1.概述

“暗象”组织（DarkElephant Group）是一个疑似来自印度的APT攻击组织，其主要针对印度境内的社会活动人士、社会团体和在野政党等，同时也会窃取印度周边国家如中国和巴基斯坦等的军事政治目标的重要情报。“暗象”组织的主要攻击手段是使用谷歌/雅虎邮箱或者利用盗取的邮箱，向对方发送极具迷惑性的鱼叉邮件，诱骗对方运行具备多种免杀技巧、包含成熟商用远控木马载荷。至少自2012年以来，该组织针对印度境内的目标，以及包括中国在内的印度周边的目标，发动了长达十年的网络攻击活动。因为该黑客组织在构陷其境内目标时手段十分暗黑（Bhima Koregaon案件中诬陷社会活动人士的执行者），以及结合其组织层面的面貌暗藏十年有逾而鲜有曝光的情况，安天CERT将该组织命名为“暗象”。本文参考了国际其他安全团队的研究成果[1][2]，并补充“暗象”组织针对我国重要单位的网络攻击活动，最后通过溯源分析指出该组织背后的运营人员可能位于东5.5时区（印度国家标准时间）。

2.攻击组织分析

“暗象”组织的整体特点可总结如下：

表2-1 “暗象”组织特点总结

      在观察到的大多攻击案例中，攻击者都喜好使用谷歌和雅虎邮箱伪装成收信人的好友或社会知名人士、知名机构，诱导内容紧随时事热点或与对方的工作方向密切相关，攻击者特别对于印度本土活动的社会活动家、社会团体以及印共等党派的活跃人士表现出强烈而长久的渗透入侵、信息获取兴趣，对于特别重要的个人目标能实施长达多年跨越多种系统平台的监控活动，而对于印度境外的别国军事政治目标，攻击者主要是以窃密和潜伏为主要目的。

图 2‑1样本文件谈及印度境内相关组织制作定时**

      经过关联并结合已公开的数据，我们统计出“暗象”组织典型的攻击样本如下：

表2-2 “暗象”组织典型样本

      在以上样本中，攻击者采用过不同的C2运营技巧。最早在2012年时，“暗象”组织的击键记录器会将窃密数据发往硬编码的邮箱账号。在之后采用各种商业木马窃密时，先是注册免费的动态域名如：*.ddns.net和*.zapto.org等，到2020年以后开始自行注册命名上具有迷惑性的C2域名。

      除了在网络基础设施的搭建运营上表现出一定的低廉性，在所有观察到的攻击样例里，也没有发现任何攻击者自身设计研发的窃密程序，大多是直接使用成熟的商用远控工具如NetWire、DarkComet、ParallaxRAT等，猜测此能力状况主要是适应其主要业务：应对集中在印度境内的处境窘迫、缺乏网络安全防范意识和手段的社会活动人士，事实上，当攻击者尝试以此手段攻击我国境内目标时可能就很容易被察觉和阻断。

3.针对我国的窃密事件

3.1攻击流程分析

2020年10月13日，国内某重要单位信箱收到一份可疑的电子邮件，发件人使用Gmail邮箱且不在该单位的通讯录内，邮件主题为“关于丢失带有敏感文件的外交包的信”，并在正文中提供了一条可供下载可疑文件的网盘链接。

      该链接为国外某网盘的分享链接，点击可下载得到一份ZIP压缩包，名为“Letter regarding loss of Diplomatic Bag with Sensitive Documents.zip”，包内存有一份包含恶意代码的自解压诱饵“Letter regarding loss of Diplomatic Bag with Sensitive Documents.exe”：

图 3‑1 ZIP压缩包的内容

表 3‑1自解压诱饵

      该自解压诱饵同时被多个数字证书签名，文件内容包含：4个木马程序（Pollard.exe、Sexton.exe、Beltran.exe和Wilcox.exe），加载器Nevaeh.exe及其配置文件Nevaeh.cfg，功能脚本Meredith.vbs：

以及1个运行后展示给受害者的掩饰文档：DiplomaticBag.pdf

当自解压诱饵被执行后，会先运行加载器Nevaeh.exe，加载器调用其配置文件Nevaeh.cfg后运行功能脚本Meredith.vbs，Meredith.vbs负责运行4个木马程序（Pollard.exe、Sexton.exe、Beltran.exe和Wilcox.exe），4个木马程序会解密远控木马的载荷，最后将载荷注入系统的白进程的内存中运行。梳理整体的流程如下图：

3.2 加载器分析

加载器Nevaeh.exe实际为知名的自动运行工具AdvanceRun，攻击者此处通过配置文件Nevaeh.cfg传输参数，实现在系统的临时目录中静默执行功能脚本Meredith.vbs：

3.3 功能脚本分析

Meredith.vbs脚本的代码夹杂有大量注释，梳理出的主要功能有如下：

a) 展示掩饰文档DiplomaticBag.pdf，迷惑受害者：

3.4 木马程序分析

四个木马程序（Pollard.exe、Sexton.exe、Beltran.exe和Wilcox.exe）都会随计划任务而定时启动，启动后运行各自对应的四个系统白程序，同时在内存中解密出同一shellcode， shellcode负责将自身包含的一段PE数据（ParallaxRAT远控木马）注入对应的白进程中。其中，Beltran.exe负责操作rundll32.exe进程，Pollard.exe操作svchost.exe进程，Sexton.exe操作dllhost.exe进程， Wilcox.exe操作notepad.exe进程。

      梳理出的白进程调用和注入流程关系如下：

注入白进程的PE数据属于Parallax RAT远控木马，在内存中运行时会尝试连接域名asianmedics.today，解析到的IP为23.160.208.250，端口号为8647。Parallax RAT属于公开的商业远控，具备文件管理、击键记录、远程桌面、密码窃取、命令执行、进程管理、上传和执行等能力，功能运行都成熟稳定，足以支持常规的窃密操作。

3.5 对抗手段分析

上述四个木马程序皆具备以下三种对抗分析的能力：

a) 拥有数字签名：形成一定的免杀能力，迷惑取证分析时的人工判断，且基本每次行动都会更换签名。