搜索

[28139] 2020-02-07_APT40黑客组织：威胁研究

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-02-07_APT40黑客组织：威胁研究 A P T 4 0 黑 客 组 织 ： 威 胁 研 究 O t s 安 全   2 0 2 0 - 0 2 - 0 7 F i r e E y e 着 重 强 调 了 一 项 网 络 间 谍 活 动 ， 该 行 动 针 对 关 键 技 术 和 传 统 情 报 目 标 ， 该 行 动 来 自 中 国 政 府 资 助 的 演 员 A P T 4 0 。 这 个 组 织 至 少 从 2 0 1 3 年 开 始 开 展 行 动 ， 以 支 持 中 国 的 海 军 现 代 化 工 作 。 该 小 组 专 门 针 对 工 程 ， 运 输 和 国 防 工 业 ， 特 别 是 在 这 些 领 域 与 海 事 技 术 重 叠 的 地 方 。 最 近 ， 我 们 还 观 察 到 了 对 “ 一 带 一 路 ” 倡 议 具 有 战 略 重 要 性 的 国 家 的 具 体 目 标 ， 包 括 柬 埔 寨 ， 比 利 时 ， 德 国 ， 香 港 ， 菲 律 宾 ， 马 来 西 亚 ， 挪 威 ， 沙 特 阿 拉 伯 ， 瑞 士 ， 美 国 和 英 国 。 这 个 与 中 国 有 联 系 的 网 络 间 谍 组 织 先 前 被 称 为 T E M P . P e r i s c o p e 和 T E M P . J u m p e r 。 任 务 任 务 2 0 1 6 年 1 2 月 ， 中 国 人 民 解 放 军 海 军 （ P L A N ） 扣 押 了 在 南 中 国 海 作 业 的 美 国 海 军 无 人 水 下 航 行 器 （ U U V ） 。 这 起 事 件 与 中 国 在 网 络 空 间 的 行 动 平 行 。 在 一 年 之 内 ， 观 察 到 A P T 4 0 伪 装 成 U U V 制 造 商 ， 并 瞄 准 从 事 海 军 研 究 的 大 学 。 那 次 事 件 是 为 获 得 先 进 技 术 以 支 持 中 国 海 军 能 力 发 展 而 进 行 的 众 多 活 动 之 一 。 我 们 认 为 ， A P T 4 0 对 海 洋 问 题 和 海 军 技 术 的 重 视 最 终 支 持 了 中 国 建 立 蓝 海 海 军 的 雄 心 。 除 了 关 注 海 事 之 外 ， A P T 4 0 还 针 对 传 统 情 报 目 标 ， 在 更 广 泛 的 区 域 范 围 内 进 行 打 击 ， 特 别 是 在 东 南 亚 开 展 业 务 或 参 与 南 海 争 端 的 组 织 。 最 近 ， 这 包 括 与 东 南 亚 选 举 有 关 的 受 害 者 ， 这 很 可 能 是 由 影 响 中 国 “ 一 带 一 路 ” 倡 议 的 事 件 驱 动 的 。 中 国 的 “ 一 带 一 路 ” （ “ 一 带 一 路 ” ） 或 “ 一 带 一 路 ” 倡 议 （ B R I ） 耗 资 1 万 亿 美 元 ， 旨 在 在 亚 洲 ， 欧 洲 ， 中 东 和 非 洲 建 立 陆 上 和 海 上 贸 易 路 线 ， 以 发 展 贸 易 可 以 预 测 中 国 在 整 个 大 区 域 的 影 响 力 的 网 络 。 图 1 ： 目 标 国 家 和 行 业 。 国 家 包 括 美 国 ， 英 国 ， 挪 威 ， 德 国 ， 沙 特 阿 拉 伯 ， 柬 埔 寨 和 印 度 尼 西 亚 原 因 原 因 我 们 以 中 等 信 心 评 估 A P T 4 0 是 国 家 资 助 的 中 国 网 络 间 谍 活 动 。 演 员 的 目 标 与 中 国 国 家 利 益 一 致 ， 并 且 有 多 种 技 术 文 物 表 明 该 演 员 位 于 中 国 。 通 过 对 小 组 活 动 的 运 营 时 间 进 行 分 析 ， 可 以 发 现 该 时 间 可 能 集 中 在 中 国 标 准 时 间 （ U T C   + 8 ） 周 围 。 此 外 ， 多 个 A P T 4 0 命 令 和 控 制 （ C 2 ） 域 最 初 是 由 中 国 的 域 经 销 商 注 册 的 ， 并 具 有 包 含 中 国 位 置 信 息 的 W h o i s 记 录 ， 这 表 明 了 基
于 中 国 的 基 础 设 施 采 购 流 程 。 A P T 4 0 还 使 用 了 位 于 中 国 的 多 个 I n t e r n e t 协 议 （ I P ） 地 址 来 进 行 操 作 。 在 一 个 实 例 中 ， 从 打 开 的 索 引 服 务 器 恢 复 的 日 志 文 件 显 示 ， 位 于 中 国 海 南 的 I P 地 址 （ 1 1 2 . 6 6 . 1 8 8 . 2 8 ） 已 用 于 管 理 与 受 害 机 器 上 的 恶 意 软 件 进 行 通 信 的 命 令 和 控 制 节 点 。 对 此 C 2 的 所 有 登 录 均 来 自 配 置 了 中 文 设 置 的 计 算 机 。 攻 击 生 命 周 期 攻 击 生 命 周 期 最 初 的 妥 协 人 们 已 经 观 察 到 A P T 4 0 利 用 各 种 技 术 来 进 行 最 初 的 破 坏 ， 包 括 W e b 服 务 器 利 用 ， 提 供 公 共 可 用 和 自 定 义 后 门 的 网 络 钓 鱼 活 动 以 及 战 略 性 W e b 破 坏 。 A P T 4 0 在 很 大 程 度 上 依 赖 于 W e b   S h e l l ， 这 是 进 入 组 织 的 最 初 立 足 点 。 根 据 放 置 位 置 ， 网 络 外 壳 可 以 提 供 对 受 害 者 环 境 的 持 续 访 问 ， 重 新 感 染 受 害 者 系 统 并 促 进 横 向 移 动 。 该 行 动 的 鱼 叉 式 钓 鱼 电 子 邮 件 通 常 利 用 恶 意 附 件 ， 尽 管 也 发 现 了 G o o g l e 云 端 硬 盘 链 接 。 A P T 4 0 在 其 网 络 钓 鱼 操 作 中 利 用 了 漏 洞 利 用 程 序 ， 通 常 会 在 漏 洞 披 露 后 的 几 天 内 为 漏 洞 提 供 武 器 。 观 察 到 的 漏 洞 包 括 ： C V E - 2 0 1 2 - 0 1 5 8 C V E - 2 0 1 7 - 0 1 9 9 C V E - 2 0 1 7 - 8 7 5 9 C V E - 2 0 1 7 - 1 1 8 8 2 图 2 ： A P T 4 0 攻 击 生 命 周 期 建 立 立 足 点 建 立 立 足 点 A P T 4 0 使 用 各 种 恶 意 软 件 和 工 具 来 建 立 立 足 点 ， 其 中 许 多 可 以 公 开 获 得 ， 也 可 以 被 其 他 威 胁 组 使 用 。 在 某 些 情 况 下 ， 该 组 使 用 带 有 代 码 签 名 证 书 的 可 执 行 文 件 来 避 免 检 测 。 在 下 载 其 他 有 效 负 载 之 前 ， 请 先 使 用 A I R B R E A K ， F R E S H A I R 和 B E A C O N 等 第 一 阶 段 后 门 。 P H O T O ， B A D F L I C K 和 C H I N A   C H O P P E R 是 A P T 4 0 使 用 最 频 繁 的 后 门 。 A P T 4 0 通 常 会 以 V P N 和 远 程 桌 面 凭 据 为 目 标 ， 以 在 目 标 环 境 中 建 立 立 足 点 。 这 种 方 法 论 被 证 明 是 理 想 的 ， 因 为 一 旦 获 得 了 这 些 凭 据 ， 它 们 可 能 就 不 需 要 太 依 赖 恶 意 软 件 来 继 续 执 行 任 务 。
升 级 特 权 升 级 特 权 A P T 4 0 结 合 使 用 了 自 定 义 的 和 公 开 可 用 的 凭 据 收 集 工 具 ， 以 提 升 特 权 并 转 储 密 码 哈 希 。 A P T 4 0 利 用 自 定 义 凭 据 盗 窃 实 用 程 序 ， 例 如 H O M E F R Y ， 它 与 A I R B R E A K 和 B A D F L I C K 后 门 一 起 使 用 ， 是 一 个 密 码 转 储 / 破 解 程 序 。 此 外 ， W i n d o w s   S y s i n t e r n a l s   P r o c D u m p 实 用 程 序 和 W i n d o w s 凭 据 编 辑 器 （ W C E ） 也 被 认 为 在 入 侵 过 程 中 也 被 使 用 。 内 部 侦 察 内 部 侦 察 A P T 4 0 使 用 受 损 的 凭 据 登 录 到 其 他 连 接 的 系 统 并 进 行 侦 察 。 该 小 组 还 利 用 R D P ， S S H ， 受 害 环 境 中 的 合 法 软 件 ， 一 系 列 本 机 W i n d o w s 功 能 ， 公 开 可 用 的 工 具 以 及 自 定 义 脚 本 来 促 进 内 部 侦 察 。 A P T 4 0 在 受 害 的 受 害 者 组 织 中 使 用 M U R K Y S H E L L 来 端 口 扫 描 I P 地 址 并 进 行 网 络 枚 举 。 A P T 4 0 经 常 使 用 本 地 W i n d o w s 命 令 （ 例 如 n e t . e x e ） 对 受 害 者 的 环 境 进 行 内 部 侦 察 。 几 乎 在 攻 击 生 命 周 期 的 所 有 阶 段 都 严 重 依 赖 W e b   S h e l l 。 内 部 W e b 服 务 器 通 常 没 有 配 置 与 面 向 公 众 的 服 务 器 相 同 的 安 全 控 制 ， 这 使 它 们 更 容 易 受 到 A P T 4 0 和 类 似 复 杂 组 织 的 利 用 。 横 向 运 动 横 向 运 动 A P T 4 0 使 用 多 种 方 法 在 整 个 环 境 中 进 行 横 向 移 动 ， 包 括 自 定 义 脚 本 ， W e b   S h e l l ， 各 种 隧 道 器 以 及 远 程 桌 面 协 议 （ R D P ） 。 对 于 每 个 受 到 破 坏 的 新 系 统 ， 该 小 组 通 常 执 行 恶 意 软 件 ， 执 行 其 他 侦 察 并 窃 取 数 据 。 A P T 4 0 还 使 用 本 地 W i n d o w s 实 用 程 序 （ 例 如 a t . e x e （ 任 务 计 划 程 序 ） 和 n e t . e x e （ 网 络 资 源 管 理 工 具 ） ） 进 行 横 向 移 动 。 公 开 使 用 的 隧 道 工 具 与 该 操 作 特 有 的 独 特 恶 意 软 件 一 起 被 利 用 。 尽 管 M U R K Y T O P 主 要 是 命 令 行 侦 察 工 具 ， 但 它 也 可 以 用 于 横 向 移 动 。 A P T 4 0 还 使 用 公 开 可 用 的 暴 力 破 解 工 具 和 名 为 D I S H C L O T H 的 自 定 义 实 用 程 序 来 攻 击 不 同 的 协 议 和 服 务 。 保 持 存 在 保 持 存 在 A P T 4 0 主 要 使 用 后 门 （ 包 括 W e b 外 壳 ） 在 受 害 环 境 中 保 持 存 在 。 这 些 工 具 可 实 现 对 目 标 网 络 中 关 键 系 统 的 持 续 控 制 。 A P T 4 0 强 烈 赞 成 使 用 W e b   S h e l l 来 保 持 状 态 ， 尤 其 是 公 开 可 用 的 工 具 。 在 “ 建 立 立 足 点 ” 阶 段 中 使 用 的 工 具 也 将 继 续 在 “ 维 护 存 在 ” 阶 段 中 使 用 ； 这 包 括 A I R B R E A K 和 P H O T O 。 一 些 A P T 4 0 恶 意 软 件 工 具 可 以 利 用 G i t H u b ， G o o g l e 和 P a s t e b i n 等 合 法 网 站 进 行 初 始 C 2 通 信 ， 从 而 逃 避 典 型 的 网 络 检 测 。 通 用 T C P 端 口 8 0 和 4 4 3 用 于 与 常 规 网 络 流 量 混 合 。 完 成 任 务 完 成 任 务 完 成 任 务 通 常 涉 及 收 集 信 息 并 将 其 传 输 到 目 标 网 络 之 外 ， 这 可 能 涉 及 在 到 达 目 的 地 之 前 通 过 多 个 系 统 移 动 文 件 。 观 察 到 A P T 4 0 合 并 了 从 受 害 者 网 络 获 取 的 文 件 ， 并 使 用 档 案 工 具 r a r . e x e 对 文 件 进 行 了 压 缩 和 加 密 ， 然 后 再 进 行 渗 透 。 我 们 还 观 察 到 A P T 4 0 开 发 工 具 （ 例 如 P A P E R P U S H ） 有 助 于 提 高 其 数 据 定 向 和 盗 窃 的 效 率 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理