PatchWorkAPT是一个比较有意思的名字，源于该组织武器库是基于开源的代码拼凑而成(地下论坛、暗网、github等等)，组织主要目标是美国军事和政治机构，曾被赛门铁克、卡巴多次对组织Attack活动披露。
组织善用于office_cve武器库，从奇安信github收录以往的样本统计中来看，office_cve通杀漏洞占据了主导地位。
以往的套路，通过漏洞进行提权和载荷的释放，利用msf进行回连，这里不做累述，有好的文章可以参考套路如下链接，本篇文章主要分析C2样本功能：
https://www.freebuf.com/articles/network/108637.html
➬ IOCs:
| Column 1 | Column 2 |
|---|---|
| 文件名 | 0f4f6913c3aa57b1fc5c807e0bc060fc |
| 大小 | 195072 bytes |
| MD5 | 0f4f6913c3aa57b1fc5c807e0bc060fc |
➬ 样本分析：
➀ 图中url并非是组织服务端，而是用来测试通信是否有网络连接。
➁ 动态的获取函数地址，如下所示：
➂ http报文截获，如下所示：
↪ 动作一：
➃ 采集系统信息，主机名，uudi，系统版本等，如下所示：
➄ CreateThread感染分发，其中循环体中CreateThread不停分发感染线程：
➅ 405BC0线程回调会在Temp临时目录下释放文件，如下所示：
➆ 创建窗口，注册的窗口类中会包含窗口回调，用来嵌套恶意线程，线程用于初始化保存数据配置本地文件，如下所示：
↪ 动作二：
➇ 分发线程，初始化窃取数据配置文件，不同数据采集本地创建不同文件保存，如下采集系统文件名列表：
遍历全部磁盘，记录后缀xls/xlsx/pdf/docx.pptx绝对路径保存至edg499.dat文件中。
➈ 循环中分发感染线程回调函数是一样的，如下所示：
➬ C2：
➯ 初始化配置：
➚ POST报文初始化：
POST //e3e7e71a0b28b5e96cc492e636722f73//4sVKAOvu3D//ABDYot0NxyG.php HTTP/1.1..HOST: ..User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:44.0) Gecko/20100101 ..Accept: application/x-www-form-urlencoded..Content-Type: application/x-www-form-urlencoded..Cache-Control: no-cache..Content-Length: 52....eI4=gLTB0mmwj6I8+jzh1sVD89McJO&zFi=iBjLOA==&crc=e3a6
➚ Socket配置初始化
➚ 分解服务端返回的指令报文，指令功能执行：
➯ 功能模块：
➀ 截屏操作：
➁ 利用ShellExecuteW执行恶意文件：
➂ 文件下载和执行：
➬ 情报分析：
PatchWork作为拼凑武器库，当少不不了优秀的RAT如鹰眼Keylogger，鹰眼中提取邮箱账号/密码，包括有样本中包含ftp账号密码，可以使我们获取更多的情报信息，因为这些样本都是历史了，这里不在多扩展分析。
Patchwork_KeyLogger_IOCs: 8dad164966fb17c3c1f3e068c73080e0
来源：oschina
链接：https://my.oschina.net/u/4332395/blog/4288294