Domestic Kitten组织（APT-C-50）针对中东地区反政府群体的监控活动
杭州网08月14日：日本一区专线_小强陪读第二版美国保险业巨头莫里斯·格林伯格C23aHDqJ0C-VSHDYS7123FID-9jk6BUVMQi
一、 概述
Domestic Kitten组织（APT-C-50）最早被国外安全厂商披露，自2016年以来一直在进行广泛而有针对性的攻击，攻击目标包括中东某国内部持不同政见者和反对派力量，以及ISIS的拥护者和主要定居在中东某国西部的库尔德少数民族。值得注意的是，所有攻击目标都是中东某国公民。伊斯兰革命卫队（IRGC）、情报部、内政部等中东某国政府机构可能为该组织提供支持。
2020年9月27日，亚美尼亚与阿塞拜疆之间的冲突升级，在纳戈尔诺-卡拉巴赫地区交战，敌对双方持续发生激烈战斗，并且造成数十人伤亡。亚美尼亚与阿塞拜疆之间存在领土争端多年，最近再次爆发了近年最严重的冲突。由于中东某国与冲突两国的共同边界，中东某国的角色和当局的决定对此次冲突来说非常敏感。尽管中东某国对最近的紧张局势持中立态度以及外交部要求克制和和平解决冲突的坚定立场，但中东某国国内某些团体、民间社会组织和中东某国议会议员呼吁支持阿塞拜疆。或许正是这些原因，为了防止可能对中东某国政权稳定构成威胁，我们观察到Domestic Kitten组织再次发起了攻击行动。
Domestic Kitten组织此次攻击活动中使用了移动端攻击武器，伪装成居鲁士大帝和Mohsen Restaurant相关APP，从代码结构和功能上与商业监控软件KidLogger高度相似。我们在此次攻击活动中发现了一名活动在中东某国的疑似受害者，其可能参与了反政府相关活动。
二、 伪装对象
居鲁士大帝
Domestic Kitten组织在本次攻击活动主要使用了居鲁士大帝相关的样本发起攻击，其中样本信息见表1。样本运行界面如图1所示，应用主要介绍居鲁士大帝的历史以及其相关的事件和人物。
表1 居鲁士大帝样本信息
图1 样本运行界面
居鲁士大帝即居鲁士二世，本是中东某国西南部一个小首领起家，经过一系列的征战而胜利，统一了大部分的古中东地区，建立了从印度到地中海的特大帝国，当代中东某国人将居鲁士尊称为该国国父。本次伪装对象为居鲁士大帝相关的应用，我们推测攻击目标为中东某国崇拜居鲁士大帝的群体。
Mohsen Restaurant
Domestic Kitten组织在本次攻击活动中使用的另一批样本伪装成中东某国地区Mohsen Restaurant餐厅的APP，样本信息见表2。
表2 Mohsen Restaurant 相关信息
样本运行界面为Mohsen Restaurant的网站首页，如图2所示。
图2 Mohsen Restaurant 运行界面
根据样本打开的Mohsen Restaurant官网信息，我们发现该餐厅位于中东某国地区，如图3所示，据此我们推测攻击目标群体位于中东某国地区，可能经常光顾Mohsen Restaurant。
图3 Mohsen Restaurant官网信息
三、 功能分析
Domestic Kitten组织在本次攻击活动中使用的样本与早期国外安全厂商揭露的样本功能基本一致，主要功能如下：
- 拍照
- 录音
- 录像
- 获取短信
- 删除短信
- 获取通讯录
- 获取通话记录
- 删除通话记录
- 获取sdcard文件列表
- 获取已安装应用列表
- 获取通知栏消息
- 获取剪切板内容
- 获取手机账户
- 获取位置
- 获取设备信息
- 执行远程命令
远程指令按类型分为一级指令和二级指令，一级指令主要限定操作类型，二级指令是指定操作行为，远程命令和对应的含义。见表3
表3 远程命令以及对应的含义
四、 与KidLogger的关系
KidLogger是一款商业的远控工具，提供了免费版、标准版和专业版三个版本供客户使用，三个版本均没有提供源代码，KidLogger官网版本介绍如图4所示：
图4 KidLogger官网版本介绍
我们发现Domestic Kitten组织在本次攻击活动中使用的远控工具与KidLogger存在大量的相似之处，猜测Domestic Kitten组织开发的远控工具参考了KidLogger的功能实现。
首先，通过包结构对比可以发现KidLogger和Domestic Kitten远控工具存在大量相同的类名，如图5所示。
图5 KidLogger和Domestic Kitten远控工具包结构
其次，我们发现KidLogger和Domestic Kitten远控工具使用的方法名以及方法功能实现相同，如图6所示：
图6 KidLogger和Domestic Kitten远控工具方法
最后，在实现相同的功能上，KidLogger和Domestic Kitten远控工具除了实现方式类似，使用的变量名也相同，如图7所示：
图7 KidLogger和Domestic Kitten远控工具功能实现
五、 受害者分析
在进行溯源关联过程中，我们发现了一名疑是受害者，并获取到该受害者的部分文件，见表4，根据文件内容，我们推测该受害者为中东某国反动势力，符合Domestic Kitten组织的攻击目标。
表4 部分文件信息
文件“德黑兰-Af53-军事集中-.jpg”，这张图片中包含一辆警用装甲车，拍照时间为晚上，如图8所示。
图8 德黑兰-Af53-军事集中-.jpg
文件“筒仓街特种警察克曼沙(Kermanshah).mp4”，这个视频疑似拍摄克曼沙筒仓街特种警察局周围环境，拍摄时间为晚上，如图9所示。
图9 视频截图
文件“克曼沙赫特种部队司令部.mp4“，这个视频疑似拍摄克曼沙赫特种部队司令部周围环境，拍摄时间为晚上，如图10所示。
图10 视频截图
文件“Esteghlal电影院后面的Kermanshah警察总部.mp4“，这个视频疑似拍摄克曼沙赫特警察总部周围环境，拍摄时间为晚上，如图11所示。
图11 视频截图
文件“Mehdi Shiraz的Fahmideh基地识别照片.zip”，包含一张照片和一段视频，拍摄的内容见图12所示。
图12 Mehdi Shiraz的Fahmideh基地识别照片.zip 照片
文件“Mehdi Shiraz 5 Azar 识别照片.zip” 包含多张图片和一份文档，其中部分图片如图13所示，其中根据文档翻译的内容，如图14-15所示，我们推测其可能在策划一起反政府相关活动。
图13 Mehdi Shiraz 5 Azar 识别照片.zip 照片
图14 文档内容
图15 文档内容对应翻译
基于以上，我们认为该受害者可能从事间谍或者反动势力，符合Domestic Kitten组织的攻击目标。
六、 总结
亚美尼亚与阿塞拜疆之间的冲突升级，不仅给当地带了了巨大的损失，中东某国作为冲突两国的邻国，国内一些反动势力不免会乘机作乱，而此次Domestic Kitten组织通过网络攻击行动获取情报先机，将各种威胁中东某国国内稳定的事件扼杀至摇篮之中，维护中东某国国内安定。
IOCs
MD5:
3bab4d4c90e53e94d35b2f19ceeb1de2
ecb2b37dc1793754f7f60e133258e499
460299156a159dacea4a6b84216b3473
2ed69fa2170e9d4570218d33f5f32d26
6129cc4392d2e10ffdb80db67ca2534b
C&C
http://www.firmwaresystemupdate.com/hass
http://www.firmwaresystemupdate.com/mmh
http://www.appsoftupdate.com/mmh
参考：
https://research.checkpoint.com/2018/domestic-kitten-an-iranian-surveillance-operation/
https://www.bbc.com/zhongwen/simp/world-54322422
https://news.un.org/zh/story/2020/11/1070652
https://baike.baidu.com/item/居鲁士大帝/6399167
(资)【zi】(料)【liao】(来)【lai】(源)【yuan】(：)【：】(人)【ren】(社)【she】(部)【bu】(网)【wang】(站)【zhan】(、)【、】(长)【chang】(安)【an】(街)【jie】(知)【zhi】(事)【shi】(、)【、】(北)【bei】(京)【jing】(青)【qing】(年)【nian】(报)【bao】(、)【、】(上)【shang】(观)【guan】(新)【xin】(闻)【wen】
【而】 摆明了吃定你，虽然愤怒，但无论于禁还是曹军众将却都清楚，以赵云和甘宁所携带的武器，前后营门一堵，后路被断，曹军基本上已经是瓮中之鳖。【仔】♡【细】┃【观】レイコさんは一息ついて煙草の火先を眺めた。僕は黙って葡萄を食べつづけていた。【察】◈【山】 “是蒯越！？”蔡瑁狰狞的看向蒯良，厉声道。【西】웃【清】 魏延嘴角一咧，嘿然道：“你爷爷！”话音刚落，手中的大刀已经落下，血光迸溅中，一颗人头在汉中将士惊呼声中飞起，既然对方没有防备，那也没必要再去诈城了，一刀剁掉对方主将的脑袋，魏延一勒战马，厉声喝道：“将士们，随我冲！”【香】✌【白】「どこに行くの」と彼女が僕に訊いた。【酒】【产】☤【区】【的】「本当に美味しいですよ。それに朝からろくに食べてないし」【建】☤【设】「楽しかった」と緑は言った。「また今度行きましょうね」【规】いずれにせよ一九六八年の春から七〇年の春までの二年間を僕はこのうさん臭い寮で過した。どうしてそんなうさん臭いところに二年もいたのだと訊かれても答えようがない。日常生活というレベルから見れば右翼だろうが左翼だろうがc偽善だろうが偽悪だろうがcそれほどたいした違いはないのだ。【划】℃【，】大学が封鎖されて講義はなくなったのでc僕は運送屋のアルバイトを始めた。運送トラックの助手席に座って荷物の積み下ろしをするのだ。仕事は思っていたよりきつくc最初のうちは体が痛くて朝起きあがれないほどだったがc給料はそのぶん良かったしc忙しく体を動かしているあいだは自分の中の空洞を意識せずに済んだ。僕は週に五日c運送屋で昼間働きc三日はレコード屋で夜番をやった。そして仕事のない夜は部屋でウィスキーを飲みながら本を読んだ。突撃隊は酒が一滴も飲めずcアルコールの匂いにひどく敏感でc僕がベッドに寝転んで生のウィスキーを飲んでいるとc臭くて勉強できないから外で飲んでくれないかなと文句を言った。【可】【以】✿【看】♂【到】【其】✎【与】❤【贵】【州】【酱】僕らは草原を抜けc雑木林を抜けcまた草原を抜けた。そして歩きながら直子は死んだ姉の話をした。このことは今まで殆んど誰にも話したことはないのだけれど。あなたには話しておいた方がいいと思うから話すのだと彼女は言った。【香】【白】 陈群坐在雅阁中，凭窗向外看去，积雪已经被铲开，许昌城重新恢复了车水马龙的状态，看上去兴盛无比，不过想到当初出使长安时所见，陈群不觉叹了口气，许昌虽然繁华，但在见识过长安城的繁华之后，陈群总感觉许昌的繁华带着一股子暮气。【酒】 “在冠军侯面前，谁敢自称绝？”邓展苦涩一笑：“只求冠军侯能给邓某一条活路。”【核】☪【心】クリームのホワイトルームがかかりcコマーシャルがあってcそれからサイモンアンドカーファンクルのスカボロフェアがかかった。曲が終るとレイコさんは私この歌すきよと言った。【产】【区】®【有】Ⓐ【诸】【多】「もちろん部屋に帰って塩水がぶがぶ飲んださ」と永沢さんは言った。「だって他にどうしようがある」【相】【同】 刘备这几年屯兵南阳，对于这位老对手，曹操可没有半点轻视的意思，这几年刘备在南阳混的可是风生水起，无论民生还是军事上，而且帐下如今也不再像以前一样只有关张两员猛将，更有不少名士辅佐，虽然地盘不如徐州，但如今的刘备可比当年在徐州时强了太多，羽翼已丰，而且根据这些年自荆州收集来的情报看，刘备手中可不仅仅攥着南阳，江夏也在刘备手中攥着。【点】「お風呂はなくてシャワーだけだけどまあ立派なもんでしょう」とレイコさんは言った。「お風呂と洗濯設備は共同なの」【，】【并】÷【在】「いいですよ。でも何するんですか」【产】 华佗的五禽戏确实是个好东西，不但能打熬力气，本身也有养生功效，吕布作为当世第一猛将，身体趋近人类极限，在接触五禽戏的第一天就已经察觉到这套拳法的奥妙，与华佗经过长达三年的研究和改良之后，这套五禽戏成了二代们的必修课，甚至吕布的几个女人也被要求经常练习，毕竟拳法本身容易上手，只是想要往深甚至领悟精髓，若没有吕布这种武艺大成的水准，没有几十年的修炼是不可能了。【区】┃【模】 一直以来，众人都知道吕布手中，有一支非常厉害的部队，时刻保护着吕布以及吕布家人的安全，只是没想到，这些人距离自己会如此之近，一时间，都不由得惊出了一身冷汗。【型】│【上】a【相】「ずいぶん内省的な生き方ですね」と僕は皮肉を言った。【似】 还有不少中原世家指责吕布出身问题，一个武夫出身，人家曹操怎么说也是正儿八经的名门之后，有什么资格跟人家比？【。】°【“】【杏】◤【花】☮【村】【汾】※【酒】 “老爷，公子，不好了！”一名丫鬟跌跌撞撞的冲进来。【”】☏【专】®【业】「ありがとう」【镇】✘【对】◎【标】☒【茅】❤【台】僕は何百回もこの手紙を読みかえした。そして読みかえすたびにたまらなく哀しい気持になった。それはちょうど直子にじっと目をのぞきこまれているときに感じるのと同じ種類の哀しみだった。僕はそんなやるせない気持をどこに持っていくこともcどこにしまいこむこともできなかった。それは体のまわりを吹きすぎていく風のように輪郭もなくc重さもなかった。僕はそれを身にまとうことすらできなかった。【镇】「別に好きじゃないよ」と僕は言った。【，】【汾】【阳】レイコさんは足もとで踏み消した煙草の吸殻をあつめてブリキの缶の中に入れた。【产】「そう」【区】♚【对】【标】「彼と別れたよcさっぱりと」と言って緑はマルボロをくらえc手で覆うようにしてマッチで火をつけc煙を吸いこんだ。【仁】 “未曾找到。”亲卫摇头道。【怀】〖【产】▲【区】❣【，】「形而上的思考c数ヵ国語の習得cたとえばね」【吕】©【梁】【产】 尤其是跟随吕布最早的貂蝉十分清楚，当初就是因为吕布雄心渐渐消灭，没了进取之心，在得到徐州之后想着安享太平，结果没有多久便被曹操差点连根拔起，在这群雄争霸的时代，犹如逆水行舟，不进就代表着灭亡，所以，貂蝉对于吕布一直是报以鼓励和支持的态度。【区】【对】 “第一次有名士跟我说这种话，也是布之幸运。”吕布笑道。【标】いいよcと僕は言ったがc正直なところ何かを食べたいという気にはあまりなれなかった。食堂は医者やら看護婦やら見舞い客やらでごったかえしていた。窓がひとつもない地下のがらんとしたホールに椅子とテーブルがずらりと並んでいてcそこでみんなが食事をとりながら口ぐちに何かをしゃべっていて――たぶん病気の話だろう――それが地下道の中みたいにわんわんと響いていた。ときどきそんな響きを圧してc医者や看護婦を呼び出す放送が流れた。僕がテーブルを確保しているあいだにc緑が二人分の定食をアルミニウムの盆にのせて運んできてくれた。クリームコロッケとポテトサラダとキャベツのせん切りと煮物とごはんと味噌汁という定食が病人用のものと同じ白いプラスチックの食器に盛られて並んでいた。僕は半分ほど食べてあとを残した。緑はおいしそうに全部食べてしまった。【遵】✘【义】⊙【产】▼【区】【。】な2022年最新官方正式版爱薇高清影视免费下载 - 腾讯软件。
