近期，深盾实验室在运营工作中发现一起地域网络攻击事件，威胁行为者疑似以钓鱼邮件为入口点，通过两条不同的感染链最终释放SugarGh0st远控木马，进而有选择的针对乌兹别克斯坦共和国与韩国终端用户。

在该起事件中，攻击者分别设计了三款以PDF与Word文档进行伪装的lnk文件，并使用特殊文件名以诱导用户点击，进而完成后续的感染链攻击。经分析，感染链的最终阶段都将释放一款由Gh0st改编而来的远控木马SugarGh0st，可以推断威胁行为者的最终目标是获取指定目标主机的访问及控制权限，进行敏感信息窃取活动以及其他危险行为。

在两条感染链中，攻击者均采用对lnk文件赋值特殊“目标”的方式，将终端命令写入其中，当受害者点击后将自动执行预制恶意命令，完成感染链攻击。

感染链一

该感染链存在两种诱饵文档，分别是PDF与Word，二者的攻击命令与执行流程基本一致。

受害者点击恶意lnk文件后，将自动释放诱饵文档、恶意JS文件、脚本文件、恶意DLL文件以及SugarGh0st的加密载荷到临时目录Temp下，随后将C:\\Windows\\SysWow64\\rundll32.exe文件复制到Temp目录中，再运行复制而来的rundll32.exe加载指定恶意DLL程序，并将加密载荷加载至内存空间完成解密，最终成功执行远控木马SugarGhost。

恶意lnk文件

解压后，将释放一个使用PDF / Word图标迷惑用户的lnk文件，该lnk文件在“目标”中包含一系列终端命令，当用户双击后可自动执行后续攻击。下图为PDF与Word诱饵展示：

整体命令如下所示：

该命令大致含义是在指定目录下寻找符合条件的lnk文件，并将特殊字符串输出到指定js文件，并通过cscript赋予指定参数运行。

恶意JS文件

恶意JS文件受到严重混淆，将攻击组件base64编码后嵌入其中。

运行恶意JS文件后，首先对嵌入的攻击组件解码，并释放到Temp目录中，其中包括bat脚本文件、恶意DLL文件以及加密载荷，随后将当前主机中C:\\Windows\\SysWow64\\rundll32.exe复制到Temp目录下，并自动打开PDF / Word迷惑用户。

PDF内容如下：

Word内容如下：

随后自动执行bat脚本，通过Temp目录下的rundll32.exe反射加载恶意DLL文件。

恶意DLL文件

恶意DLL文件在被加载后，首先对文件本身进行解密，随后读取释放在Temp目录下的DPLAY.LIB加载至内存并解密。

经过一系列解密后，最终可在内存中执行最终的远控木马SugarGh0st。

感染链二

受害者点击恶意lnk文件后，将自动提取恶意JS文件并运行，随后由恶意JS文件释放诱饵文档、恶意的DLL DynamicWrapperX（libeay32.dll）以及SugarGh0st的加密载荷（libeay32.lib）至临时目录Temp，随后将C:\\Windows\\SysWow64\\wscript.exe文件复制到Temp目录中，并重命名为dllhost.exe，再加载libeay32.dll，最后将SugarGhost载荷加载至内存空间完成解密，最终成功执行远控木马SugarGhost。

下图为整体进程链：

恶意lnk文件

与感染链一一致，感染链二具有相同特质的lnk文件，下图为恶意lnk文件与命令展示：

该命令与感染链一含义一致，均对js给予指定参数启动。

恶意JS文件

该感染链中的JS文件同样被严重混淆。在JS被运行后，会释放一个SugatGh0st的加密载荷（libeay32.lib），一个名为libeay32的DLL文件以及诱饵文档。

诱饵文档如下所示：

释放完毕之后，将SysWow64目录下的Wscript.exe复制到Temp目录下并重命名为dllhost.exe，并使用该解释器再次执行已被删除的恶意JS文件，并在注册表中完成持久化操作。

恶意DLL文件

文件“libeay32.dll”原是一款名为DynamicWrapperX工具，该工具是一个ActiveX组件，可在脚本（JScript、VBScript等）中调用Windows API函数。攻击者可利用这一特性通过恶意JS文件运行其中的Shellcode，但必须由regsvr32.exe运行该组件。

DynamicWrapperX通过创建注册表键值，在目标主机中注册成员函数，并注册表com组件。

随后，与感染链一一致，将libeay32.lib加载至libeay32.dll中解密，最后将SugarGh0st在内存中运行。

SugarGh0st

该远控木马作为Gh0st的修改版，拥有键盘记录器、信息窃取、远程命令执行等功能。在本次事件中，释放的样本是一个32位的动态链接库文件，它会在内存中解密，随后自动运行。

在执行初期，SugarGh0st使用硬编码的C2域作为标记，创建一个互斥锁。

开辟一个新线程以启动键盘记录器，在指定目录下生成数据文件，将记录下的内容放入其中，随后进入一个永真循环，不断读取当前键盘数据。

上线后，每隔10秒对C2进行一次连接，并发送相关信息，如计算机名称、操作系统版本、驱动器信息、特殊注册表项值、Windows版本号等。

SugarGh0st可以获取各类信息，并通过访问服务的配置文件以管理目标主机的服务，如启动、删除、终止等。

SugarGh0st可以通过攻击者发送的命令从而实现各种远控行为。如权限提升、获取目标主机的屏幕截图，访问目标主机的摄像头数据，并将此类信息传输给攻击者等。除此之外，SugarGh0st还可以执行各类文件操作，如复制、移动、删除等。

下表为SugarGh0st所有命令：

27CE72F35709EC9898C57F1C4EA7324E - RAR

996580C90C5EFE2A727D22A77B7E69EB - Lnk

ECF6BFFDC0358525BC2AB7DD7EED6B9E - JS

EAC72DFF542F3465320F1EF235754832 - bat

77AFBB6A6B85EECAAD65D15E066476EC - DLL

F4B1528911B6CCE7ABBA58D87C3C2C10 - Encrypted SugarGh0st Payload

F86F4204B915222382B7F528982E3808 - Decoy Document (PDF)

E0CD08754753BD540BCDF62FA1733BFF - RAR

CFE4A2FC19B77DEA154C106918DCC1A3 - Lnk

7FB78E726F98AB58780373CCE18BABD5 - JS

6715516DCD9C1EEB252AD7370EA5777E - Decoy Document (Word)

782B8A96D3F80DD562B538AF12233CC3 - RAR

8DEA867B72374FAD43CC301D9AF5A24B - Lnk

81E07BC18419DD34F4137E716E936A54 - JS

E0B8DFD17B8E7DE760B273D18E58B142 - DLL

09DE5D9B53439C38676E83CF41B5FA8B - Encrypted SugarGh0st Payload

177C38A8D0781D4ED1331BE551D0C297 - Decoy Document (Word)

1. 避免将重要服务在外网开放，若一定要开放，需增加口令复杂度，避免使用弱口令。

2. 避免打开可疑或来历不明的邮件，尤其是其中的链接和附件等，如一定要打开未知文件，请先使用杀毒软件进行扫描。

3. 安装信誉良好的防病毒/反间谍软件，定期进行系统全盘扫描，并删除检测到的威胁，按时升级打补丁。

4. 查看Temp目录是否存在文章中出现的文件，查看进程是否有Temp目录下的rundll32.exe或dllhost.exe，若有可结束进程并删除文件。

【深信服终端检测响应平台aES】已支持查杀拦截此次事件使用的病毒文件，请更新软件（如有定制请先咨询售后再更新版本）和病毒库至最新版本，并接入深信服安全云脑，及时查杀新威胁；

【深信服下一代防火墙AF】的安全防护规则更新至最新版本，接入深信服安全云脑，“云鉴” 服务即可轻松抵御此高危风险。

【深信服安全感知管理平台SIP】建议用户及时更新规则库，接入深信服安全云脑，并联动【深信服下一代防火墙AF】实现对高危风险的入侵防护。

【深信服安全托管服务MSS】以保障用户网络安全“持续有效”为目标，通过将用户安全设备接入安全运营中心，依托于XDR安全能力平台和MSSP安全服务平台实现有效协同的“人机共智”模式，围绕资产、脆弱性、威胁、事件四个要素为用户提供7*24H的安全运营服务，快速扩展持续有效的安全运营能力，保障可承诺的风险管控效果。