1.概述

---

近期，6163银河.net163.amCERT在对来自南亚次大陆方向的攻击事件进行追踪和梳理时，发现一起Confucius组织针对巴基斯坦政府、军事机构的攻击活动。

该组织的命名最早出自国外安全厂商Palo Alto Networks在2016年发布的分析报告^[1]，在该报告中，Palo Alto Networks披露了一个印度攻击组织的攻击活动，该组织攻击活动最早可追溯至2013年，其擅长使用鱼叉式钓鱼邮件、水坑攻击以及钓鱼网站，配合丰富的社会工程学手段对中国、巴基斯坦、孟加拉国等印度周边国家政府、军事、能源等领域开展以窃取敏感资料为目的的攻击活动。该组织在早期攻击活动中，曾借助具备留言互动功能的国际知名网站（例如Quora，类似我国的知乎），在公开的留言中夹带经过加密编码处理的木马远控服务器地址。该组织使用的木马被植入受害主机后，可从这类公开留言中获取内容，解密还原真正远控服务器地址。因此，木马在受害主机的首次网络访问行为会被视为正常的网页请求，而攻击者却可以借助这些国际知名网站持续更换远控地址或下发其他指令。Palo Alto Networks在相关恶意代码连接的一个Quora页面中，发现攻击者张贴的内容有“Confucius says”字样，即“孔夫子说”，或“子曰”，于是把这个组织称为Confucius。可见攻击者持续攻击中国过程中，也对中国的文化进行了研究。

在6163银河.net163.amCERT发现的本次攻击活动中，该组织主要伪装成巴基斯坦政府工作人员向目标投递鱼叉式钓鱼邮件，通过钓鱼邮件内容诱骗目标下载、打开嵌入恶意宏代码的文档，从而向目标机器植入开源木马QuasarRAT、自研C++后门木马、C#窃密木马以及JScript下载者木马。

目前，该起攻击活动已引起巴基斯坦政府相关部门注意，其中巴基斯坦国家电信和信息技术安全委员会（NTISB）多次发出全国网络威胁预警^[2][3]，称攻击者正在向政府官员和公众发送模仿巴基斯坦总理办公室的虚假网络钓鱼电子邮件，因此要求政府官员和公众保持警惕，不要通过电子邮件和社交媒体链接提供任何信息。

本报告对从2021年至今的Confucius组织攻击活动、手法和工具做一定程度的总结，整体活动的特征可简要总结如下表：

表1-1 整体攻击活动特征总结

2.活动分析

---

从2021年下半年至今，6163银河.net163.amCERT陆续捕获到Confucius组织针对巴基斯坦进行攻击的样本文件，捕获样本的攻击时间线如下：

2021年6月份利用巴基斯坦军队牺牲者名单有关内容的恶意RTF文档进行攻击；

2021年8月份利用巴基斯坦军方关于Pegasus间谍软件警告内容的宏文档进行攻击；

2021年8月份利用巴基斯坦联邦税务局税务申报有关内容的宏文档进行攻击；

2022年2月份利用伪装成图片文件的恶意快捷方式文件进行攻击；

2022年2月份利用巴基斯坦政府员工COVID-19疫苗接种状态表、数字资产审计表等有关内容的宏文档进行攻击；

2022年5月份利用巴基斯坦总理办公室员工职位申请表有关内容的宏文档进行攻击；

2022年6月份利用巴基斯坦外交部有关内容的恶意宏文档进行攻击。

在此次攻击活动中，攻击者主要以巴基斯坦政府工作人员的名义向目标投递鱼叉式钓鱼邮件，钓鱼邮件的内容大多数与巴基斯坦政府有关，例如，以巴基斯坦总理办公室的名义要求政府工作人员更新COVID-19疫苗接种情况。

图2-1 钓鱼邮件

攻击者在钓鱼邮件的正文中、附件PDF文件中嵌入了不同类型的恶意链接，当目标查阅钓鱼邮件后便会被攻击者精心设计的邮件正文、PDF文件内容诱骗，从而点击恶意链接下载具有恶意宏代码的文档。攻击者使用的恶意链接主要分为以下三种：

▶ 仿冒政府网站的钓鱼网站访问链接：攻击者利用HTTrack等网站克隆工具，搭建仿冒政府部门官网的钓鱼网站（如巴基斯坦总理办公室、巴基斯坦国防大学学报、巴基斯坦联邦税务局），当目标通过钓鱼网站访问链接访问钓鱼网站时，攻击者通过网站内容诱骗目标下载携带恶意宏的文档。

表2-1 仿冒域名

图2-2 仿冒巴基斯坦总理办公室的钓鱼网站

图2-3 仿冒巴基斯坦国防大学学报的钓鱼网站

▶ 指向第三方云存储服务的文件下载链接：攻击者将恶意宏文档存放在第三方云存储服务网站Dropbox网盘中，当目标利用浏览器访问该链接，浏览器便会自动请求下载所储存的恶意宏文档。

▶ 指向第三方Deep Linking^[4]（深层链接）服务的访问链接：深度链接是指设链网站所提供的链接服务使得用户在未脱离设链网站页面的情况下，即可获得被链接网站上的内容，此时页面地址栏里显示的是设链网站的网址，而非被链接网站的网址。攻击者利用Branch公司所提供的深度链接服务可以自定义子域名的特点，将子域名伪装成巴基斯坦政府官方网站（如ncoc-update.app.link、pmoffice.app.link、moitt-auditform.app.link），当目标通过浏览器访问攻击者创建的访问链接时，Branch服务器便会自动请求下载存储在第三方云存储服务的恶意宏文档。同时，在下载恶意宏文档时，目标的浏览器地址栏显示的还是攻击者创建的访问链接，而并非下载恶意宏文档的第三方云存储服务下载链接，通过这一手段，攻击者就大大提高了所下载文件在目标心中的可信度。

本次攻击活动的整体攻击流程，如下图所示：

图2-4 本次攻击活动的整体攻击流程

图2-5 嵌入恶意下载链接的诱饵PDF文件

图2-6 与巴基斯坦军队牺牲者名单有关内容的恶意RTF文档

在本次攻击活动中，为了阻碍安全分析人员对其攻击活动进行分析、溯源，攻击者采用以下手段来规避检测：

● 故意将C#下载者木马、C#窃密木马的时间戳伪造成不真实的时间，以对抗时区分析。

● 使用加密的恶意宏代码文档，密码一般是位于邮件正文、PDF正文以及钓鱼网站页面中。攻击者通过对恶意宏文档进行加密，保证了非目标人群获得恶意宏文档时，没有密码也无法对恶意宏文档进行打开、分析。

● 域名都使用CloudFlare（美国内容交付网络和 DDoS 缓解公司）的CDN加速服务，该服务可以有效隐藏域名所解析服务器的真实IP地址。

● 利用CloudFlare防火墙功能对访问IP的地址位置进行筛选，只有访问IP位于特定国家时，访问页面才会跳转至真正的恶意宏文档下载页面。

图2-7 通过CloudFlare防火墙功能限制访问国家

3.样本分析

---

3.1 执行流程分析

3.1.1 利用Word宏文档释放综合窃密组件

攻击者利用恶意Word宏文档释放、执行Stage 1、Stage3 C#下载者木马，然后通过所释放的下载者木马下载后续攻击载荷。同时，攻击者挂载服务器返回的攻击载荷实质上是ASCII文件，各阶段的下载者木马会将ASCII文件转换为二进制文件，然后将其加载到内存中并跳转到动态函数进行执行。

利用Word宏文档释放综合窃密组件的整体流程图如下图所示：

图3-1 利用Word宏文档释放综合窃密组件的整体流程

图3-2 Petition.docm(请愿书)

图3-3 Jobs_in_GHQ_Rawalpindi_2022.docm

3.1.2 利用Excel宏文档释放后门组件

攻击者利用携带恶意宏代码的Excel文档，释放后门组件（如开源木马QuasarRAT、自研的C++后门木马）至宿主机的%ProgramData%目录下。对于开源木马QuasarRAT，攻击者会利用系统工具PowerShell去执行。而对于C++后门木马，攻击者则是利用系统工具Rundll32进行执行。利用Excel宏文档释放后门组件的整体流程图如下图所示：

图3-4 利用Excel宏文档释放后门组件的整体流程

图3-5 DEPT_NCOC-3-31.xlsm

图3-6 DigitalAssestsAudit.xlsm

3.2 攻击武器分析

3.2.1 恶意Word宏文档

在本次攻击活动中，攻击者主要使用了恶意Word宏文档以及恶意Excel宏文档，恶意Word宏文档主要向宿主机植入攻击者自研的综合窃密组件，而恶意Excel宏文档则是向宿主机植入后门组件（开源木马QuasarRAT、自研的C++后门木马）。

3.2.1.1 恶意Word宏文档

表3-1 恶意宏文档样例

图3-7 SRIU-AppForm.docm

通过对该恶意Word文档嵌入的宏代码进行分析，发现攻击者编写的宏代码结构、功能十分简单，主要有以下功能：

1. 当受害者触发“DOWNLOAD FORM”按钮时，下载白文件至宿主机“Download”目录下，并弹出消息弹窗说明文件保存位置。

图3-8 弹窗消息、下载白文件

2.攻击者根据宿主机是否存在杀毒软件McAfee的安装文件夹，来释放不同阶段的C#下载者木马。

图3-9 释放不同的C#下载者木马

当宿主机存在杀毒软件McAfee的安装文件夹时，从文档中的“Comments”属性中提取Stage 3 C#下载者木马ASCII数据（在本样本中，由于攻击者的失误，导致木马数据实际上是存放在文档的“Description”属性中），将ASCII数据转化成二进制数据后，将其命名为“sdjkfhkjsdh.txt”释放至宿主机%TEMP%目录下，并为释放的木马创建每二十分钟执行一次的计划任务进行持久化。

图3-10 释放Stage 3 C#下载者木马

图3-11 隐藏在subject、description属性中的ASCII数据

图3-12 创建计划任务

当宿主机不存在杀毒软件McAfee的安装文件夹时，则是会从文档中的“Subject”属性中提取Stage 1 C#下载者木马ASCII数据，将ASCII数据转化成二进制数据后，将其命名为“sdjkfhkjsdh.txt”释放至宿主机%TEMP%目录下，并利用PowerShell执行该木马。

图3-13 释放Stage 1 C#下载者木马

图3-14 利用PowerShell执行木马

3.2.1.2 恶意Excel宏文档

表3-2 恶意Excel宏文档样例

图3-15 FBR5323-Notice.xlsm

恶意Excel文档嵌入的宏代码功能也十分简单，主要为释放通过.NET Reactor混淆的开源木马QuasarRAT，然后利用系统工具PowerShell加载运行所释放的QuasarRAT。

图3-16 提取隐藏在sheet中经过Base64加密的QuasarRAT数据

图3-17 Base64加密后的QuasarRAT数据

图3-18 解密、释放QuasarRAT

图3-19 利用PowerShell加载执行QuasarRAT

同时，对整个宏代码进行分析可以发现，该宏代码中还有些功能攻击者并未启用，未启用的功能包括利用注册表对释放的QuasarRAT进行持久化、可以用来迷惑受害者的消息弹窗。

图3-20 未启用的功能

3.2.2 综合窃密组件

表3-3 Stage 1 C#下载者木马

Stage 1 C#下载者木马功能比较简单，主要是从攻击者挂载服务器上获取Stage 2 C#下载者木马ASCII文件，然后将ASCII文件转换为二进制文件，最后将其加载到内存中并跳转到动态函数进行执行。

图3-21 Stage 1 C#下载者木马功能

图3-22 挂载服务器返回的Stage 2 C#下载者木马ASCII文件

表3-4 Stage 2 C#下载者木马

Stage 2 C#下载者木马功能为下载Stage 3 C#下载者木马，并且为Stage 3 C#下载者木马创建名为 “YunoHonow”的计划任务，该计划任务会每20分钟使用系统工具PowerShell加载执行Stage 3 C#下载者木马。

图3-23 Stage 2 C#下载者木马功能

表3-5 Stage 3 C#下载者木马

Stage 3 C#下载者木马功能为下载Stage 4 C#窃密木马，并将C#窃密木马加载到内存中并跳转到动态函数进行执行。同时，为了保证能成功下载Stage 4 C#窃密木马，攻击者还采用了备用下载链接。

图3-24 Stage 3 C#下载者木马功能

表3-6 Stage 4 C#窃密木马

Stage 4 C#木马是一个窃密木马，其主要功能是窃取宿主机C盘Users文件夹中Documents、Downloads、Desktop、 Pictures目录以及其余盘中所有符合类型的文件。

图3-25 C#窃密木马整体功能

同时，该木马为了避免重复上传文件，其会在上传文件的时候，向C2服务器回传文件的MD5值。每当木马重新启动时，便会根据宿主机唯一标识符（机器名__用户名）从C2服务器下载已上传文件的MD5列表（MD5列表文件位于服务器har1目录下）。木马后续在上传文件时，通过判断当前文件的MD5值是否存在已上传文件MD5列表中，来避免文件的重复上传。

图3-26 根据唯一标识符获取已上传文件的MD5文件列表

图3-27 上传文件、文件MD5

图3-28 搜索当前目录下所有符合类型的文件

图3-29 上传文件及文件MD5，并继续对子目录进行搜索

3.2.3 后门组件

表3-7 C++后门木马

该C++后门木马最早发现于Confucius组织2020年9月的一次攻击活动中，通过对本次捕获的新版本后门木马与之前版本进行对比，发现其功能与之前版本并没有太大改变，新版本的木马只是对整体代码结构进行了调整。其主要有创建计划任务、检索进程信息、检索网络适配器信息、检索磁盘驱动器信息、上传文件、下载文件、执行文件、反弹Shell等功能。该后门木马被执行后，首先会判断自身与加载程序的文件名、路径是否为特定的，来决定是否继续执行下去。

图3-30 获取加载程序路径

图3-31 判断自身所在路径

其次，通过创建互斥量来确保宿主机中只有一个木马程序正在运行，本样例木马使用的互斥量为“v2.1.1”。在后续，6163银河.net163.amCERT又捕获到互斥量为“v2.1.4”的C++后门木马，由此可推断出后门木马使用的互斥量为当前木马版本号。

图3-32 不同版本木马的互斥量

同时，攻击者通过创建名为“Windows Logging Service”的计划任务，每十五分钟利用系统工具Rundll32加载执行自身，以达到持久化监控宿主机的目的。

图3-33 计划任务名称

图3-34 存放在Task目录下的计划任务文件

然后，木马会为宿主机生成唯一的身份标识回传至C2服务器，身份标识的构成如图3-35所示：

图3-35 身份标识

图3-36 身份标识样例

图3-37 判断操作系统版本

图3-38 判断运行环境是虚拟机还是物理机

图3-39 判断操作系统位数

图3-40 拼接身份标识，并回传至C2服务器

接着，木马会将检索的宿主机信息回传至攻击者的C2服务器，检索的信息包括进程、网络适配器、磁盘驱动器、已安装应用以及符合类型的文件。

图3-41 回传信息

检索进程信息：检索宿主机正在运行的进程信息，所获取的信息以“程序名——程序PID----程序所在路径”的形式回传至C2服务器。

图3-42 检索宿主机的活动进程信息

图3-43 获取进程程序完整路径

图3-44 回传的进程信息格式

检索磁盘驱动器信息：获取宿主机磁盘驱动器信息，以便木马在后续检索磁盘驱动器中符合条件的文件信息。

图3-45 检索磁盘信息

检索网络适配器信息：包含适配器类型、名称、描述、Mac地址、IPv4地址、网关、子网掩码等。

图3-46 检索网络适配器信息

图3-47 所要检索的网络信息

检索应用程序信息：通过检索注册表HKLM\Software\\Microsoft\\Windows\\CurrentVersion\\Uninstall的子项来获取宿主机所安装的软件的名称、版本以及所在路径等信息。

图3-48 检索注册表

检索磁盘驱动器中符合类型的文件：攻击者所关注的文件类型有doc、docx、pdf、txt、ppt、pptx、xls、xlsx、zip、rar、7z以及axx。

图3-49 检索文件

图3-50 攻击者关注的文件类型

图3-51 需要排除的目录

最后，待上述信息回传完毕后，木马就进入后门状态，等待C2服务器下发指令，执行对应功能。

通过对木马分析，发现攻击者主要是利用多重While循环来实现后门操作，其设计的每个While循环都能执行一种或多种功能。

图3-52 利用多重While循环实现后门操作

攻击者下发的指令可分为一级和二级指令，一级指令代表一个整体功能，而二级指令代表整体功能下的分支功能。

攻击者在对目标进行控制时，首先下发一级指令进入整体功能，然后再下发具体指令实施分支功能。具体指令由“，”字符分隔，即“二级指令，具体的操作，”的形式，木马在接收到具体指令会通过Strtok函数对其进行分解。同时，木马在完成指令后，会向C2服务器回传特定的字符来标识指令执行的结果。

图3-53 攻击者下发的一级指令

图3-54 攻击者下发的二级指令

攻击者通过C2服务器下发的指令及功能含义如表3-8所示：

表3-8 指令功能表

图3-55 通过URL下载文件及执行可执行文件

图3-56 检索文件及执行文件

图3-57 删除指定文件

图3-58 上传指定文件

图3-59 下载文件及执行文件

图3-60 反弹Shell

3.2.4 下载器组件

JScript是微软的一种专门设计用于Web页面中的脚本语言。它坚持了ECMAScript标准并且主要是微软对应于Netscape早些出现并被广泛使用的JavaScript所出的一个语言。与其他许多编程语言一样， Microsoft JScript 是用文本方式编写的，并被组织成为语句、由相关的语句集组成的块、以及注释。

攻击者利用JScript语言编写的下载器组件，向目标机器植入C++启动器木马、VBS脚本以及综合窃密组件。

其完整执行流程如下图所示：

图3-61 JScript下载者执行流程

表3-9 JScript下载者木马

JScript下载者木马会根据浏览器内核信息来识别宿主机系统版本，之后，则会根据不同的系统执行不同的命令。

当系统版本为Windows7，即浏览器内核为“Windows NT 6.1”时，通过命令行工具CMD利用系统工具Certutil下载后续攻击载荷（一个C++启动器木马、一个C#下载者木马、一个VBS脚本、一个名为“ZeroToleranceMonth.jpg”的文件，ZeroToleranceMonth.jpg文件疑似是诱饵图片文件），以及通过schtasks命令创建名为“calcure42”的计划任务。

当系统版本非Windows7时，则会通过CMD命令行工具利用curl.exe下载后续攻击载荷，以及通过schtasks命令创建名为“WinEvent5”的计划任务。

图3-62 JScript下载者木马

所下载的VBS脚本的功能为利用系统工具Rundll32运行C++启动器木马。

图3-63 z.vbs

表3-10 C++启动器木马

所下载的C++启动器木马主要功能为创建名为“Daily Trigger Test Task”计划任务，每十五分钟利用系统工具PowerShell执行Stage 3 C#下载者木马。

图3-64 计划任务要执行的命令

图3-65 计划任务的名称

图3-66 计划任务Task文件

4.关联归因

---

6163银河.net163.amCERT通过6163银河.net163.am赛博超脑关联子系统对所捕获的样本进行拓线分析，发现本次捕获的C++后门木马可关联到攻击者多起以往的攻击活动。

图4-1 关联图

在对关联出的攻击活动样本进行分析时，发现其中有多个样本为Confucius组织的DeMnu混淆器。DeMnu混淆器最早由友商奇安信于2020年9月份发布的《提菩行动：来自南亚APT组织“魔罗桫”的报复性定向攻击》^[5]报告中披露，“魔罗桫”为友商奇安信对Confucius组织的别称。

Confucius组织主要利用DeMnu混淆器加载其特有的loader程序Polyloader，再通过Polyloader解密并加载开源远控木马AsyncRat。

图4-2 本次关联出的DeMnu混淆器所使用解密函数

图4-3 奇安信报告中披露的DeMnu混淆器所使用解密函数

同时，攻击者以往攻击活动中使用的恶意载荷挂载链接与Confucius在以往攻击活动中使用的恶意载荷挂载链接高度相似。

表4-1 恶意载荷挂载链接对比

综合以上信息，6163银河.net163.amCERT判定本次攻击活动归属于Confucius组织。

5.与SideWinder组织之间的联系

---

在对本次攻击活动进行关联分析时，通过6163银河.net163.am赛博超脑威胁情报分析子系统关联到一例名为“WhatsApp.jpeg.lnk”的恶意快捷方式样本，该恶意快捷方式样本利用系统工具MSHTA加载执行远程的HTA脚本，但是由于远程HTA脚本链接已失效，所以无法得知该HTA脚本具体的功能。

表5-1 恶意快捷方式样例

图5-1 WhatsApp.jpeg.lnk

后续，通过6163银河.net163.am赛博超脑威胁情报分析子系统又关联到一批攻击者用来测试的恶意快捷方式样本，该批测试样本均由同一个上传者提交至VirusTotal平台。

对这批测试样本进行分析，可以发现攻击者大致在2021年8月份开始对恶意快捷方式样本进行测试，且早期恶意快捷方式主要通过CMD调用MSHTA执行远程HTA脚本文件，而后期则是直接使用MSHTA执行远程HTA脚本文件。

表5-2 攻击者测试样本

通过对本次捕获的Confucius组织恶意快捷方式样本进行全面解析，发现其与SideWinder组织所使用的恶意LNK样本在“机器名”、“创建时间”、“修改时间”以及“磁盘驱动器标识符”等地方有许多重叠之处，其中“磁盘驱动器标识符”作为创建恶意快捷方式文件机器的磁盘标识，其本身是具有唯一性。因此6163银河.net163.amCERT猜测SideWinder组织与Confucius组织之间存在共享工具。

其实，各大印度APT组织之间互相共享代码、工具的情况已经屡见不鲜。例如，国外安全厂商趋势科技曾多次披露Confucius组织、Urpage组织以及白象组织之间存在共享代码、共享资产的关系^[6]。

而今，从6163银河.net163.amCERT又发现SideWinder组织与Confucius组织之间存在共享工具的情况，可以看出越来越多的印度APT攻击组织之间会进行工具、代码共享。

表5-3 Confucius组织与SideWinder组织所使用的恶意LNK样本元数据对比

6.威胁框架视角的攻击映射图谱

---

本次系列攻击活动共涉及ATT&CK框架中12个阶段的27个技术点，具体行为描述如下表：

表6-1 Confucius组织攻击活动的技术行为描述表

Confucius组织相关攻击活动的行为技术点的ATT＆CK框架图谱下图所示：

图6-1 Confucius组织攻击活动对应ATT&CK映射图

7.总结

---

在来自印度的APT攻击组织之中，Confucius组织在攻击武器、代码质量以及漏洞利用方面并无特色，但在社会工程学手段的使用方面，则可谓“傲视群雄”。尤其是在近几年的攻击活动中，Confucius组织使用更加丰富的社会工程学手段对目标进行攻击，其构造的钓鱼网站、鱼叉式钓鱼邮件、诱饵PDF文件以及恶意宏文档内容都对目标具有十足的诱惑力。

同时，该组织在攻击活动中使用CloudFlare的CDN加速服务来隐藏资产的真实IP地址、限制访问IP地理位置、修改恶意载荷的时间戳、使用加密的恶意宏文档等手段，也大大提升了安全分析人员对其进行分析、溯源的难度。

附录一：部分IOC

---

部分 MD5

021C535B8E70E9EFA74512DB647EF011

04F9B8DDD038E3D3DA3AB54AEBE73687

06B5A67BF37FED5B92C2211F342D7F0A

08B9C6AEFF78A30BE44694BB650EC198

0A1C6D9CD67172995D22FA54946662F0

15AE0E6E5B449797F4080E1E9A1ECC3F

17CB582F64A32C584DF68AEEF23E25F6

3DA30534B377B01CCAA3BF25F93AF1BA

3E3EC6645D75ED83C0C57E3151917B96

3FCFE20A4D3C5CD07944328DF25C81C2

457101EA5C30C53F9381D7E9AA6432A4

46417AD0FC33783C298B7441ACED2C1A

78EA0072E01F9BEC53D414C2CAD7C497

84D68E7B3AACF245D0C60F94A8D0AC4A

8736492918F8836D13DEFC6525540610

9120216CAE280E802FA22AB29A346119

92A0947B1A2CB8CFD645ED585E2001D1

A52E4EEB2BF7F1BFDAC3E3C0673ECE5F

A8169881B8552852F0D117FDD743F5E0

B426CE9179226681043CE8ED3ABCA862

BDF4DEF26EFBF676BB020B4BE49F9011

BEC908D62554CD16BD857A692BEF6FC6

C004DC680A8B74B3C99137A73AFE46D7

C676EB09E74308A879658FDA6FCB74FC

C7E1B92397E1C563E9FAA222CBF39BE7

DEF6F71E3A21F99F9494A4CB1D8D4279

E05AF60FBB3EC9110ACBF38CD1071F52

F6DE9D853EF1B802FC1EF34BD0787ABA

FFCEF12B4AB6DE46454D9AFA1E55379E

部分 URL

http://185.203.*.42/uphta/z.vbs

http://classcentral-*.ddns.net/TNC/Class_Central.zip

http://dump*ngs.ml/Jdsuifyiusdyf.txt

http://dump*ngs.ml/Kewiuryjd.txt

http://dump*ngs.ml/ZeroToleranceMonth.jpg

http://fil*oni.digital/HprodXprnvlm1.php

http://fil*oni.digital/VueWsxpogcjwq1.php

http://fu*tifu.live/ksjdSudh/hsfuYNm.txt

http://msd*igns.site/google/goopdate.dll

http://office*oud.store/update.dotm

http://pirna*m.xyz/Bdsfunklo.php

http://pirna*m.xyz/Vksufnduw.php

http://pirna*m.xyz/YblSNyirp/

http://release.word*date.net/object/encode

http://thak*aiya.xyz/Bdsfunklo.php

http://thak*aiya.xyz/SuMkdsfui.php

http://thak*aiya.xyz/Vksufnduw.php

http://webi*taller.online/V6.exe

http://webi*taller.online/office/updates

http://word*date.net/micro/upload

http://word*date.net/wordpress

https://www.fbr-no*ce.com/iris/file.php?file=FBR

https://t7g*c.app.link/Kit8V9GsIqb

https://t7g*c.app.link/RKQX1PtSJqb

https://t7g*c.app.link/qweqweqw

部分 Domain

classcentral-*.ddns.net

dump*ngs.ml

fil*oni.digital

fu*tifu.live

msd*igns.site

office*oud.store

pirna*m.xyz

release.word*date.net

thak*aiya.xyz

webi*taller.online

word*date.net

fbr-no*ce.com

t7g*c.app.link

附录二：参考资料

---

[1] Palo Alto Networks：Confucius Says...Malware Families Get Further By Abusing Legitimate Websites

https://unit42.paloaltonetworks.com/unit42-confucius-says-malware-families-get-further-by-abusing-legitimate-websites/

[2] Pakistan NTISB：Spam Mails for Govt Jobs/Recruitments (Advisory No 13)

https://download1.fbr.gov.pk/Docs/202242912443472AdvisoryNo13-2022.pdf

[3] Pakistan NTISB：Cyber Security Advisory No. 21 Spam Email-PMO

https://download1.fbr.gov.pk/Docs/20226271462135426Advisoryno21-2022.pdf

[4] 百度百科：深层链接

https://baike.baidu.com/item/%E6%B7%B1%E5%B1%82%E9%93%BE%E6%8E%A5/8441834?fr=aladdin

[5] 奇安信：提菩行动-来自南亚APT组织“魔罗桫”的报复性定向攻击

https://ti.qianxin.com/uploads/2020/09/17/69da886eecc7087e9dac2d3ea4c66ba8.pdf

[6] 趋势科技：Linking cyberespionage groups targeting victims in South Asia

https://www.first.org/resources/papers/tallinn2019/Linking_South_Asian_cyber_espionnage_groups-to-publish.pdf