搜索

[28130] 2020-02-04_研究人员发现WinntiHackers使用的新后门疑似中国黑客组织

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-02-04_研究人员发现WinntiHackers使用的新后门疑似中国黑客组织 研 究 人 员 发 现 W i n n t i   H a c k e r s 使 用 的 新 后 门 疑 似 中 国 黑 客 组 织 O t s 安 全   2 0 2 0 - 0 2 - 0 4 E S E T 安 全 研 究 人 员 能 够 识 别 与 威 胁 行 为 者 W i n n t i   G r o u p 相 关 的 新 后 门 。 大 约 至 少 2 0 0 9 年 以 来 和 同 一 个 保 护 伞 下 经 营 的 s   A x i o m ,   B a r i u m ,   G r o u p   7 2 ,   B l a c k f l y ,   和   A P T 4 1 , ， 该 黑 客 组 织 被 认 为 是 中 国 的 被 操 作 出 来 。 黑 客 主 要 针 对 工 业 网 络 间 谍 活 动 ， 针 对 航 空 ， 游 戏 ， 制 药 ， 技 术 ， 电 信 和 软 件 开 发 。 被 称 为 P o r t R e u s e 的 是 与 该 组 织 相 关 联 的 新 后 门 ， 是 在 调 查 定 制 的 打 包 机 时 发 现 的 ， 该 打 包 机 用 于 嵌 入 在 受 损 的 视 频 游 戏 和 游 戏 应 用 程 序 中 的 有 效 载 荷 上 。 该 恶 意 软 件 具 有 模 块 化 架 构 ， 旨 在 注 入 已 经 在 T C P 端 口 上 侦 听 的 正 在 运 行 的 进 程 中 。 设 计 为 重 用 已 经 打 开 的 端 口 ， 后 门 挂 钩 了 接 收 功 能 ， 并 等 待 特 定 的 数 据 包 开 始 恶 意 行 为 。 恶 意 软 件 也 称 为 被 动 网 络 植 入 ， 将 合 法 流 量 转 发 到 实 际 应 用 程 序 。 后 门 的 组 件 是 通 过 命 名 管 道 进 行 通 信 的 独 立 进 程 ， 这 使 它 可 以 重 用 现 有 的 二 进 制 组 件 ， 而 仅 替 换 需 要 自 定 义 的 组 件 。 P o r t R e u s e 没 有 命 令 和 控 制 （ C ＆ C ） 服 务 器 ， 只 有 N e t A g e n t 在 打 开 的 套 接 字 上 侦 听 ， 这 意 味 着 攻 击 者 需 要 直 接 连 接 到 主 机 。 E S E T 在 一 份 新 报 告 （ P D F ） 中 解 释 说 ， 启 动 文 件 被 写 入 磁 盘 ， 而 其 余 的 后 门 组 件 仅 存 在 于 内 存 中 。 识 别 的 模 块 包 括 I n n e r L o a d e r （ 针 对 要 注 入 的 特 定 进 程 ） ， N e t A g e n t （ 处 理 T C P 挂 钩 ） ， S K 3 模 块 （ 对 N e t A g e n t 通 过 指 定 管 道 转 发 的 网 络 流 量 进 行 解 密 和 处 理 ） 以 及 U s e r F u n c t i o n 和 P r o c T r a n （ 在 其 他 进 程 中 执 行 命 令 ） 。 在 某 些 情 况 下 ， N e t A g e n t 和 S K 3 被 合 并 了 。 后 门 针 对 的 流 行 端 口 包 括 5 3 （ T C P 上 的 D N S ） ， 8 0 、 4 4 3 、 3 3 8 9 （ 远 程 桌 面 协 议 ） 和 5 9 8 5 （ W i n d o w s 远 程 管 理 ） 。 一 种 变 体 解 析 T C P 标 头 并 仅 在 源 端 口 小 于 2 2 时 触 发 。 迄 今 为 止 ， E S E T 仅 发 现 一 个 受 此 后 门 感 染 的 组 织 ， 即 亚 洲 主 要 的 移 动 硬 件 和 软 件 制 造 商 。 安 全 研 究 人 员 认 为 ， 温 蒂 集 团 可 能 已 经 在 计 划 “ 通 过 破 坏 该 组 织 来 进 行 毁 灭 性 的 供 应 链 攻 击 。 ” 在 某 些 W i n n t i 攻 击 中 ， 受 害 者 还 受 到 V M P r o t e c t e d   D L L 的 攻 击 ， 并 且 在 这 些 丢 弃 程 序 中 也 发 现 了 P o r t R e u s e 后 门 。 与 S h a d o w S h a m m e r 操 作 中 使 用 的 V M P r o t e c t e d   删 除 器 的 相 似 之 处 使 E S E T 可 以 链 接 这 两 种 攻 击 。 以 前 ， S h a d o w H a m m e r 已 与 S h a d o w P a d 链 接 ， E S E T 表 示 已 找 到 一 些 其 他 证 据 将 W i n n t i 连 接 到 S h a d o w P a d 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理