作者Raddex，IP信息获取的“aboomar”、“abo moaaz”计算机名，这些名字（“aboomar”、“abo moaaz”）常常出现在阿拉伯地区。并且通过部分样本中使用的字符串及文件名（如“حمص تلبيسة قصف بالهاون”）可以知道攻击者熟悉阿拉伯语。
附录A：样本MD5
| PC端样本MD5 | 移动端样本MD5 |
| dc09543850d109fbb78f7c91badcda0d | 090ba0eef20b8fdcefd619ddc634b440 |
| 571afc1fe6ec2deef5099435c3b112f7 | 21cae0f8b41d5094c88858135a2bafc6 |
| d84a553f9f272c8e2e6db525fa4f9977 | 3b8050b44700dec5cc7b2875549a3460 |
| 29e33220e37afd6c3a22543f2dad4486 | 405d28c207096120b92bf8338d2ed9f6 |
| d38bd978afca411e8e4fc10861485834 | 5fe4361fbe0f96f521b7ad08cf4fa5c2 |
| d774a45b9f865f2d3d045ead7d27d871 | 604035f7470a0de7b6169b218b30fe1e |
| ad9c09bb6b22cb970706b5e3ffdf7621 | 62d8a29ecae6bea296b2aeefa69814f7 |
| 55971412602747a98c3477b289ef2c9a | 74f9549afd7ba8e25f0dfbd735ed2130 |
| b7d1e20f814e9300a5b104f0a6f0c6f6 | 9f6a99a4bfddbf1efc72264252f691ef |
| 3f00799368f029c38cea4a1a56389ab7 | a5a7ad37a06d0beac8da7ae1663db001 |
| a4e6c15984a86f2a102ad67fa870a844 | cb9759054dee65621ecf9c91018e4322 |
| b5d9b03020fff512934e2001805f9c0b | ccf4a5d0f441c0e55fd871ebd229ccd7 |
| b89e0d5a7329ee61fba7279dca14edf3 | cf507aa156fe856e74f22b80e83055fd |
| bdaaf37d1982a7221733c4cae17eccf8 | de83e22c323a3382fde98e4b7e6ddc3e |
| 11b61b531a7bbc7668d7d346e4a17d5e | def07be7cd3584bd565b808f9d9103b5 |
| d06f0950f2f3a0b069fa9cedfcbc7d43 | e022aa83908625ca356782480881dd8d |
| 871e4e5036c7909d6fd9f23285ff39b5 | e53e4db569e2886b960f8f5a7d9069ff |
| 6cde6e81f8bc05339d2dd50feadbc31f | 39dd3d9e2a276d4d341ef01b21964d05 |
| 612cb35dbab698b11a63a8c93df1cf6b | 59cc514938fa30b14f7d1d46f5fb493a |
| 5232f720be177310c72ac004ed84f026 | 819cac2e71e2ed346a9b5e48077e786c |
| 99977cb5eafe40b9672c75010ae74398 | 8ab2a456d8c0cdd5f541c53f925158f8 |
| 1403bbaa9e0fcb5c9d9e8efeca95efa3 | d94244732a762d9414587cce8d9836f8 |
| eb8cce73a5f983b94d5bf6a389ea09f0 | b4f1cd4bbf1be5c4ed4d84de941f4cc1 |
| 0d5a49d9be130d238c0a9ce2bf3115a5 | 45c45e1afdd6232b08041576da590f12 |
| e3f9694b264bdb667bfefb09c209a118 | e4197ea4e6fa6c1b7b053805cfa48b69 |
| 93ca8ea43d7af65875973adb2fcc80a3 | b010230cd1846226aae1b3b9b4a16ac7 |
| 382788bb234b75a35b80ac69cb7ba306 | 9dbda4346efae4daceac1e3ce6c23994 |
| 69a35e8c9cfe20edeeed96241d66dac7 | e448e46dd39b9398467e382128e538e4 |
| fdedf688e4ac5fb4df059052883cd90b | 7eacdf48061a5aa075e81e69e151a767 |
| bf1dd2bd62e34c467ac1bb3363c2a98b | d9b1e46a08cc5a5d4844193fffec4489 |
| 4ef5bd5f1cc6758a765b4ef6a270e527 | 7bd1e63ac84e4cf511e54ac85b7af6fe |
| cc0db787872eac747c75d7bea6e75bf1 | d6aa10393135f4a77191533d3422403b |
| ea79617ba045e118ca26a0e39683700d | |
| c9adaec7775c19c06b91b3d45ff4687e | |
| 73dc99693709a12881681659292103e7 | |
| 9231882b47475e327adc23f3b1f716f0 | |
| 17cc1c907ac19139a98fab34d78f7323 | |
| 6b2136a9ae899588769e9c0513be410e | |
| b29f50770355a8a165dff87f4aede6f0 | |
| af73ca52a77402a178ee3594020e88c1 | |
| 1b09ce9b782e56131103aad73016e329 | |
| cf8ffe7f560b4d19aaaf93439101ef16 | |
| 558a6afb2353bd25da76d17b0f80193b | |
| 75e8aeb6314ced58a0c40e0b88a969a6 | |
| f519e5b04bd9cbf76875c0d8dbbbc8b4 | |
| 8848631aeaf33a166c9e623d430cb1bf | |
| f739170918c50bea803b313d5cb0f470 | |
| ea73fa4f83a40cbb11ee04106414fe7a | |
| 2ea0298b94b8fadb49ed35aece28cb14 | |
| 6fcadad1af1894f6678a4f46c2e168c2 | |
| 32ea9d96b6278f8040bf0bb4bbfa4418 | |
| b134dc4c1f69dd734417ac5125995bdb |
附录B：C&C列表
| 82.137.255.56 |
| 82.137.255.57 |
| 31.9.48.183 |
| 82.137.249.204 |
| chatsecurelite.us.to |
| telgram.strangled.net |
| basharalassad1sea.noip.me |
| bbbb4.noip.me |
| android.nard.ca |