Sindoor Dropper 恶意软件- 红客联盟 AI 分析报告

一、报告基础信息

• 情报来源：红客联盟官方门户 | https://www.chnhonker.com/2633.html
• 情报编号：HK-MW-202508302633（注：当日日期取报告发布日期 20250830，网址.html 前面数字为 2633）
• 分析主体：红客联盟 AI 智能安全分析员
• 分析目标：分析网址内容中 Sindoor Dropper 恶意软件的攻击原理、技术细节、影响范围及防御方案，为后续应急响应、威胁狩猎、安全加固提供依据。
• 报告声明：本报告来源网络情报，由红客联盟 AI 进行分析，仅供参阅与技术交流，不做任何保证。

二、分析内容开始

（一）攻击背景与核心特征

1. 攻击活动定位：名为 “Sindoor Dropper” 的新型恶意软件攻击活动，关联高级持续性威胁（APT）组织 APT36（又称 “Transparent Tribe”“Mythic Leopard”），以 “Operation Sindoor”（印巴冲突）为主题设计诱饵，通过鱼叉式钓鱼与多阶段感染链定向攻击 Linux 系统（以往钓鱼攻击对 Linux 环境关注度较低）。
2. 核心攻击载体：武器化的.desktop文件（伪装为 PDF 文档，文件名 “Note_Warfare_Ops_Sindoor.pdf.desktop”），具备 “低触发门槛（用户双击即可启动）、高隐蔽性（静态检测规避率 100%）” 特征，初始载荷在 VirusTotal 平台曾检测结果为零。

（二）攻击流程与技术细节

1. 多阶段感染链拆解

1. 初始触发阶段：用户打开恶意.desktop文件后，文件会同时执行两个操作 —— 前台打开良性诱饵 PDF（路径/tmp/Note_Warfare.pdf，维持合法性假象），后台启动感染流程；
2. 组件下载阶段：恶意.desktop文件自动下载两个核心组件 ——AES 解密器（文件名 “mayuw”）、加密下载器（文件名 “shjdfhd”）；
3. 组件激活阶段：
   • “mayuw” 为 UPX 加壳的 Go 语言二进制文件，攻击者故意剥离其 ELF 魔数使其 “损坏” 以绕过平台安全扫描，.desktop文件会在受害者设备上恢复魔数，使其具备可执行性；
   • 组件间通过 “解密→执行” 联动，“mayuw” 解密 “shjdfhd”，“shjdfhd” 进一步下载并激活第三阶段组件 “inter_ddns”，最终触发终极载荷；
4. 终极控制阶段：最终载荷为改造后的开源远程管理工具 MeshAgent（文件名 “server2”），该载荷会连接 AWS EC2 实例上的 C2 服务器（URL：wss://boss-servers.gov.in.indianbosssystems.ddns[.]net:443/agent.ashx），攻击者获得被入侵系统完全远程访问权限，可监控活动、横向移动、窃取敏感数据。

2. 反检测与混淆技术

• 反虚拟机机制：验证主板与厂商名称、拉黑特定 MAC 地址前缀、检查设备运行时间，规避沙箱与虚拟机分析；
• 字符串混淆：所有投放器字符串采用 “Base64 编码 + DES-CBC 加密” 组合方式，阻碍安全人员逆向分析。

（三）攻击影响与风险评估

1. 目标范围：聚焦 Linux 系统，填补以往钓鱼攻击对 Linux 环境覆盖空白，可能波及依赖 Linux 的服务器、工控设备、企业终端等；
2. 攻击成功率：结合 “时效性社会工程学诱饵（印巴冲突主题）+ 多维度反检测技术”，对关注地区（印巴及周边）、特定行业（涉及地区业务的企业、机构）入侵成功率显著提升；
3. 危害程度：攻击者可实现 “完全远程控制”，不仅导致数据泄露，还可能通过横向移动渗透内网，引发连锁安全事件。

（四）关键威胁指标（IOCs）

三、红客联盟 AI 研究院建议

1. 用户层面（Linux 用户）：
   • 禁止双击打开来源不明的.desktop文件，尤其警惕名称含 “PDF”“Warfare”“Sindoor” 等关键词的文件；
   • 手动核查.desktop文件内容（右键 “查看属性”），若包含 “wget”“curl”“执行二进制文件” 等异常命令，立即删除；
   • 定期扫描/tmp目录，发现 “Note_Warfare.pdf” 等陌生文件及时清理。
2. 企业层面：
   • 基于 IOCs 配置防护规则：在防火墙、EDR 系统中添加上述文件哈希值、C2 域名 / IP，拦截相关下载与连接行为；
   • 监控 Linux 终端的 “异常组件下载”“ELF 文件魔数修改”“MeshAgent 进程启动” 等行为，发现后立即隔离设备；
   • 针对涉及印巴地区业务的员工开展专项培训，提升对地区主题钓鱼诱饵的识别能力。
3. 技术防护层面：
   • 对 Linux 系统的.desktop文件启用 “白名单机制”，仅允许信任路径（如/usr/share/applications/）的.desktop文件执行；
   • 部署具备 “动态行为分析” 的安全工具，对抗恶意软件的反检测与混淆技术，避免依赖静态特征检测。