搜索

[28127] 2020-02-04_中国黑客通过新的后门Winnti变种瞄准香港大学

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-02-04_中国黑客通过新的后门Winnti变种瞄准香港大学 中 国 黑 客 通 过 新 的 后 门 W i n n t i   变 种 瞄 准 香 港 大 学 O t s 安 全   2 0 2 0 - 0 2 - 0 4 E S E T 的 安 全 研 究 人 员 报 告 说 ， 在 最 近 针 对 香 港 大 学 的 攻 击 中 ， 使 用 与 S h a d o w P a d 后 门 有 关 的 新 变 种 观 察 到 了 与 中 国 有 关 联 的 威 胁 组 织 ， 即 W i n n t i 。 据 信 W i n n t i   G r o u p 至 少 自 2 0 0 9 年 以 来 就 很 活 跃 ， 它 与 A x i o m ， B a r i u m ， G r o u p   7 2 ， B l a c k f l y 和 A P T 4 1   处 于 同 一 伞 下 ， 业 务 覆 盖 工 业 领 域 的 航 空 ， 游 戏 ， 制 药 ， 技 术 ， 电 信 和 软 件 开 发 领 域 网 络 间 谍 活 动 。 去 年 1 0 月 ， E S E T 详 细 介 绍 了 黑 客 使 用 的 两 个 新 后 门 程 序 ， 分 别 是 P o r t R e u s e 和 M i c r o s o f t   S Q L - t a r g e t i n g   s k i p - 2 . 0 。 一 个 月 后 ， 安 全 研 究 人 员 发 现 了 一 个 由 中 国 黑 客 发 起 的 新 活 动 ， 针 对 该 组 织 的 旗 舰 工 具 S h a d o w P a d 后 门 的 新 变 种 ， 针 对 两 所 香 港 大 学 。 发 现 后 门 的 几 周 前 ， 这 些 大 学 的 计 算 机 上 发 现 了 W i n n t i 恶 意 软 件 。 这 些 恶 意 软 件 样 本 中 使 用 的 战 役 标 识 符 和 命 令 与 控 制 （ C ＆ C ） U R L 以 大 学 的 名 称 为 特 征 ， 表 明 是 有 针 对 性 的 攻 击 。 此 外 ， 所 使 用 的 C ＆ C   U R L 格 式 使 研 究 人 员 认 为 ， 至 少 还 有 三 所 香 港 大 学 可 能 已 受 到 威 胁 。 E S E T 研 究 人 员 M a t h i e u   T a r t a r e 在 回 应 《 安 全 周 刊 》 的 询 问 时 透 露 ， 该 公 司 确 实 为 某 些 受 影 响 的 大 学 提 供 了 补 救 措 施 ， 以 帮 助 他 们 妥 协 。 “ 我 们 帮 助 他 们 补 救 了 折 衷 方 案 ， 并 且 通 过 遥 测 ， 看 来 威 胁 已 得 到 适 当 消 除 。 但 是 ， 我 们 联 系 过 的 一 些 大 学 没 有 回 复 任 何 信 息 。 因 此 ， 我 们 没 有 办 法 检 查 它 们 是 否 确 实 受 到 威 胁 ， 如 果 是 的 话 ， 是 否 仍 然 存 在 。 ” 塔 塔 雷 说 。 与 W i n n t i   G r o u p 先 前 分 析 过 的 恶 意 软 件 样 本 相 比 ， 新 的 S h a d o w P a d 启 动 器 E S E T   揭 示 了 许 多 简 化 ， 并 且 可 能 通 过 D L L 侧 载 执 行 。 持 久 性 是 通 过 将 内 存 中 已 修 补 的 父 进 程 写 入 磁 盘 到 特 定 路 径 来 实 现 的 。 它 使 用 类 似 于 M i c r o s o f t   . N E T 优 化 服 务 的 名 称 来 避 免 怀 疑 。 S h a d o w P a d 后 门 嵌 入 了 1 7 个 模 块 ， 包 括 初 始 s h e l l c o d e ， 模 块 加 载 器 ， 持 久 性 模 块 ， 几 个 通 信 模 块 ， 用 户 模 拟 模 块 ， 进 程 和 服 务 处 理 程 序 ， 键 盘 记 录 器 ， 屏 幕 截 图 捕 获 器 以 及 用 于 注 册 表 ， 文 件 系 统 和 命 令 行 操 作 的 模 块 。 E S E T 还 确 定 了 以 前 未 记 录 模 块 ， 名 为 R e c e n t F i l e s ， 正 如 它 的 名 字 所 暗 示 的 ， 旨 在 提 供 最 近 访 问 的 文 件 列 表 。 根 据 观 察 到 的 时 间 戳 ， 安 全 研 究 人 员 认 为 ， 这 些 模 块 是 在 1 0 月 2 4 日 ， 即 发 射 器 本 身 之 前 的 几 个 小 时 ， 以 及 活 动 启 动 之 前 的
几 个 星 期 ， 进 行 了 编 译 。 一 旦 在 受 感 染 的 系 统 上 启 动 并 运 行 ， S h a d o w P a d 就 会 启 动 一 个 隐 藏 并 挂 起 的 M i c r o s o f t   W i n d o w s   M e d i a   P l a y e r （ w m p l a y e r . e x e ） 进 程 ， 并 将 自 身 注 入 其 中 。 接 下 来 ， 该 恶 意 软 件 使 用 配 置 中 指 定 的 U R L 与 C ＆ C 服 务 器 联 系 - 十 月 底 在 目 标 大 学 的 计 算 机 上 发 现 的 S h a d o w P a d 和 W i n n t i 恶 意 软 件 样 本 都 使 用 了 类 似 的 U R L 。 E S E T 总 结 说 ： “ 这 些 样 本 除 了 在 这 些 大 学 中 发 现 之 外 ， 还 包 含 与 大 学 名 称 相 匹 配 的 活 动 I D ， 并 使 用 包 含 大 学 名 称 的 C ＆ C U R L 很 好 地 表 明 了 该 活 动 的 针 对 性 。 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理