🔍 摩诃草APT-C-09组织通过钓鱼邮件发送MSC文档，诱导用户执行后远程加载HTML文件，下载诱饵文档和恶意dll，利用白利用方式加载Mythic C2框架组件实现持久化控制。

📊 攻击载荷使用Mythic C2框架，通过AES加密和Base64编码与C2服务器通信，获取被控计算机信息并发送至C2服务器。

🎯 攻击目标为巴基斯坦地区，诱饵文档针对巴基斯坦电信行业和机场管理局，表明攻击者具有明确的目标针对性。

🌐 datamero.org域名被用于投递BADNEWS木马和MSC文档，很可能为摩诃草组织控制或使用的基础设施之一。

🛠️ 摩诃草组织擅长使用开源或泄露的攻击工具，此次攻击采用Mythic C2框架，进一步印证了该组织具备持续集成多种开源C2工具的能力与倾向。

原创 高级威胁研究院 2025-08-08 17:27 北京

360高级威胁研究院监测到该组织针对巴基斯坦地区的新一轮攻击活动，并捕获到一类基于Mythic C2框架的新型载荷，该载荷通过MSC文档形式投递，这种利用方式在摩诃草以往的攻击案例中相对罕见

 一、攻击活动分析 

1.攻击流程分析

摩诃草组织通过发送携带MSC文档的邮件发起钓鱼攻击。用户打开MSC文档后会远程加载一个html文件，该文件内嵌混淆的jscript代码，jscript脚本执行时会从远程下载诱饵文档，同时释放恶意dll，并通过白利用的方式加载恶意dll，经分析该dll属于Mythic C2框架组件。同时，我们也发现一个lnk样本从相同远程服务器下载BADNEWS木马，整个攻击流程如下所示：

2.载荷投递分析

一旦用户执行该文件，就会通过MSXML解释器间接执行指定的远程HTML文件中保存的jscript代码。

Unit-942-BoosterEngineF8-MAK8.html包含了一段经过两次URL编码之后的jscript脚本。详细信息如下：

通过URL解码，去混淆得到最终的jscript脚本。该jscript脚本首先会从“https[:]//datamero.org/biuA873q4jIUBoaFibnoianbscoia/Aviation_Telecom_Collaboration_Proposal_Template.xlsx”处下载并打开Aviation_Telecom_Collaboration_Proposal_Template.xlsx伪装内容，以欺骗受害者。

该伪装内容利用了一个名为“电信部门合作促进航空现代化”的诱饵文件，显然是专为巴基斯坦电信行业量身定制的，诱饵文档内容如下。此外我们还捕获了以巴基斯坦机场管理局为诱饵的攻击样本，同样采用MSC文档，利用方式和分析样本流程一致，也侧面可以看出攻击者主要目标为巴基斯坦。

然后将系统自带的“Dism.exe”程序复制到“%ProgramData% \Dism.exe”，并将经过编码的内嵌在脚本中的数据，依次进行字符串反转，字符串替换，十六进制解码，Base64解码，并最终将其释放到“%ProgramData%\\ DismCore.dll”，从而实现白利用。

最后创建名为“MicrosoftEdgeUpdateTaskMachineCoreXUI”，操作为执行“C:\\ProgramData\\Dism.exe”的计划任务，从而实现持久化。

3.攻击组件分析

本次攻击所使用的攻击组件信息如下：

{
"dec_key":"nKz+eNoDZVdYv6yfYXrfqhbCTOeykm2XwjoIZGTzOk8=",
"enc_key":"nKz+eNoDZVdYv6yfYXrfqhbCTOeykm2XwjoIZGTzOk8=",
"value": "aes256_hmac"
}

经分析，攻击组件通过“checkin”活动所获取的计算机信息和Mythic Beacon源码（https://github.com/MythicAgents/thanatos/blob/main/Payload_Type/thanatos/thanatos/agent_code/src/utils/windows.rs）所展示的信息一致，且后续加密方式也一致。

值得注意的是，攻击载荷发送给服务端是一段经过Base64编码和AES加密的报文，其由四部分组成，前0x24个字节是UUID，紧跟着UUID的是长度为0x10的IV，然后是经过AES加密之后的数据，最后0x20个字节是HASH校验和。

使用解码获取的IV值（A5 5A 98 87 A3 24 5B 15 C4 F4 20 48 98 AC B3 81）以及获取AES解密秘钥（nKz+eNoDZVdYv6yfYXrfqhbCTOeykm2XwjoIZGTzOk8=）使用AES-CBC解密数据如下：

攻击组件上线后，主控端从而对受害者机器实现远程控制，目前已无法连接该C2服务器。

    Mythic（https://docs.mythic-c2.net/）是一个多人协作的，跨平台的渗透测试框架，其采用模块化设计，支持多种通信协议，通过加密通信保障C2通信的安全。它能够生成多种类型的 Payload，远程控制目标系统，执行命令、上传下载文件，并提供代理管理等多种功能。

 二、关联分析 

同期，我们发现了一个下发BADNEWS木马的恶意LNK样本，LNK执行时会下载恶意载荷，该下载连接与上面MSC样本下载诱饵文档连接具有相同的域名：datamero.org。样本如下所示：

Libvlc.dll被加载起来时，先通过AES算法对自身数据进行解密出Shellcode并加载，Shellcode执行后内存加载BADNEWS木马。

BADNEWS木马执行后与https://zebydigital[.]org/1WrCVzW4kSDNbNTt/cqWf4vQlofzqFkc7.php进行通信，相关功能不再详细叙述。

 三、归属研判 

通过对样本整体分析，我们发现本次攻击行动与摩诃草组织之前使用的攻击手段相符合。

1.经分析，datamero.org 域名被用于投递 BADNEWS 木马，该木马归属摩诃草组织专有木马。同时，MSC 样本亦通过该域名分发诱饵文档。因此，我们认为datamero.org 很可能是该组织控制或使用的基础设施之一。

2.针对datamero.org进行测绘，我们发现，该域名的jarm指纹信息为“27d40d40d00040d00042d43d0000004ac24e77d76646867f0f6a0c6d9b9bb0”，所使用的服务器为nginx，以及证书是Let's Encrypt，域名是.org域名，这些都符合我们所掌握的摩柯草组织所使用的常见的基础设施的测绘特征。

4. Patchwork组织擅长使用开源或泄露的攻击工具，其历史活动中多次使用QuasarRAT、NetWire RAT等开源远控工具，并使用过Havoc C2等新兴框架。此次攻击中采用Mythic C2框架的行为，进一步印证了该组织具备持续集成多种开源C2工具的能力与倾向，以此增强攻击的隐蔽性与灵活性。

5. 恶意样本释放的诱饵文档都是针对巴基斯坦，符合攻击者目标。

综上将其这类攻击归属于APT-C-09（摩诃草）组织。

MD5:

dd802736eeb826079fa8a0cd08d74c0e

8bf60787e2ac07d3b89663044812b520

166261543ac5dca43254ff216b8acb92

cef1b831b08f5cb8c33a597569d96d06

3c80b259eb50a20e0c00ea756d7247d7

0dcef9d1e1cd96ed5b19c0befa1e6e7f

3699b8277299668f9e8489a465723be7

e8637f4951132c74862952539b56edf7

URL:

https[:]//datamero.org/biuA873q4jIUBoaFibnoianbscoia/Aviation_Telecom_Collaboration_Proposal_Template.xlsx

https[:]//caapakistaan.com/ncUiihbouibCIOWoin983oi/Unit-942-BoosterEngineF8-MAK8.html

https[:]//caapakistaan.com/biuA873q4jIUBoaFibnoianbscoia/Drone_information.pdf

https[:]//caapakistaan.com/ncUiihbouibCIOWoin983oi/Unit-942-Drone-Info-MAK3.html

https[:]//d11d6t6zp1jvtm.cloudfront.net/bootstrap3.js

https[:]//datamero.org/biuA873q4jIUBoaFibnoianbscoia/maikjcef

https[:]//zebydigital.org/1WrCVzW4kSDNbNTt/cqWf4vQlofzqFkc7.php

阅读原文

跳转微信打开