APT-C-56（透明部落）近期攻击活动分析

高级威胁研究院 2026-09-03 17:50 北京

APT‑C‑56（透明部落）为南亚背景 APT 组织，针对印度及周边国家实施网络间谍活动，擅长社会工程投毒，自研 CrimsonRAT 等远控工具。360 高级威胁研究分析中心捕获其两类共用基础设施的载荷，借助 LNK 与脚本链路加载后门，窃取敏感数据。

近期，360高级威胁研究院捕获到了APT-C-56(透明部落)组织投递的两类截然不同，但共用同一个网络基础设施的攻击载荷。

其投递的多类攻击载荷均采用LNK文件结合脚本执行链路，最终加载CrimsonRAT后门或其自研Golang远控程序，实现对目标主机的持续控制和敏感信息窃取。

1.攻击流程分析

本次攻击活动主要涉及两类攻击载荷，攻击者均采用“诱饵文件+快捷方式文件+脚本执行”的多阶段加载方式进行传播。攻击者首先通过伪装后的镜像文件或压缩包作为诱饵，引导目标用户打开其中携带的LNK文件。用户执行LNK后，进一步触发隐藏的BAT脚本，利用脚本完成后续恶意代码加载与执行。该攻击活动包含两条主要攻击链：其一通过释放并运行CrimsonRAT后门程序，实现对受害主机的远程控制与信息收集；其二则加载“透明部落”组织自研的Golang远控木马，依托建立的远程通信通道完成主机控制与敏感数据窃取。两类攻击路径虽载荷与实现机制各异，但核心战术目标高度一致，均旨在夺取系统权限、维持持久化访问并实施定向情报窃取。

2.恶意载荷分析

2.1.ISO文件分析

ISO镜像文件的具体信息如下：

该镜像文件中内嵌了一个名为“My Resume.pdf.lnk”的LNK文件和一个名为“doxc”的文件夹。

在名为“doxc”的文件夹内共包含四个文件：一是伪装为PDF文档的“doxc”文件，二是“doxc.bat”批处理脚本，三是CrimsonRAT后门木马的“doxcm”文件，四是名为“My Resume.pdf.lnk”的快捷方式文件。其中两个名为“My Resume.pdf.lnk”的LNK文件目的都是为了执行doxc.bat文件。

当执行doxc目录外的“My Resume.pdf.lnk”之后，会通过cmd.exe执行“doxc\doxc.bat”BAT脚本文件。

doxc.bat首先会将伪装文件“doxc\doxcm”复制到“C:\ProgramData\My_Resume.pdf”并打开，以迷惑受害者。

伪装文件的内容如下：

接着将名为“doxc\doxc”的后门程序复制到C:\ProgramData\目录下，并创建“%APPDATA%\hzwzucr_widsisa.exe”硬链接，硬链接指向刚刚复制的“C:\ProgramData\doxc”文件，最后执行hzwzucr_widsisa.exe，实际上也就是执行“C:\ProgramData\doxc”文件。

“doxc”文件是一个CrimsonRAT后门程序，该程序由C#编写，是APT-C-56(透明部落)组织经常使用的后门程序之一。该文件具体信息如下：

doxc是一个名为CrimsonRAT后门程序。Doxc运行后首先会读取存储在静态数组的C2服务器地址（93.127.133.151@sharema128.net），然后通过@符号进行分割。

初始化C2服务器地址之后，通过Connect方法和服务端建立连接

当建立好和C2服务端的连接之后，然后调用this.sewmishxp()分发执行命令。

CrimsonRAT后门支持的功能如下

2.2.ZIP文件分析

ZIP压缩包信息如下：

“Document_Detail.zip”文件包含一个名为“Documents_Details.lnk”的LNK文件和一个名为“`”的文件夹。

在“`”文件夹中包含一个名为“config.bat”的BAT文件，一个“Documents_Details.pdf”伪装文件，和一个名为“windowSysUpdates.txt”伪装成文本的可执行文件。

当受害者执行“Documents_Details.lnk”文件，就会后台执行“config.bat”文件

“config.bat”文件内容如下：

首先，该脚本会删除当前目录下第一个.lnk文件，以清除痕迹，然后切换到名为“`”的目录，打开第一个.pdf文件用以迷惑受害者。伪装内容如下

然后将第一个windowSysUpdates.txt重命名为“GymTraniningShedule.exe”文件，创建“%LOCALAPPDATA%\SystemFolder32”目录，将“GymTraniningShedule.exe”文件移动到“%LOCALAPPDATA%\SystemFolder32”目录下用以隐藏攻击载荷，最后执行攻击载荷，并删除自身文件用以销毁痕迹。

windowSysUpdates.txt文件信息如下：

windowSysUpdates.txt是一个使用Golang编写的远控木马程序。当执行之后，首先会调用main.addToFitnessRegistry进行持久化，该函数实现了两种独立的持久化方式。第一种是通过“reg.exe add”或者“powershell.exe -Command New-ItemProperty”在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下创建名为 DailyFitnessTracker 的值的方式实现持久化。

第二种是将自身复制到 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\FitnessMonitor.exe实现持久化。

接着通过遍历测试内置的C2服务器列表，寻找可用的C2服务器地址(monitorondomainwintgt2.store和monitorondomainwintgt.store)。

然后通过测试网络tcp连通性，访问/api/gym-facility，/api/gym-membership接口来等待服务端响应。

当服务端响应之后，通过使用POST方法注册客户端。程序会调用getFitnessProfile函数获取包括操作系统类型，系统版本，强度级别，本地地址，国家代码，国家名称，安全软件名称，主机名，用户名等系统信息并打包为JSON格式发送给服务端。

此外，程序还会调用main.generateAuthHeader函数生成基于时间的认证头，格式为SHA256(secret:timestamp):timestamp，其中secret为硬编码字符串A9@mK7#xP2$vL8!nQ5*wB3^eR6&tY1（30字节）。

最后将生成的认证头附加在API请求的auth参数中，将其通过POST方式发送到“api/gym-membership?client_id”接口实现客户端注册，client_id为用户名。

完成客户端注册之后，进入工作线程，该函数会创建3个定时器，main.checkCoachInstructions定时器用于轮询C2指令，main.checkServerRecognition用于检查服务端状态，main.testConnectionHealth 测试连接健康。其中main.checkCoachInstructions函数会通过访问/api/coach-instructions接口获取命令，当获取到服务端返回的命令后，调用main.processCoachInstruction函数解密并分发。目前一共支持4个命令。

通过对本次攻击活动的相关信息进行深入分析，我们将这两类攻击归属到APT-C-56(透明部落),理由如下：

1、攻击者投递的ISO镜像文件内置CrimsonRAT远控木马，该工具系APT-C-56（透明部落）组织长期惯用的核心攻击组件，具备显著的组织级技术特征；

2、CrimsonRAT载荷回连的基础设施IP（93.127.133.151），经反查关联至特定域名（monitorondomainwintgt2.store），该域名与同期捕获的go载荷共用的C2服务器完全一致，呈现出典型的基础设施复用特征；。

3、样本上传源地定位为印度（IN），与该组织长期聚焦南亚地区、针对特定国家及关键机构开展网络窃密活动的情报指向高度一致；

4、LNK文件中提取的Machine ID标识（desktop-mhp）与该组织历史活动使用的标识符一致。

综上，攻击者使用的指纹信息、载荷类型、攻击目标、网络基础设施等多维度证据形成完整交叉验证，充分证实此次攻击活动属于该组织的持续性APT行动。

跳转微信打开