1、PatchWork组织描述

Patchwork APT 组织，也称为 Dropping Elephant、Chinastrats、Monsoon、Sarit、Quilted Tiger、APT-C-09 和 ZINC EMERSON，于 2015年12月首次被发现，使用一套定制的攻击工具，针对多名外交官和经济学家发起攻击。这些攻击通常是通过鱼叉式网络钓鱼活动或水坑攻击进行的。该组织被怀疑由一个隶属于南亚某国的威胁行为者运营，主要攻击目标是巴基斯坦、斯里兰卡、尼泊尔，孟加拉国、中国、缅甸、柬埔寨等国。

近2年来知道创宇404-高级威胁情报团队多次提前&即时发现该组织针对国内重点高校、研究院、科研所等相关研究组织机构开展攻击活动，多次成功预警。

2、武器基本信息

样本来源	持续追踪
SHA-256	6e0db3722abb04be57696d12f4debf078f053d6e4839e621c864c325f20b8ca4
武器名称	EyeShell
武器类型	后门程序
针对平台	Windows

3、武器功能模块图

4、EyeShell武器综述

近期404-高级威胁情报团队在对PatchWork的持续追踪过程中，发现其武器库中出现了一款由.NET开发的精简后门，目标框架为.NET Framework 4，狩猎追踪过程中我们发现该后门与BADNEWS[1]共同出现，故我们有理由猜测该后门用于配合BADNEWS共同使用，该后门使用的命名空间为Eye，为了方便后续追踪及区分，我们根据命名空间将这款后门称之为EyeShell。

【1】BADNEWS为PatchWork组织专用自研木马名称。

（1）EyeShell功能描述

EyeShell整体来看是一款非常精简的后门程序，推测其版本为v1.0版本，EyeShell按功能模块划分可将整体划分为三个模块，分别如下：

初始化模块

初始化模块分为两个部分，间隔点为C2是否在线。

第一部分用于程序初始化，内容如下：

本次发现的EyeShell创建的互斥体为“fdghsdfgjhh”，互斥体用于确保程序唯一运行，避免发生竞争问题。

C2地址及端口采用数组的方式保存：

char[] C2Address = new char[13]

{

‘1’, ‘7’, ‘2’, ‘.’, ‘8’, ‘1’, ‘.’, ‘6’, ‘1’, ‘.’,

‘2’, ‘2’, ‘4’

};

int[] C2Port = new int[4] { 2, 0, 2, 4 };

由于EyeShell的C2信息使用的是数组保存，进行Connect(string hostname, int port)API调用时会进行一次类型转换，地址在转换string类型时只需要强制转换即可，EyeShell在处理端口时采用的方式是遍历幂运算累加的方式：

C2Port.Select((int t, int i) => t * Convert.ToInt32(Math.Pow(10.0, pop.Length – i – 1))).Sum()

EyeShell的所有网络交互均采用AES-128加密：

AESKey = {‘q’, ‘w’, ‘e’, ‘r’, ‘1’, ‘2’, ‘3’, ‘4’, ‘a’, ‘s’, ‘d’, ‘f’, ‘5’, ‘6’, ‘7’, ‘8’};

AESIV = {‘7’, ‘3’, ‘9’, ‘1’, ‘8’, ‘4’, ‘2’, ‘6’, ‘5’, ‘7’, ‘8’, ‘9’, ‘5’, ‘1’, ‘2’, ‘3’}

向服务端发送数据的加密方式与服务端下发命令所采用的加密方式相同，采用的处理流程为原始数据（byte[]）—> To Base64 —> To AES-128 —> To Base64(最终发送的数据)。

第二部分用于交互初始化

交互初始化需要一个前置条件，当且仅当C2在线时才会进行交互初始化。

交互初始化主要内容为创建cmd.exe进程并创建OutputData Received事件，通过OutputHandler事件委派将标准输出流重新导向TCPStream写入接口，从而达到将标准输出流重定向至服务端操作，EyeShell在完成事件委派后会创建TCPStream Read/Write两个接口分别为后续交互提供支持。

其中Write接口与OutputHandler事件委派中的重定向产生关联。