[comment]:<> (===START_PAGE 1===) {0}------------------------------------------------ ![Map of Colombia with a target reticle centered on Bogotá.](2dfa6ac3edfe874f68aa0cbccaa42322_img.jpg) A grayscale map of Colombia and surrounding regions.A white circular target reticle with crosshairs is centered on Bogotá, Colombia.The map shows various cities including Barranquilla, Cartagena, Medellín, Cali, and Florencia.Neighboring countries like Venezuela and Brazil are partially visible.The word 'COLOMBIA' is written in large letters across the bottom of the map. Map of Colombia with a target reticle centered on Bogotá. # APT # 盲眼鹰 (APT-C-36) 针对哥伦比亚政企机构的攻击活动揭露 {1}------------------------------------------------ # 目录 | | | |---------------------------------------|----| | 1.背景..... | 1 | | 2.攻击目标和受害者分析..... | 1 | | 2.1 伪装来源及行业分布..... | 1 | | 2.2 部分受影响目标..... | 2 | | 2.2.1 哥伦比亚国家石油公司..... | 2 | | 2.2.2 哥伦比亚石油公司（Hocol）..... | 3 | | 2.2.3 哥伦比亚物流公司（Almaviva）..... | 4 | | 2.2.4 哥伦比亚国家金融机构（BancoAgrario）..... | 5 | | 2.2.5 哥伦比亚车轮制造商（IMSA）..... | 6 | | 2.2.6 哥伦比亚银行（Banco de Occidente）.....| 7 | | 2.2.7 ATH 哥伦比亚分部..... | 8 | | 2.2.8 Sun Chemical 哥伦比亚分部..... | 9 | | 2.2.9 哥伦比亚 Byington 公司..... | 10 | | 3.技术细节..... | 11 | | 3.1 最新的一次攻击..... | 11 | | 3.2 伪造来源及躲避查杀..... | 12 | | 3.3 诱饵文档..... | 13 | | 3.4 Payload（Imminent）..... | 16 | | 3.5 TTP（战术、技术、过程）..... | 23 | | 4.溯源和关联..... | 24 | | 4.1 可靠的文件修改时间..... | 24 | | 4.2 MHTML 诱饵文档修改时间统计..... | 25 | | 4.3 PE 时间戳与诱饵文档修改时间对比..... | 25 | | 4.4 语言和 charset..... | 26 | | 4.5 攻击者画像..... | 27 | | 5.IOC..... | 28 | | 6.参考链接..... | 31 | {2}------------------------------------------------ # 1.背景从 2018 年 4 月起至今，一个疑似来自南美洲的 APT 组织盲眼鹰（APT-C-36）针对哥伦比亚政府机构和大型公司（金融、石油、制造等行业）等重要领域展开了有组织、有计划、针对性的长期不间断攻击。其攻击平台主要为 Windows，攻击目标锁定为哥伦比亚政企机构，截止目前 360 威胁情报中心一共捕获了 29 个针对性的诱饵文档，Windows 平台木马样本 62 个，以及多个相关的恶意域名。 2018 年 4 月，360 威胁情报中心捕获到第一个针对哥伦比亚政府的定向攻击样本，在此后近一年时间内，我们又先后捕获了多起针对哥伦比亚政企机构的定向攻击。攻击者习惯将带有恶意宏的 MHTML 格式的 Office Word 诱饵文档通过 RAR 加密后配合鱼叉邮件对目标进行投递，然后将 RAR 解压密码附带在邮件正文中，具有很好的躲避邮件网关查杀的效果。其最终目的是植入 Imminent 后门以实现对目标计算机的控制，为接下来的横向移动提供基础。 360 威胁情报中心通过分析攻击者投递的多个加密的 Office Word 文档的最后修改时间、MHTML 文档字符集（语言环境）、攻击者使用的作者名称等信息，并结合地缘政治等 APT 攻击的相关要素，判断攻击者疑似来自于 UTC 时区在西 4 区（UTC-4）正负 1 小时对应的地理位置区域（南美洲）。由于该组织攻击的目标中有一个特色目标是哥伦比亚盲人研究所，而哥伦比亚在足球领域又被称为南美雄鹰，结合该组织的一些其它特点以及 360 威胁情报中心对 APT 组织的命名规则，我们将该组织命名为盲眼鹰（APT-C-36）。 # 2.攻击目标和受害者分析根据关联到的样本对受害者进行分类统计后，我们发现攻击者主要针对哥伦比亚的政府机构和大型公司，其目的是植入 Imminent 后门以实现对目标计算机的控制，为接下来的横向移动等攻击行为提供基础。从受害者的背景信息来看，攻击者所关注的政企机构在战略层面有重大意义，同时也不排除其同时有窃取商业机密和知识产权的动机。 ## 2.1 伪装来源及行业分布基于 360 威胁情报中心对该 APT 组织的攻击信息统计显示，攻击者伪装成哥伦比亚国家民事登记处、哥伦比亚国家税务和海关总署、哥伦比亚国家统计局、哥伦比亚国家网络警察局、哥伦比亚国家司法部门，对哥伦比亚的政府、金融机构，本国大型企业或跨国公司的哥伦比亚分公司进行攻击，相关信息统计如下。 | 诱饵伪装来源 | 攻击目标 | |---------------|----------------------------------------------------------------------| | 哥伦比亚国家民事登记处 | 哥伦比亚国家盲人研究所 | | 哥伦比亚国家税务和海关总署 | 哥伦比亚国家石油公司
哥伦比亚石油公司（Hocol）
哥伦比亚车轮制造商（IMSA）
哥伦比亚 Byington 公司 | | 哥伦比亚国家统计局 | 哥伦比亚物流公司（Almaviva） | {3}------------------------------------------------ | | | |-------------|------------------------------------------| | 哥伦比亚国家网络警察局 | 哥伦比亚国家金融机构（BancoAgrario） | | 哥伦比亚国家司法部门 | 哥伦比亚银行（Banco de Occidente）
ATH 哥伦比亚分部 | | 哥伦比亚移民权力机构 | Sun Chemical 哥伦比亚分部 | 攻击者使用的部分恶意域名也仿冒了哥伦比亚的政府网站，比如 [diangovcomuiscia.com](http://diangovcomuiscia.com) 从名称上仿冒了 [muiscia.dian.gov.co](http://muiscia.dian.gov.co)，而后者是哥伦比亚税务与海关总署官网。攻击者对使用的木马程序的公司信息也进行了伪造，相关列表如下： | 木马程序公司信息 | 公司信息 | |--------------------------|-------------------------| | Abbott Laboratories | 位于美国的一家医疗保健公司 | | Chevron | 雪佛龙，美国一家跨国能源公司。 | | Energizer Holdings Inc. | 美国电池制造商 | | Progressive Corporation | 美国最大汽车保险提供商 | | Simon Property Group Inc | 美国商业地产公司 | | Sports Authority Inc | 美国的一家体育用品零售商 | | Strongeagle, Lda. | 葡萄牙一家与公司法，税务债务和法院诉讼相关公司 | ## 2.2 部分受影响目标 360威胁情报中心在近一年内针对该APT攻击进行监控和关联后发现了其多个用于攻击哥伦比亚政府、金融机构及大型企业的相关邮件。基于对鱼叉邮件的分析，我们列举了如下针对性的诱饵文档以及对应的受害政企。 ### 2.2.1 哥伦比亚国家石油公司 #### ● 被攻击机构信息及相关邮件哥伦比亚国家石油公司（[www.ecopetrol.com.co](http://www.ecopetrol.com.co)）主要经营范围包括石油、天然气勘探开发，管线建设以及石油炼制。 ![Screenshot of an email interface showing a message from 'RE:Es nuestro deber informarle que debido a su deuda con el pago de sus impuestos ante la dián se hará efectivo un embargo bancario'.The email body mentions a debt and a bank account freeze.The interface includes a toolbar with icons for Reply, Forward, Meeting, Create New, ChatList, Mark, Category, Follow Up, Find, and Zoom.The email content is in Spanish and mentions 'Cordial saludo respetado contribuyente:' and 'Es nuestro deber informarle que debido a su deuda con el pago de sus impuestos se hará efectivo un embargo en el día de hoy.'](4b9457ad2400572dbf0c0c9f7c825643_img.jpg) Screenshot of an email interface showing a message from 'RE:Es nuestro deber informarle que debido a su deuda con el pago de sus impuestos ante la dián se hará efectivo un embargo bancario'.The email body mentions a debt and a bank account freeze.The interface includes a toolbar with icons for Reply, Forward, Meeting, Create New, ChatList, Mark, Category, Follow Up, Find, and Zoom.The email content is in Spanish and mentions 'Cordial saludo respetado contribuyente:' and 'Es nuestro deber informarle que debido a su deuda con el pago de sus impuestos se hará efectivo un embargo en el día de hoy.' {4}------------------------------------------------ ##### 攻击哥伦比亚国家石油公司的相关邮件 #### - 相关诱饵文档攻击者伪装成哥伦比亚国家税务和海关总署进行攻击活动: ![Screenshot of a Microsoft Word document titled 'Dian Embargo Bancario # 609776.doc - Word (Product Activation Failed)'.The document features the logos of 'Seguridad Electrónica' and 'DIAN Dirección de Impuestos y Aduanas Nacionales'.The main text reads:'PARA VISUALIZAR LOS DETALLES DEL EMBARGO DE SU(S) CUENTA(S) BANCARIAS POR PARTE DE LA DIAN ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is an inset image of a Word ribbon showing the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the document states 'SECURITY WARNING Macros have been disabled.' and 'Enable Content'.](17a042ee648d9fdaddb609aead503980_img.jpg) Screenshot of a Microsoft Word document titled 'Dian Embargo Bancario # 609776.doc - Word (Product Activation Failed)'.The document features the logos of 'Seguridad Electrónica' and 'DIAN Dirección de Impuestos y Aduanas Nacionales'.The main text reads:'PARA VISUALIZAR LOS DETALLES DEL EMBARGO DE SU(S) CUENTA(S) BANCARIAS POR PARTE DE LA DIAN ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is an inset image of a Word ribbon showing the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the document states 'SECURITY WARNING Macros have been disabled.' and 'Enable Content'. Dian Embargo Bancario # 609776.doc ### 2.2.2 哥伦比亚石油公司 (Hocol) #### - 被攻击机构信息及相关邮件 Hocol 成立于 1956 年，是哥伦比亚国家石油公司 Ecopetrol 的子公司，专注于哥伦比亚国内各地的勘探和生产活动。 ![Screenshot of an email client showing a message from 'Hocol'.The email subject is 'Faltó Debido al no el pago de sus impuestos se hará efectivo un embargo bancario'.The body of the email addresses the recipient as 'Estimado contribuyente:' and mentions a debt due to non-payment of taxes, leading to a bank embargo.It includes a reference number '421ef8d8993c5a8b80c3d7e5c60946v' and a note about a detailed document.On the right side, there is a 'CONTACT' sidebar with fields for 'Contacto', 'Calendar', 'Send Email', and an email address field containing '@hocol.com.co'.](bc2361eef342a10050f6f31a54ff3b92_img.jpg) Screenshot of an email client showing a message from 'Hocol'.The email subject is 'Faltó Debido al no el pago de sus impuestos se hará efectivo un embargo bancario'.The body of the email addresses the recipient as 'Estimado contribuyente:' and mentions a debt due to non-payment of taxes, leading to a bank embargo.It includes a reference number '421ef8d8993c5a8b80c3d7e5c60946v' and a note about a detailed document.On the right side, there is a 'CONTACT' sidebar with fields for 'Contacto', 'Calendar', 'Send Email', and an email address field containing '@hocol.com.co'. ##### 攻击哥伦比亚石油公司 Hocol 的相关邮件 ##### - 相关诱饵文档攻击者伪装成哥伦比亚国家税务和海关总署进行攻击活动: {5}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'estado de cuenta.doc'.The document features the logo of the DIAN (Dirección de Impuestos y Aduanas Nacionales) and text in Spanish:'PARA VIZUALIZAR SU DEUDA A LA FECHA ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN'.Below this is a smaller screenshot of the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the main document area states 'SECURITY WARNING:Macros have been disabled.'](440e59dae4772c0152116a3abd34331a_img.jpg) Screenshot of Microsoft Word showing a document titled 'estado de cuenta.doc'.The document features the logo of the DIAN (Dirección de Impuestos y Aduanas Nacionales) and text in Spanish:'PARA VIZUALIZAR SU DEUDA A LA FECHA ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN'.Below this is a smaller screenshot of the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the main document area states 'SECURITY WARNING:Macros have been disabled.' estado de cuenta.doc ### 2.2.3 哥伦比亚物流公司 (Almaviva) #### - 被攻击机构信息及相关邮件** Almaviva 是一家物流运营商，通过流程和工具的安全管理优化供应链，确保物流运营的效率。 ![Screenshot of an email client interface.The email is from the 'Ministerio de planeación y desarrollo nacional' and is dated 'Bogota 30 de Julio de 2018'.The subject is 'Estimado ciudadano'.The body of the email contains a warning about a virus scan and a request to download pictures.A small window on the right shows a profile card with fields for 'MEMBRO', 'CONTACT', 'MEMBERSHIP', 'Email', and 'Owner'.At the bottom, a long string of characters is displayed as a key assigned for the document.](38b977dc8ba47e36367f97933421e3ae_img.jpg) Screenshot of an email client interface.The email is from the 'Ministerio de planeación y desarrollo nacional' and is dated 'Bogota 30 de Julio de 2018'.The subject is 'Estimado ciudadano'.The body of the email contains a warning about a virus scan and a request to download pictures.A small window on the right shows a profile card with fields for 'MEMBRO', 'CONTACT', 'MEMBERSHIP', 'Email', and 'Owner'.At the bottom, a long string of characters is displayed as a key assigned for the document. 攻击物流公司 Almaviva 的相关邮件 #### - 相关诱饵文档** 攻击者伪装成哥伦比亚国家统计局进行攻击活动： {6}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'listado de funcionarios autorizados para censo nacional 2018.doc'.The document features a red header with 'CENSO NACIONAL DE POBLACIÓN Y VIVIENDA 2018 - COLOMBIA' and 'eCenso'.Below the header, text reads:'PARA VIZUALIZAR EL LISTADO DE FUNCIONARIOS AUTORIZADOS PARA REALIZAR EL CENSO EN SU HOGAR ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN'.An inset image shows the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A yellow security warning bar at the top of the document area states 'SECURITY WARNING:Macros have been disabled.'](a68671ef36320b8515aa85d288d82cf1_img.jpg) Screenshot of Microsoft Word showing a document titled 'listado de funcionarios autorizados para censo nacional 2018.doc'.The document features a red header with 'CENSO NACIONAL DE POBLACIÓN Y VIVIENDA 2018 - COLOMBIA' and 'eCenso'.Below the header, text reads:'PARA VIZUALIZAR EL LISTADO DE FUNCIONARIOS AUTORIZADOS PARA REALIZAR EL CENSO EN SU HOGAR ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN'.An inset image shows the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A yellow security warning bar at the top of the document area states 'SECURITY WARNING:Macros have been disabled.' listado de funcionarios autorizados para censo nacional 2018.doc ### 2.2.4 哥伦比亚国家金融机构 (BancoAgrario) #### - 被攻击机构信息及相关邮件** 哥伦比亚国家金融机构 (BancoAgrario) 主要致力于向农村地区提供金融服务。 ![Screenshot of a Microsoft Outlook email interface.The email subject is 'Alerta:Hemos detectado que desde su direccion ip se estan enviando correos electronicos fraudulentos'.The email body contains a warning about fraudulent emails being sent from the recipient's IP address and includes a link to a fraud report.A 'CONTACT' sidebar on the right shows a profile for 'Banco Agrario' with a link to 'bancoagario.gov.co'.](67b83c4adaaa4de02d367168308deb2a_img.jpg) Screenshot of a Microsoft Outlook email interface.The email subject is 'Alerta:Hemos detectado que desde su direccion ip se estan enviando correos electronicos fraudulentos'.The email body contains a warning about fraudulent emails being sent from the recipient's IP address and includes a link to a fraud report.A 'CONTACT' sidebar on the right shows a profile for 'Banco Agrario' with a link to 'bancoagario.gov.co'. 攻击 BancoAgrario 的相关邮件 #### - 相关诱饵文档** 攻击者伪装成哥伦比亚国家网络警察局 (caivirtual.policia.gov.co) 进行攻击活动 {7}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'Reporte fraude desde su direccion ip.doc'.The document features the 'CENTRO CIBERNÉTICO POLICIAL' logo and a text block stating:'PARA VISUALIZAR EL REPORTE DE LOS ENVIOS FRAUDULENTES DESDE SU DIRECCION IP ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this text is an inset image of the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A yellow security warning bar at the top of the document area reads:'SECURITY WARNING:Macros have been disabled.Enable Content'.](c834b9abb4ddf70e5d10641f87d5ff5b_img.jpg) Screenshot of Microsoft Word showing a document titled 'Reporte fraude desde su direccion ip.doc'.The document features the 'CENTRO CIBERNÉTICO POLICIAL' logo and a text block stating:'PARA VISUALIZAR EL REPORTE DE LOS ENVIOS FRAUDULENTES DESDE SU DIRECCION IP ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this text is an inset image of the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A yellow security warning bar at the top of the document area reads:'SECURITY WARNING:Macros have been disabled.Enable Content'. Reporte fraude desde su direccion ip.doc ### 2.2.5 哥伦比亚车轮制造商 (IMSA) #### - 被攻击机构信息及相关邮件** IMSA 是专业的车轮制造商，致力于使用优质原材料进行车轮制造。 ![Screenshot of an email client showing a phishing email from 'Den Embargo Bancario + 688716.ux (7) 48'.The email subject is 'RIV:Es nuestro deber informarle que debido a su duda con el pago de sus impuestos ante la fecha se hará efectivo un embargo bancario'.The body of the email contains a message from 'Cordial saludo respetado contribuyente:' and a link to a document.A small 'CONTACT' sidebar is visible on the right.](af54a0b30d50f3f8620b331cdc59ae3a_img.jpg) Screenshot of an email client showing a phishing email from 'Den Embargo Bancario + 688716.ux (7) 48'.The email subject is 'RIV:Es nuestro deber informarle que debido a su duda con el pago de sus impuestos ante la fecha se hará efectivo un embargo bancario'.The body of the email contains a message from 'Cordial saludo respetado contribuyente:' and a link to a document.A small 'CONTACT' sidebar is visible on the right. 攻击 IMSA 的相关邮件 #### - 相关诱饵文档** 攻击者伪装成哥伦比亚国家税务和海关总署 ([www.dian.gov.co](http://www.dian.gov.co)) 进行攻击活动 {8}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'Dian Embargo Bancario # 609776.doc'.The document contains the logo of 'Fiscalelectrónica' and 'DIAN' (Dirección de Impuestos y Aduanas Nacionales).The main text reads:'PARA VISUALIZAR LOS DETALLES DE EL EMBARGO DE SU(S) CUENTA(S) BANCARIAS POR PARTE DE LA DIAN ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is a smaller screenshot of a Word window showing a security warning:'Advertencia de seguridad Las macros se han deshabilitado.' with a button 'Habilitar contenido' highlighted in a red box.](fd955384881fd240be5518d3050588d9_img.jpg) Screenshot of Microsoft Word showing a document titled 'Dian Embargo Bancario # 609776.doc'.The document contains the logo of 'Fiscalelectrónica' and 'DIAN' (Dirección de Impuestos y Aduanas Nacionales).The main text reads:'PARA VISUALIZAR LOS DETALLES DE EL EMBARGO DE SU(S) CUENTA(S) BANCARIAS POR PARTE DE LA DIAN ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is a smaller screenshot of a Word window showing a security warning:'Advertencia de seguridad Las macros se han deshabilitado.' with a button 'Habilitar contenido' highlighted in a red box. Dian Embargo Bancario # 609776.doc #### 2.2.6 哥伦比亚银行 (Banco de Occidente) ##### ● 被攻击机构信息 Banco de Occidente 是哥伦比亚最大的银行之一，是哥伦比亚 Grupo Aval 金融服务集团的一部分。 ![Screenshot of an email from 'Fiscalia General de la Nación' regarding a bank account freeze.The email subject is 'Fiscalia General de la Nación (Advertencia) Correo Suspecho'.The body of the email mentions a freeze on September 8, 2018, and a request for an interview.On the right side, there is an inset image of a mobile phone screen showing a contact list with 'Banco de Occidente' and a calendar entry for a meeting.](aaec7c7044d764c324cdb35c0201da6f_img.jpg) Screenshot of an email from 'Fiscalia General de la Nación' regarding a bank account freeze.The email subject is 'Fiscalia General de la Nación (Advertencia) Correo Suspecho'.The body of the email mentions a freeze on September 8, 2018, and a request for an interview.On the right side, there is an inset image of a mobile phone screen showing a contact list with 'Banco de Occidente' and a calendar entry for a meeting. 攻击 Banco de Occidente 的相关邮件 ##### ● 相关诱饵文档攻击者伪装成哥伦比亚国家司法部门 ([www.fiscalia.gov.co](http://www.fiscalia.gov.co)) 进行攻击活动 {9}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'Citas Fiscales general de la Nacion Proceso 305351T.doc'.The document features the logo of the 'FISCALIA GENERAL DE LA NACIÓN' (a blue puzzle piece with the text 'FISCALIA GENERAL DE LA NACIÓN' in red).Below the logo, a text box states:'IMPORTANTE:PARA VIZUALIZAR CORRECTAMENTE ESTE DOCUMENTO ES NECESARIO QUE HABILITE EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION:'.An inset image shows the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in red.A security warning bar at the top of the document area says 'SECURITY WARNING:Macros have been disabled.' with a button to 'Enable Content'.](e7cb11f042fc58088dff4b6d9306845e_img.jpg) Screenshot of Microsoft Word showing a document titled 'Citas Fiscales general de la Nacion Proceso 305351T.doc'.The document features the logo of the 'FISCALIA GENERAL DE LA NACIÓN' (a blue puzzle piece with the text 'FISCALIA GENERAL DE LA NACIÓN' in red).Below the logo, a text box states:'IMPORTANTE:PARA VIZUALIZAR CORRECTAMENTE ESTE DOCUMENTO ES NECESARIO QUE HABILITE EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION:'.An inset image shows the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in red.A security warning bar at the top of the document area says 'SECURITY WARNING:Macros have been disabled.' with a button to 'Enable Content'. Citas Fiscales general de la Nacion Proceso 305351T.doc ### 2.2.7 ATH 哥伦比亚分部 #### - 被攻击机构信息** ATH 是一个跨国银行金融机构，在哥伦比亚开设有分部。 ![Screenshot of an Outlook email from 'ATH' to 'Carmen' with the subject 'Citas Fiscales general de la Nacion Proceso 305351T.doc'.The email body contains a warning:'[WARNING - ENCRYPTED ATTACHMENT NOT VIRUS SCANNED] IMPORTANTE:La fiscalia general le hace el segundo llamado a interrogatorio'.Below this, a message states:'De acuerdo a la situación que se presenta y transcurre con el proceso No 305351T Agosto de 2018, la fiscalia general le hace el segundo llamado a interrogatorio para declaraciones y pruebas al respectivo proceso.Este interrogatorio tiene como objetivo la aclaración de hechos contundentes.Recuerde que esta es la primera citación y así podremos a dos citaciones más con aviso respectivo, le agradecemos su colaboración.A continuación nos permitimos adjuntar el proceso No 305351T y de la misma forma la citación a declaración correspondiente a usted.' The email signature includes the text 'IMPORTANTE:Clave del archivo adjunto:proceso de fiscalia 30535120180621e68d993c4a8b9e3d5e6c060f4dse'.](61ce9760bffbecba8f5e63310be1ebec_img.jpg) Screenshot of an Outlook email from 'ATH' to 'Carmen' with the subject 'Citas Fiscales general de la Nacion Proceso 305351T.doc'.The email body contains a warning:'[WARNING - ENCRYPTED ATTACHMENT NOT VIRUS SCANNED] IMPORTANTE:La fiscalia general le hace el segundo llamado a interrogatorio'.Below this, a message states:'De acuerdo a la situación que se presenta y transcurre con el proceso No 305351T Agosto de 2018, la fiscalia general le hace el segundo llamado a interrogatorio para declaraciones y pruebas al respectivo proceso.Este interrogatorio tiene como objetivo la aclaración de hechos contundentes.Recuerde que esta es la primera citación y así podremos a dos citaciones más con aviso respectivo, le agradecemos su colaboración.A continuación nos permitimos adjuntar el proceso No 305351T y de la misma forma la citación a declaración correspondiente a usted.' The email signature includes the text 'IMPORTANTE:Clave del archivo adjunto:proceso de fiscalia 30535120180621e68d993c4a8b9e3d5e6c060f4dse'. 攻击 ATH 哥伦比亚分部相关邮件 #### - 相关诱饵文档** 攻击者伪装成哥伦比亚国家司法部门 ([www.fiscalia.gov.co](http://www.fiscalia.gov.co)) 进行攻击活动 {10}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'Fiscalia proceso 305351T.doc'.The document features the logo of the Fiscalía General de la Nación (a yellow puzzle piece on a blue background) and a red banner with the text 'FISCALIA GENERAL DE LA NACIÓN'.Below the logo, there is a warning message in Spanish:'IMPORTANTE:PARA VIZUALIZAR CORRECTAMENTE ESTE DOCUMENTO ES NECESARIO QUE HABILITE EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION:'.A smaller screenshot of the Word ribbon is shown below the main text, with a red box highlighting the 'Habilitar contenido' (Enable Content) button in the 'Advertencia de seguridad' (Security Warning) area.](967c30813761a8952ecc5e16bf42ea45_img.jpg) Screenshot of Microsoft Word showing a document titled 'Fiscalia proceso 305351T.doc'.The document features the logo of the Fiscalía General de la Nación (a yellow puzzle piece on a blue background) and a red banner with the text 'FISCALIA GENERAL DE LA NACIÓN'.Below the logo, there is a warning message in Spanish:'IMPORTANTE:PARA VIZUALIZAR CORRECTAMENTE ESTE DOCUMENTO ES NECESARIO QUE HABILITE EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION:'.A smaller screenshot of the Word ribbon is shown below the main text, with a red box highlighting the 'Habilitar contenido' (Enable Content) button in the 'Advertencia de seguridad' (Security Warning) area. Fiscalia proceso 305351T.doc ### 2.2.8 Sun Chemical 哥伦比亚分部 #### ● 被攻击机构信息 Sun Chemical 是印刷油墨，涂料等用品的跨国企业，同样在哥伦比亚开设有分公司。 ![Screenshot of an email from 'MIGRACION ' to 'Unidad tiene un proceso pendiente por lo tanto no podria salir del pais'.The email subject is 'Notificación:Unidad tiene un proceso pendiente por lo tanto no podria salir del pais'.The body of the email contains a salutation 'Saludos cordiales', a通知 about a pending migration process, and contact information for the 'Sede Administrativa' of the migration authority in Bogotá, D.C.](b5b16a821754dab72447d00e17ee376a_img.jpg) Screenshot of an email from 'MIGRACION ' to 'Unidad tiene un proceso pendiente por lo tanto no podria salir del pais'.The email subject is 'Notificación:Unidad tiene un proceso pendiente por lo tanto no podria salir del pais'.The body of the email contains a salutation 'Saludos cordiales', a通知 about a pending migration process, and contact information for the 'Sede Administrativa' of the migration authority in Bogotá, D.C. 攻击 Sun Chemical 哥伦比亚分公司的邮件 ##### ● 相关诱饵文档攻击者伪装成哥伦比亚移民权力机构 ([www.migracioncolombia.gov.co](http://www.migracioncolombia.gov.co)) 进行攻击活动 {11}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'Proceso Pendiente Migracion Colombia.doc'.The document contains logos for 'MIGRACIÓN COLOMBIA' and 'TODOS POR UN NUEVO PAÍS'.A text box states:'PARA VISUALIZAR SU PROCESO PENDIENTE ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is a smaller screenshot of the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the main document area says 'SECURITY WARNING:Macros have been disabled.'](d5a837fa4f4675e5ee596003cf55985c_img.jpg) Screenshot of Microsoft Word showing a document titled 'Proceso Pendiente Migracion Colombia.doc'.The document contains logos for 'MIGRACIÓN COLOMBIA' and 'TODOS POR UN NUEVO PAÍS'.A text box states:'PARA VISUALIZAR SU PROCESO PENDIENTE ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is a smaller screenshot of the Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the main document area says 'SECURITY WARNING:Macros have been disabled.' Proceso Pendiente Migracion Colombia.doc ### 2.2.9 哥伦比亚 Byington 公司 #### - 被攻击机构信息** Byington 对哥伦比亚主要的商业公司进行评级和财务评估。 ![Screenshot of an email from Byington.The email subject is 'Debido al no el pago de sus impuestos se hará efectivo un embargo bancario'.The body of the email starts with 'Estimado contribuyente:' followed by several paragraphs of text in Spanish regarding tax payment and a bank embargo.The email is marked with 'High importance' and includes a file attachment named 'estado de cuenta.rar (72 KB)'.](e159e9f78612406820a4d40e26e01413_img.jpg) Screenshot of an email from Byington.The email subject is 'Debido al no el pago de sus impuestos se hará efectivo un embargo bancario'.The body of the email starts with 'Estimado contribuyente:' followed by several paragraphs of text in Spanish regarding tax payment and a bank embargo.The email is marked with 'High importance' and includes a file attachment named 'estado de cuenta.rar (72 KB)'. 攻击哥伦比亚 Byington 公司的相关邮件 #### - 相关诱饵文档** 攻击者伪装成哥伦比亚国家税务和海关总署 ([www.dian.gov.co](http://www.dian.gov.co)) 进行攻击活动 {12}------------------------------------------------ ![Screenshot of Microsoft Word showing a document titled 'estado de cuenta.doc'.The document features the logo of the DIAN (Dirección de Impuestos y Aduanas Nacionales) and text in Spanish:'PARA VIZUALIZAR SU DEUDA A LA FECHA' and 'ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN'.Below the text is a smaller screenshot of the Word ribbon and a security warning bar.The security warning bar states 'Advertencia de seguridad:Las macros se han deshabilitado.' and has a button 'Habilitar contenido' highlighted with a red box.](0f2a1e4a7b12fe5b8749882ecd636f5c_img.jpg) Screenshot of Microsoft Word showing a document titled 'estado de cuenta.doc'.The document features the logo of the DIAN (Dirección de Impuestos y Aduanas Nacionales) and text in Spanish:'PARA VIZUALIZAR SU DEUDA A LA FECHA' and 'ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN'.Below the text is a smaller screenshot of the Word ribbon and a security warning bar.The security warning bar states 'Advertencia de seguridad:Las macros se han deshabilitado.' and has a button 'Habilitar contenido' highlighted with a red box. estado de cuenta.doc # 3.技术细节 360 威胁情报中心基于该 APT 组织常见的攻击手法对整个攻击过程进行了详细分析。 ## 3.1 最新的一次攻击 2019 年 2 月 14 日，360 威胁情报中心再次监控到该 APT 组织的最新攻击活动，根据最近捕获到的诱饵文档（MD5：0c97d7f6a1835a3fe64c1c625ea109ed）并没有找到对应的邮件，不过在进行关联调查后，我们发现了另外一个类似的诱饵文档（MD5：3de286896c8eb68a21a6dcf7dae8ec97）及其对应的有针对性攻击邮件（MD5：f2d5cb747110b43558140c700dbf0e5e）。该邮件伪装来自哥伦比亚国家民事登记处，对哥伦比亚国家盲人研究所进行攻击。 {13}------------------------------------------------ ![Screenshot of a Microsoft Word document titled '0c97d7f6a1835a3fe64c1c625ea109ed - Word'.The document contains the logo of the 'REGISTRADURÍA NACIONAL DEL ESTADO CIVIL' and a text box stating:'PARA VISUALIZAR LOS DETALLES DE LA CANCELACION DE SU CEDULA DE CIUDADANIA ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is an image of a Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the document area says 'SECURITY WARNING:Macros have been disabled.'](0dd5ee731e9d7e34e498b5c926110773_img.jpg) Screenshot of a Microsoft Word document titled '0c97d7f6a1835a3fe64c1c625ea109ed - Word'.The document contains the logo of the 'REGISTRADURÍA NACIONAL DEL ESTADO CIVIL' and a text box stating:'PARA VISUALIZAR LOS DETALLES DE LA CANCELACION DE SU CEDULA DE CIUDADANIA ES NECESARIO HABILITAR EL CONTENIDO COMO LO MUESTRA LA IMAGEN A CONTINUACION'.Below this is an image of a Word ribbon with the 'Habilitar contenido' (Enable Content) button highlighted in a red box.A security warning bar at the top of the document area says 'SECURITY WARNING:Macros have been disabled.' 最近捕获的诱饵文档，伪装来自哥伦比亚国家民事登记处（MD5:0c97d7f6a1835a3fe64c1c625ea109ed） ![Screenshot of a Microsoft Outlook email interface.The subject line reads:'RV:Usted tendrá que pagar una multa de 10 salarios mínimos legales vigentes porque no asistió a cumplir con sus deberes con el cargo como buscado votación'.The email body is from 'Registraduría Nacional del Estado Civil -Proceso inscrito/rer (96 KB)'.The text mentions a fine for not attending a voting duty.On the right sidebar, there is a 'CONTACT' panel showing a profile picture and links for 'WHAT'S NEW', 'Calendar', 'Schedule a meeting', and 'Send Email'.](7832324609ad3cc688064e0341612b32_img.jpg) Screenshot of a Microsoft Outlook email interface.The subject line reads:'RV:Usted tendrá que pagar una multa de 10 salarios mínimos legales vigentes porque no asistió a cumplir con sus deberes con el cargo como buscado votación'.The email body is from 'Registraduría Nacional del Estado Civil -Proceso inscrito/rer (96 KB)'.The text mentions a fine for not attending a voting duty.On the right sidebar, there is a 'CONTACT' panel showing a profile picture and links for 'WHAT'S NEW', 'Calendar', 'Schedule a meeting', and 'Send Email'. 攻击哥伦比亚国家盲人研究所的邮件 ## 3.2 伪造来源及躲避查杀攻击者在攻击不同目标时，仔细考虑了如何伪装邮件的来源从而使其看起来更加可信。比如通过伪装民事登记处来攻击盲人研究所，伪装成税务和海关总署来攻击那些有国际贸易的企业，伪装成司法部门和移民权力机构来针对银行和跨国公司哥伦比亚分部等。攻击者同样对邮件内容进行精心构造，使其看似源自被伪造的机构，且与被攻击者日常工作生活相关。下图为伪装成哥伦比亚国家司法部门对 ATH 哥伦比亚分部的攻击中对应邮 {14}------------------------------------------------ 件的内容翻译: ![Google Translate interface showing the translation of an email message from Spanish to English.](589af9a5d6f5bbbdc8f482e364688676_img.jpg) The image shows a Google Translate interface.The source language is set to 'Detectar español' and the target language is 'English'.The text is translated from Spanish to English.The original text on the left includes a cordial greeting, a statement about a legal process (No.305351T, August 2018), instructions for providing evidence, and a note about the attachment key.The English translation on the right provides a similar structure, starting with 'Regards,' and explaining the legal process and the need for evidence.The attachment key is also translated. Google Translate interface showing the translation of an email message from Spanish to English. 邮件附件被加密存放在压缩包内，并在邮件正文中提供解密密码，用于绕过邮件网关的安全检测。 ![Email attachment and RAR password information.](0e240e8e4783e664047fbdb5fbd0989f_img.jpg) The image shows an email attachment named 'Reporte fraude desde su direccion ip.rar' (79 KB).Below the attachment name, there is a text box containing the RAR password:'centrociberneticoenviosipfraude876e68dd993c4a8bb9e3d5e6c066946octubre'.The password is highlighted in a red box. Email attachment and RAR password information. 邮件正文附带 RAR 密码对邮件进行分析后，我们发现攻击者在发送邮件时都使用了 VPN 等方式来隐藏自身，因此尚未能获得发件者的真实 IP，只是发现这些邮件通过位于美国佛罗里达州的 IDC 机房发出，部分相关的 IP 地址为： 128.90.106.22 128.90.107.21 128.90.107.189 128.90.107.236 128.90.108.126 128.90.114.5 128.90.115.28 128.90.115.179 ## 3.3 诱饵文档 {15}------------------------------------------------ 此次攻击活动诱饵文档均采用 MHTML 格式的 Word 文档进行攻击, MHTML 格式的 Word 文档能在一定程度上避免杀毒软件的查杀。例如 360 威胁情报中心在 2019 年 2 月中旬捕获的样本:Registraduria Nacional - Notificacion cancelacion cedula de ciudadania.doc | | | |------|----------------------------------------------------------------------------| | 文件名 | Registraduria Nacional - Notificacion cancelacion cedula de ciudadania.doc | | MD5 | 0c97d7f6a1835a3fe64c1c625ea109ed | | 伪装来源 | 哥伦比亚国家民事登记处 | ``` 1 MIME-Version:1.0 2 Content-Type:multipart/related; boundary="-----NextPart_01D4C209.8DA80500" 3 4 Este documento es una página web de un solo archivo, también conocido como "archivo de almacenamiento web".5 6 -----NextPart_01D4C209.8DA80500 7 Content-Location:file:///C:/CW724581/RegistraduriaNacional-Notificacioncancelacionceduladeciudadania.htm 8 Content-Transfer-Encoding:quoted-printable 9 Content-Type:text/html; charset="windows-1252" 10 11 16 17 18 20 21 22 23 26 29 36

	Report Title↓	Published Date	TLP Level	Admiralty Code	Threat Score	Created By
	APT-C-36__2023__APT_Blind_Eagles_Malware_Arsenal_Technical_Analysis_of_the_New.pdf	2023-04-17	TLP:CLEAR	ADMIRALTY:B2	78	dogesec
	APT_Blind_Eagles.pdf	2019-02-19	TLP:CLEAR	ADMIRALTY:B2	90	dogesec

APT_Report: BlindEagle

Reports