【APT组织情报】盲眼鹰-FancyPig's blog

团伙概况

团伙名称	盲眼鹰
攻击者类型	国家背景组织
技术能力	低
负责国家/地区	–
最早活动时间	2018-02-01
影响行业	金融、石油、制造、政府
别名	APT-Q-98,APT-C-36
攻击方式	鱼叉攻击
攻击频率	低
影响国家/地区	哥伦比亚
最近活动时间	2022-04-26
常用语言	西班牙语

团伙描述

盲眼鹰（APT-C-36）一个疑似来自南美洲的APT组织从2018年4月起至今，针对哥伦比亚政府机构和大型公司（金融、石油、制造等行业）等重要领域展开了有组织、有计划、针对性的长期不间断攻击。主要攻击对象:哥伦比亚国家民事登记处、哥伦比亚国家税务和海关总署、哥伦比亚国家统计局、哥伦比亚国家网络警察局、哥伦比亚国家司法部门，对哥伦比亚的政府、金融机构，本国大型企业或跨国公司的哥伦比亚分公司。

2018年4月，奇安信威胁情报中心捕获到第一个针对哥伦比亚政府的定向攻击样本，在此后近一年时间内，我们又先后捕获了多起针对哥伦比亚政企机构的定向攻击。攻击者习惯通过入侵西班牙语网站或者注册有隐私保护的域名并上传用于投放的攻击载荷文件和文档，将带有恶意宏的MHTML格式的Office Word诱饵文档通过RAR加密后配合鱼叉邮件对目标进行投递，然后将RAR解压密码附带在邮件正文中，具有很好的躲避邮件网关查杀的效果。攻击者伪装成哥伦比亚国家民事登记处、哥伦比亚国家税务和海关总署、哥伦比亚国家统计局、哥伦比亚国家网络警察局、哥伦比亚国家司法部门，对哥伦比亚的政府、金融机构，本国大型企业或跨国公司的哥伦比亚分公司进行攻击，使用了商业木马Imminent对目标进行远程控制，并采用了基于动态域名的远程控制技术，其最终目的是植入Imminent后门以实现对目标计算机的控制，为接下来的横向移动提供基础。

其攻击平台主要为Windows，攻击目标锁定为哥伦比亚政企机构，截止目前奇安信威胁情报中心一共捕获了29个针对性的诱饵文档，Windows平台木马样本62个，以及多个相关的恶意域名。奇安信威胁情报中心通过分析攻击者投递的多个加密的Office Word文档的最后修改时间、MHTML文档字符集（语言环境）、攻击者使用的作者名称等信息，并结合地缘政治等APT攻击的相关要素，判断攻击者疑似来自于UTC时区在西4区（UTC-4）正负1小时对应的地理位置区域（南美洲）。

2019年9月盲眼鹰伪装成哥伦比亚移民局进行攻击，2019年10月盲眼鹰伪装成哥伦比亚检察院进行攻击，2019年12月盲眼鹰伪装成哥伦比亚国家税务和海关总署进行攻击，2020年12月盲眼鹰伪装成哥伦比亚民事身份登记处进行攻击，2020年2月盲眼鹰伪装成哥伦比亚国家税务和海关总署进行攻击，2020年3月7日盲眼鹰伪装成哥伦比亚卫生部进行攻击。

技战法

将带有恶意宏的MHTML格式的Office Word诱饵文档通过RAR加密后配合鱼叉邮件对目标进行投递，然后将RAR解压密码附带在邮件正文中，最终目的是植入Imminent后门

历史报告

发现时间	报告名称	发布厂商
2022-04-26	APT-C-36（盲眼鹰）针对哥伦比亚国家攻击简报	360集团
2022-03-31	盲眼鹰：盘旋在哥伦比亚上空的攻击活动披露	奇安信
2021-09-14	盲眼鹰在针对南美的垃圾邮件活动中使用了新型商业木马	Trend Micro
2020-08-14	新攻击新武器：盲眼鹰APT组织最新攻击活动完全分析	启明星辰
2019-04-04	“盲眼鹰”新攻击活动：伪装为哥伦比亚司法部门	FreeBuf
2019-02-19	盲眼鹰（APT-C-36）：持续针对哥伦比亚政企机构的攻击活动揭露	奇安信

情报信息

文件hash情报

文件类型	文件哈希值
MD5	9fb15f35f6c2ba4727cba53fb95c1179
MD5	f3d22437fae14bcd3918d00f17362aad
MD5	b3be31800a8fe329f7d73171dd9d8fe2
MD5	53774d4cbd044b26ed09909c7f4d32b3
MD5	a644f05ec4a73eb9ccae05a2e9a1fb5c
MD5	d0cd207ae63850be7d0f5f9bea798fda
MD5	ad2c940af4c10f43a4bdb6f88a447c85
MD5	b0687578284b1d20b9b45a34aaa4a592
MD5	7fb75146bf6fba03df81bf933a7eb97d
MD5	3155a8d95873411cb8930b992c357ec4
MD5	3be90f2bb307ce1f57d5285dee6b15bc
MD5	4bbfc852774dd0a13ebe6541413160bb
MD5	688b7c8278aad4a0cc36b2af7960f32c
MD5	1bc52faf563eeda4207272d8c57f27cb
MD5	3751c0eeb2ce63c98fae0510f11e7cfc
MD5	fd436dc13e043122236915d7b03782a5
MD5	7fd5b900cf1c8a9c3787e8107a94b2eb
MD5	9db2ac3c28cb34ae54508fab90a0fde7
MD5	a7cc22a454d392a89b62d779f5b0c724
MD5	51591a026b0962572605da4f8ecc7b1f
MD5	6b56baeba602b4a0b8de99cea6c69d69
MD5	b8d37b89e94467e63e96570b45c28ec8
MD5	19d4a9aee1841e3aee35e115fe81b6ab
MD5	352c40f10055b5c8c7e1e11a5d3d5034
MD5	0c97d7f6a1835a3fe64c1c625ea109ed
MD5	5ba378dd04df51b88a37f90d768b9cf4
MD5	7b69e3aaba970c25b40fad29a564a0cf
MD5	cf906422ad12fed1c64cf0a021e0f764
MD5	4e7251029eb4069ba4bf6605ee30a610
MD5	0915566735968b4ea5f5dadbf7d585cc
MD5	60daac2b50cb0a8bd86060d1c288cae2
MD5	5065d3062bf1b8074b0ec09f146708ba
MD5	77fec4fa8e24d580c4a3e8e58c76a297
MD5	0e6533dde4d850bb7254a5f3b152a623
MD5	f2776ed4189f9c85c66dd78a94c13ca2
MD5	940d7a7b6f364fbcb95a3a77eb2f44b4
MD5	519ece9d56d4475f0b1287c0d22ebfc2
MD5	e3dad905cecdcf49aa503c001c82940d
MD5	8ec736a9a718877b32f113b4c917a97a
MD5	1733079217ac6b8f1699b91abfb5d578
MD5	66f332ee6b6e6c63f4f94eed6fb32805
MD5	c654ad00856161108b90c5d0f2afbda1
MD5	e7d8f836ddba549a5e94ad09086be126
MD5	df91ac31038dda3824b7258c65009808
MD5	a91157a792de47d435df66cccd825b3f
MD5	cc73036ceb913014874a1d751b5bdad8
MD5	e575fd8d5e85f0151ff8b8376a7de70e
MD5	3c859878b2cb643813f967136dee666d
MD5	b6e43837f79015fd0e05c4f4b2f30fa5
MD5	3a255e93b193ce654a5b1c05178f7e3b
MD5	3205464645148d393eac89d085b49afe
MD5	f7eb9a41fb41fa7e5b992a75879c71e7
MD5	99b258e9e06158cfa17ee235a280773a
MD5	95aaa7c95a6075cfe3659cd87f7c785e
MD5	592c9b2947ca31916167386edd0a4936
MD5	7a2d4c22005397950bcd4659dd8ec249
MD5	b9d9083f182d696341a54a4f3a17271f
MD5	763fe5a0f9f4f90bdc0e563518469566
MD5	ecccdbb43f60c629ef034b1f401c7fee
MD5	f2d5cb747110b43558140c700dbf0e5e
MD5	531007db30b66c75e5f6009012b3fea6
MD5	fecb2bb53f4b51715be5cc95cfb8546f
MD5	bf95e540fd6e155a36b27ad04e7c8369
MD5	b6691f01e6c270e6ff3bde0ad9d01fff
MD5	46665f9b602201f86eef6b39df618c4a
MD5	19487e0cbfdb687538c15e1e45f9b805
MD5	a355597a4dd13b3f882db243d47d57ee
MD5	33ed9ff45755f1aa36cb182a241b51f2
MD5	e770a4fbada35417fb5f021353c22d55
MD5	f486cdf5ef6a1992e6806b677a59b22a
MD5	ac1988382e3bcb734b60908efa80d3a5
MD5	ef9f19525e7862fb71175c0bbfe74247
MD5	4daacd7f717e567e25afd46cbf0250c0
MD5	5dee0ff120717a6123f1e9c05b5bdbc2
MD5	edef2170607979246d33753792967dcf
MD5	ee5531fb614697a70c38a9c8f6891ed6
MD5	3de286896c8eb68a21a6dcf7dae8ec97
MD5	8518ad447419a4e30b7d19c62953ccaf
MD5	662b76db18768727b623885da26ca3f5
MD5	43c58adee9cb4ef968bfc14816a4762b
MD5	4354cb04d0ac36dab76606c326bcb187
MD5	27a9ca89aaa7cef1ccb12ddefa7350af
MD5	e2f9aabb2e7969efd71694e749093c8b
MD5	20c57c5efa39d963d3a1470c5b1e0b36
MD5	aaf04ac5d630081210a8199680dd2d4f
MD5	b0ed1d7b16dcc5456b8cf2b5f76707d6
MD5	eb2ea99918d39b90534db3986806bf0c
MD5	9b3250409072ce5b4e4bc467f29102d2
MD5	50064c54922a98dc1182c481e5af6dd4
MD5	a3f0468657e66c72f67b7867b4c03b0f
MD5	0e874e8859c3084f7df5fdfdce4cf5e2
MD5	ccf912e3887cae5195d35437e92280c4
MD5	6d1e586fbbb5e1f9fbcc31ff2fbe3c8c
MD5	e9e4ded00a733fdee91ee142436242f4
MD5	42f6f0345d197c20aa749db1b65ee55e
MD5	a1c29db682177b252d7298fed0c18ebe
MD5	b4ab56d5feef2a35071cc70c40e03382
MD5	27902600b54cdc45cfe1148f10213d07
MD5	cbbd2b9a9dc854d9e58a15f350012cb6
MD5	30ecfee4ae0ae72cf645c716bef840a0
MD5	b5887fc368cc6c6f490b4a8a4d8cc469
MD5	afb80e29c0883fbff96de4f06d7c3aca
MD5	0a4c0d8994ab45e5e6968463333429e8
MD5	e3050e63631ccdf69322dc89bf715667
MD5	9a9167abad9fcab18e02ef411922a7c3
MD5	f2d81d242785ee17e7af2725562e5eae
MD5	476657db56e3199d9b56b580ea13ddc0
MD5	f1e85e3876ddb88acd07e97c417191f4
MD5	f90fcf64000e8d378eec8a3965cff10a
MD5	5be9be1914b4f420728a39fdb060415e
MD5	ea5b820b061ff01c8da527033063a905
MD5	73da81e4b4e9af05f94170e133e9c3e3
MD5	2d52f51831bb09c03ef6d4237df554f3
MD5	ce589e5e6f09b603097f215b0fb3b738
MD5	16d3f85f03c72337338875a437f017b4
MD5	91cd02997b7a9b0db23f9f6377315333
MD5	e2771285fe692ee131cbc072e1e9c85d
MD5	a4985c0b71be336a85e4e11f804a8a32
MD5	c80968dcd5c47e8a11cfd8c5339de701
MD5	254b608ed5021d37cfc4ed9dcdf5e758
MD5	2846c8c406b6ce89ef0fbaed43c166be
MD5	3e761d616206cce7099aa9e56dd8f8be
MD5	67ab4452a9ddfb849cbe42ba38246108
MD5	7e4788126682af1ed57d76c9c321f458
MD5	7fcbfabed4619a472a416b4733c249d7
MD5	8f9303348078dc272f231f6a9224f7dc
MD5	accf8977f6fa08718d63e5e3f83145cf
MD5	b1289bbe520a917626b7c5f1a122ea5f
MD5	b3fbd36fd7e7609420676d023b579480
MD5	c06c6c9fab261c225409def17fbc1538
MD5	d38a2b1833dc189a2f66ec0ea7f3a688
MD5	d4e738bfe046d815e2e427646ed33947
MD5	e1ceb0c4de364f52da5ea987d5230cbc
MD5	f2ac22cfca986f46b479b7ef6489bb5a
MD5	f7f693e82daf0bda8403de086f62c455
MD5	0d30c7446e573f209e3e300d1128b51e
MD5	19aaaaf2be7c21f97652173840f6b449
MD5	2185921e2839aa1972ae9be2d4e4e2cc
MD5	272e86dabab41e0db02d398920a81b71
MD5	290400014dd47271d6ed315d488f4b62
MD5	33029135af3f1af215723909403653c4
MD5	354b40da1225419fe90f4d768e3b4e0a
MD5	4aa22964793f9b61c3d968d742e0e0f3
MD5	4b19fd700069414aef438426752ca3ee
MD5	4cb9adb08785474c02e7dc29e2912021
MD5	51b5d48c1cb5c0e921622cf61889f031
MD5	5f9094567f4185c4f7fd113b1bad3d3a
MD5	60a92d5338b75a93574af84abcd853cb
MD5	6df47a9484d9133d19da7de2479e0ce5
MD5	76a6a7d2ab9e95b28876139cd6a887ee
MD5	79b86fd8c0d427978e7f629eb5a271f1
MD5	801739ce58ccdffc5138c302ee1290f1
MD5	8cbd420947d71c373a2a489488502dcd
MD5	8da55dfac2aa99abfaf63b35707cbc6a
MD5	97de421bd63480e7e355155b622e2f54
MD5	98eedcdaa47c0954d7d2a691ee46a76b
MD5	a169e96ebecd9f7255a368bdf6945a23
MD5	a29c364348da95d46906a3cd97d5d812
MD5	a92ac246ed6c58877f3afebb4e4a6dbf
MD5	aa4d1fc83ba4a668d90d723e6c96f60a
MD5	af607da780ff1643acff911077859c2f
MD5	bc2892a34c009371a34e8e9f76252613
MD5	bcf7ebbac6e755d7d6a2f0ae1556c92b
MD5	cc7a9d80a31e2e0d7811f5f83557735a
MD5	d24f8266c6f0f7c8be3e98a610f0b707
MD5	daef7fc6daacd63fe8a0fa9e4ae95643
MD5	e95b50d462bec50ead081c4e2b94202b
MD5	f2137ba65772c6e19f4d0390ef6aa2aa
MD5	f22dd67bcd7aa0c59e841fa912fee583
MD5	61f4ef2333a35bf80f1847bc9ed81688
MD5	9bf79297f1cb4d4558df34df6543629c
MD5	000031c5fdfca5da745a9ab5e494c17d
MD5	05e4b947ad6be711fd6e0bb9844b51af
MD5	0d608561f2cd7fbe41b08f9a5a01228f
MD5	0f6dc46c674ebcc09bc4039811be595c
MD5	13868b8672d0cbd053ba44d61f5b8ced
MD5	14b11b881773dd0e851639872544abc1
MD5	1b94152164f2fa88604d9942bd91addf
MD5	1eacfabba668e2f37f17a3177e14d1d1
MD5	1f6211415f80054e321e8d28b2d1578d
MD5	208b01f1aee4d26ec10b003106e27c76
MD5	238f938f5ced393d4e577a4564ab4dad
MD5	39b28c8b6e5576deadea55b8b2981319
MD5	3a08c0c005a8c41a7c372cd037e26c35
MD5	3c0ad287b00862a3ac6e1c7e097a858a
MD5	42efa39082d113d675bc63909a07d619
MD5	4910d6a23280578ab838476ea8bfdc9a
MD5	5965cfab5f6986b7e421ad1480a29311
MD5	5d3c09630c2017783600507b55437efa
MD5	613b24d89f7d3977859c84c8a67b586b
MD5	6543de5acbefc3e9491105d2502bff02
MD5	66f716e990b7ba9615a47c51cd5e1418
MD5	6de0f794e0798e016ae648c0d14e8b8d
MD5	6fde64a1dec519ccc789309a654d22a9
MD5	8812be8cc919063c01a670250072f206
MD5	8ec41bd349b5ccf8ab4d30d5a6fbd2ef
MD5	8f80b1aa1c993a8be187868cd3b6f5fc
MD5	9614b215f5218f198dde99788821ec93
MD5	9edc6bd6360c3d3e593e6f63353fe45a
MD5	a30f16bc22f9f13f913e86a5dfffd331
MD5	abbc8e5dbaaa1aa0b0a6e453df2a6f39
MD5	b86f69bea6756d81e88179af29846335
MD5	c63582cc8c24d69e4bb0829e71f395f3
MD5	d560bc7bfb90469dd9df6dffa989c53b
MD5	da75625314149cda325f1a1ccbd66033
MD5	deee27d22505bd8e59a238ff922df2ff
MD5	df23dc51a33158b4265ff8533f68bb44
MD5	e8d16b1b67ef52f774cd9a36323e3fad
MD5	ebb369c2ad96eb9ec566c6775bc0a308
MD5	f1e98afd39a625e150a2fb6f066e1119
MD5	f8d767e98e8af957e78d511e094920f8
MD5	fa1127a9ace22d01230142ace2650321
MD5	fc350ce8e12c4aa48d74e404cb028359
MD5	1b12929adeb3e70726148ef19b6f0a97
MD5	20e51f444fe4a9d89ab84dfd6b00002b
MD5	2a259d09d59c56d15b9104cb7576b4d8
MD5	3112f00605198acf9bb536f4857acbc8
MD5	38d8d257e09a25020288b83ab37af7f7
MD5	3a5142595acc5bc1445ae775bb4dd58c
MD5	468dd5c8adf10a6b4f4dba25ec602198
MD5	4daed8a0f6f918845d21dbf5119714df
MD5	61ef8d48bc01fdcb0fec22f6384fc75f
MD5	7545c015bd1feba22347fcbe6e5e0a86
MD5	75ab70d75ef9a5ef97b10fe7dad6da43
MD5	7a16c96ee575e39bb8bc49ba2c54f1b9
MD5	80e714a3a3e170fca3f6c51d80a7dca4
MD5	859bec0ee34fff27358f0b198443f3fd
MD5	a2872dfb9db8af210aa367f0231c8c67
MD5	a5fdd99bf98e3376cb52a60a6c94bfa3
MD5	bc04e1fcb533007d960d2199f1ae5184
MD5	c938f73a4899a4da334eeac963a5b6e6
MD5	d5dfbab804a95d9b8c13446b82ea7189
MD5	d97470fad1b553c3f0266a8a84e6fdc2
MD5	e15e2dabfca2cdaf2684d79da87760c3
MD5	f46dba9d8c36eec27b65f70f88dc9c24
MD5	fc0765d29622555033b316243dfa0ffa
MD5	6057ce35bd926dd6d49dedfa9cc18372
MD5	9e7da50f37da059fd98e5841d7acdd4c
MD5	2d6d9d57325dfe778ebeb70449b75ed5
MD5	000bb96bd620e55ea6a358af4bcb418b
MD5	e161d0119e58a42469eedc018e8e61e6
MD5	87fdb37d3af229e98c9b4c0f86e97d7f
MD5	28125694ef9c9c9c6cc68b34ff289c9c
MD5	43cc42aa63006e0200c011b72884efd5
MD5	136d2a0c5f1f2a8b8baf583d06de6e85
MD5	c92981cb0171bcc454320c372cf140be
MD5	d63aba98f964778357852bc17e97e3bd
MD5	f187cbdda6a909932fb91754eec526ce
MD5	6671a30b86667d97efe2187666fd4255
MD5	43eab776ac3f8be80a51d43faed821e5
MD5	071f035b8603ffa4d4ac4a2dbe99c375
MD5	cd42be8ee1353280be247af08570970c
MD5	ebfe0d3b674e3cc8c59e45271b13ac7d
MD5	afd07a33c20cdc7d552160640f7c7be3
MD5	7962d10a03cb67488f47cf9a6e3ee843
MD5	fe31f38929b3b474d7426d7fbb030fa5
MD5	7694ca2b5e1671be0cec9da6cc3360fa
MD5	90c29d2cd1c607f99430c14d8439b844
MD5	39c2c45153f294bfd4dc490bc59200a4
MD5	160e276bbe9fc8071951d439addd4124
MD5	f137f8c9a1b8e847d74368233501949d
MD5	639ccd17243745511dc88786b06569b2
MD5	61a453179ea48cd909ca6dda21ae4e84
MD5	6fc87910f94511f2d7fb476e084f302c
MD5	2748936249165528593825ca9ec17c6a
MD5	19271644a69d2eec0422e4c15a209a1a
MD5	febb4e956146858d28b9029e09c0cd2d
MD5	b44e08a5cab98ee6b27a4599ee083597
MD5	01845a64b246abeb6392a1b6c686ef56
MD5	19f4260d4bd3883630a055584253da09
MD5	e3cae996ffb198df38de279d8b2bcb36
MD5	f1e7e950d68770122724a8ff8963a29b
MD5	1052c26577331a9a22d7f8679b2a1dd2
MD5	f1216b7fa54187bbeaad79b36a2db096
MD5	2f8b652f2e82b84cc668aad628fd09f6
MD5	758bd85a96463059b93327a36b3869b9
MD5	58f814ec9cd58a2460477270ec822d97
MD5	d7d4c0d46de2910e6473e622f048edc6
MD5	1e4ae7ff1fd387f6a54dce49bdbe6c4b

域名/IP情报

类型	IOC列表
域名	diangovcomuiscia.com
域名	ceoempresarialsas.com
域名	ceoseguros.com
域名	ismaboli.com
域名	confe.linkpc.net
域名	remfff.duckdns.org
域名	mentes.publicvm.com
域名	dianportalcomco.com
域名	eltiempocomco.com
域名	sucursapersonastransaccionebancolombiacom.small-business-solutions.biz
域名	www.pruebaremc.duckdns.org
域名	sucursalpersonastransaccionesbancolombialccomvaliddo.small-business-solutions.biz
域名	febenvi.duckdns.org
域名	wins11.duckdns.org
域名	dcz.duckdns.org
域名	nsdesks.duckdns.org
域名	nsdeck.duckdns.org
域名	qsarz.duckdns.org
域名	viscaps.duckdns.org
域名	nyask1.duckdns.org
域名	anxy.duckdns.org
域名	wins10.duckdns.org
域名	julian.linkpc.net
域名	javierandresparramojica09.duckdns.org
域名	pruebaremc.duckdns.org
域名	www.pruebaremc.duckdns.org
域名	cepeda.linkpc.net
域名	www.small-business-solutions.biz
域名	sucursapersonastransacionebancolombiacom.small-business-solutions.biz
域名	sucursalpersonastransaccionesbancolombiacomval.small-business-solutions.biz
域名	sucursapersonastransacionebancolombiaccomn.small-business-solutions.biz
域名	medicosempresa.com
域名	cepeda.linkpc.net
域名	acortaurl.com
IP	185.136.171.110
IP	91.241.19.49
IP	201.219.204.73
IP	128.90.115.100

相关声明 1 微信公众号：猪猪安全
2 本站永久网址：https://www.iculture.cc
3 本文内容仅为技术科普，请勿用于非法用途
4 本文内容未隐讳任何个人、群体、公司。非文学作品，请勿用于阅读理解的练习
5 根据《计算机软件保护条例》第十七条，本站所有软件请仅用于学习研究用途
6 本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责

THE END