数字经济的安全基石
AI智能体专区
AI智能体专区业内首个落地的自主安全智能体(AI Agent)，预置数百个原子级安全智能体，革命性采用任务驱动多智能体协同模式。
恒脑安全智能体以硬核实力为网络安全、数据安全保驾护航。让工具更睿智，让知识更智慧，让安全更智能!
AI安服数字员工融合人工智能与网络安全的专业服务体系，为企业提供全方位的Al安全咨询、威胁检测、安全运营等一站式解决方案，让安全防护更智能、更高效、更可靠。
全生命周期安全防护，智能体驱动效能提升，场景化联动管控。
多云一体、融合安全、闭环运营
多场景应用提升安全运营能力
安全态势感知与管控
全方位守护工业信息网络安全
AI数据分类分级，让分类分级快人一步！
HVV利器，即日起，免费试用三个月！
有效实现数据“供得出、流得动、用得好、保安全”的数据流通利用基础设施
7×24 小时全维度托管模式实现企业网络安全无忧化管理，全方位满足企业业务安全运行与合规监管的双重需求。
构建大模型全生命周期防护架构，强化多维度安全能力
对本地AI服务提供者开展日常监督、备案审查工作
智算全栈安全方案，算网安协同，合规高效
监控感知应急全套流程的安全监管机制
一站式意识教育解决方案
行业解决方案
技术解决方案
全生命周期安全防护，智能体驱动效能提升，场景化联动管控。
多云一体、融合安全、闭环运营
多场景应用提升安全运营能力
安全态势感知与管控
全方位守护工业信息网络安全
AI数据分类分级，让分类分级快人一步！
HVV利器，即日起，免费试用三个月！
有效实现数据“供得出、流得动、用得好、保安全”的数据流通利用基础设施
7×24 小时全维度托管模式实现企业网络安全无忧化管理，全方位满足企业业务安全运行与合规监管的双重需求。
场景解决方案
构建大模型全生命周期防护架构，强化多维度安全能力
对本地AI服务提供者开展日常监督、备案审查工作
智算全栈安全方案，算网安协同，合规高效
监控感知应急全套流程的安全监管机制
安全意识教育解决方案
一站式意识教育解决方案
概要
近日安恒信息获取到一批定向攻击的APT样本，经过关联分析发现这批样本与具有印度背景的境外APT组织响尾蛇（SideWinder）有关。该样本使用“保利国防科技研究中心“内容投递远控木马，是一起针对我国的APT攻击活动。
背景
本次发现的响尾蛇APT组织样本投放时间为7月中旬之后，此时间段内中印由于“克什米尔危机“等事件带来的国界划分影响，关系再次开始紧张。我们结合该组织的印度背景，可以确定在“克什米尔危机“前后，该组织针对我国发起可能带有政治意图的攻击活动。
本次攻击诱饵文档使用保利集团相关内容，保利集团是国务院国有资产监督管理委员会监管的大型国有中央企业，主要经营通用商品和特种装备及技术的进出口业务，先后引进了包括黑鹰直升机，瑞士防空系统等产品，并且出口了大量的防务装备。
此样本生成时间在2019年9月12日，中国和印度军队曾在2019年9月11日左右于靠近班公错北岸的实际控制线一带发生对峙。
样本分析
样本感染流程：
1、诱饵文档使用CVE-2017-11882执行释放到%temp%路径下1.a脚本；
2、1.a脚本拷贝白文件write.exe和恶意的PROPSYS.dll，以及加密后的恶意程序主体到“C:\ProgramData\AuthyFiles“路径并设置“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run”自启动注册表项；
3、write.exe是win7系统白文件，启动后会加载PROPSYS.dll恶意DLL，此DLL会解密同目录下“.tmp“结尾的文件，解密后是木马本体，开始执行木马本体。
诱饵文档分析
诱饵信息为“保利国防科技研究中心“的中文文件：
利用漏洞CVE-2017-11882加载嵌入的JS脚本：
脚本阶段
脚本经过分析功能为释放相关文件到“C:\ProgramData\AuthyFiles”并启动“write.exe“进程，进入下一阶段的白加黑利用：
白加黑利用阶段
write.exe会加载同目录下的PROPSYS.dll实现白加黑利用
DLL功能为解密同目录下的tmp后缀文件并执行：
解密手法：
.tmp文件前32字节为密钥，后续字节通过异或解密，解密后确为一个PE格式文件
最终阶段
样本主体是一个C#窃密木马，名称SystemApp.dll，窃密木马整体流程为加载配置、启动信息收集和下载执行线程、进行一次基本信息收集：
系统信息写入.sif为后缀的文件，文件遍历结果写入.flc为后缀的文件，需要上传的文件写入为后缀的.fls文件，如果写入出错则会写入.err为后缀的文件。
下载执行线程工作如下：
信息收集上传线程工作，首先上传几个日志/信息文件：
如果需要上传指定文件则再上传指定文件：
信息传输的加解密方法同白加黑利用阶段的PE解密，加密手段：
解密手段：
内置硬编码默认CC，也可以从CC端下发进行更改：
立即体验恒脑安全智能体 
立即解锁AI安服数字员工 
<i id='ceee8'><strike id='272a9'><tt id='52c7b'><pre id='2c100'></pre></tt></strike></i>