KongTuke 4-Layer PS1 Dropper | C2: tommy-y.lol | APT31

§1 📋 样本概要信息

§2 🏷️ 分类标签与威胁情报

★ §3 🔬 持久化机制

Stage 0 dropper，不包含持久化。后续由C2下发IEX载荷实现。

★ §3b 🌐 C2 架构分析

通联关系图

graph TD
    A["PS1 Dropper\nfb1db11a"] --> B["Layer1: Base64→RC4→Gzip"]
    B --> C["IEX → Layer2: RC4+Gzip"]
    C --> D["IEX → Layer3: RC4+Gzip"]
    D --> E["IEX → Layer4: RC4+Gzip"]
    E --> F{"VM/AV Check\n55+ tools?"}
    F -->|"Detected"| G["POST ABCD111 → C2\ntommy-y.lol/t"]
    F -->|"Clean"| H["POST BCDA222 → C2\n+ Domain + AD count"]
    H --> I["IEX C2 Response\nRemote Code Exec"]
    G --> I

(无 ASCII 回退)

通道 1: C2 Beacon — Primary

C2 通信时序

§4 🏗️ 结构分析

N/A — 非PE/ELF格式

§5 ⚙️ 反汇编与行为流程

行为执行流

§6 🔬 家族溯源

编译元数据

家族特征比对

已知变种

§7 🔬 深度行为分析

行为阶段拆解

协议/行为状态机

IDLE → DECRYPT_L1→DECRYPT_L2→DECRYPT_L3→DECRYPT_L4→ENUM_PROCESSES→{VM:POST_ABCD111→IEX_C2 | CLEAN:POST_BCDA222→IEX_C2}

gantt
    title KongTuke PS1 Dropper — 行为时序 (fb1db11a)
    dateFormat  X
    axisFormat  %s
    section 解混淆链
    Layer1         :a1, 0, 1
    Layer2         :a2, after a1, 1
    Layer3         :a3, after a2, 1
    Layer4         :a4, after a3, 1
    section 反分析
    进程枚举       :b1, after a4, 1
    工具匹配       :b2, after b1, 1
    section C2
    POST Beacon    :crit, c1, after b2, 2
    IEX C2 Response:crit, c2, after c1, 1

§8 🔬 恶意性综合判定

多维度证据评估

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

反虚拟机

综合评估

★ §10b 🧹 痕迹清理

§11 🔧 逆向分析

Ghidra 反编译

调用链分析 (GitNexus)

Entry→RC4_Decrypt→IEX→Stage2→RC4→IEX→Stage3→RC4→IEX→Stage4→RC4→Gzip→FINAL→Get-Process→{VM:POST ABCD111→IEX|Clean:POST BCDA222→IEX}

★ §12 🔬 QEMU 动态分析

§13 📦 IOC 汇总

IOC 字符串

YARA 检测规则

rule KongTuke_PS1_RC4_Gzip_Dropper { meta: author="Direct Pipeline" family="KongTuke" actor="APT31" strings: $rc4 = "for($i=0; $i -lt 256" $gzip = "GzipStream" $b64 = "FromBase64String" $iex = "oke\'-Ex" $gc = "System.GC" condition: all of them }