搜索

[28379] 2020-06-29_赛门铁克安全部门确定了针对美国组织的网络攻击过程

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-06-29_赛门铁克安全部门确定了针对美国组织的网络攻击过程 赛 门 铁 克 安 全 部 门 确 定 了 针 对 美 国 组 织 的 网 络 攻 击 过 程 O t s 安 全   2 0 2 0 - 0 6 - 2 9 攻 击 者 已 攻 击 数 十 家 美 国 公 司 ， 其 中 包 括 八 家 财 富 攻 击 者 已 攻 击 数 十 家 美 国 公 司 ， 其 中 包 括 八 家 财 富 5 0 0 强 公 司 。 强 公 司 。 赛 门 铁 克 是 B r o a d c o m 的 一 个 部 门 ， 已 识 别 出 并 警 告 我 们 的 客 户 ， 其 攻 击 者 试 图 在 其 网 络 上 部 署 W a s t e d L o c k e r 勒 索 软 件 （ R a n s o m . W a s t e d L o c k e r ） 对 美 国 公 司 进 行 了 一 系 列 攻 击 。 这 些 攻 击 的 最 终 目 标 是 通 过 对 受 害 者 的 大 多 数 计 算 机 和 服 务 器 进 行 加 密 来 削 弱 受 害 者 的 I T 基 础 架 构 ， 以 要 求 获 得 数 百 万 美 元 的 赎 金 。 至 少 有 3 1 个 客 户 组 织 受 到 了 攻 击 ， 这 意 味 着 攻 击 的 总 数 可 能 更 高 。 攻 击 者 已 经 破 坏 了 目 标 组 织 的 网 络 ， 并 且 正 在 为 进 行 勒 索 软 件 攻 击 奠 定 基 础 。 W a s t e d L o c k e r 是 一 种 相 对 较 新 的 定 向 勒 索 软 件 ， 在 N C C   G r o u p 发 布 之 前 就 已 记 录 在 案 ， 而 S y m a n t e c 正 在 对 受 影 响 的 网 络 进 行 扩 展 。 W a s t e d L o c k e r 被 归 因 于 臭 名 昭 著 的 “   E v i l   C o r p ” 网 络 犯 罪 组 织 。 E v i l   C o r p 以 前 曾 与 D r i d e x 银 行 木 马 和 B i t P a y m e r 勒 索 软 件 相 关 联 ， 据 信 这 些 勒 索 软 件 已 经 为 其 创 建 者 赚 取 了 数 千 万 美 元 。 两 名 涉 嫌 参 与 该 组 织 的 俄 罗 斯 男 子 在 美 国 对 他 们 进 行 了 公 开 起 诉 。 攻 击 始 于 一 个 名 为 S o c G h o l i s h 的 基 于 J a v a S c r i p t 的 恶 意 框 架 ， 该 框 架 被 跟 踪 到 1 5 0 多 个 受 到 威 胁 的 网 站 ， 这 些 网 站 伪 装 成 软 件 更 新 。 攻 击 者 一 旦 获 得 受 害 者 网 络 的 访 问 权 限 ， 便 会 结 合 使 用 C o b a l t   S t r i k e 商 品 恶 意 软 件 和 许 多 远 程 工 具 来 窃 取 凭 据 ， 升 级 特 权 并 在 网 络 上 移 动 ， 以 在 其 上 部 署 W a s t e d L o c k e r 勒 索 软 件 。 多 台 计 算 机 。 发 现 发 现 赛 门 铁 克 的 “ 目 标 攻 击 云 分 析 ” 在 许 多 客 户 网 络 上 主 动 检 测 到 了 这 些 攻 击 ， 该 攻 击 利 用 先 进 的 机 器 学 习 来 发 现 与 目 标 攻 击 相 关 的 活 动 模 式 。 赛 门 铁 克 的 T h r e a t   H u n t e r 团 队 （ 赛 门 铁 克 E n d p o i n t   S e c u r i t y 完 整 产 品 的 一 部 分 ） 对 该 活 动 进 行 了 审 核 ， 他 们 对 该 活 动 进 行 了 验 证 ， 并 很 快 意 识 到 该 活 动 与 在 W a s t e d L o c k e r 攻 击 早 期 阶 段 看 到 的 公 开 记 录 的 活 动 密 切 相 关 。 这 一 发 现 使 我 们 能 够 确 定 W a s t e d L o c k e r 所 针 对 的 其 他 组 织 ， 并 确 定 攻 击 者 使 用 的 其 他 工 具 ， 策 略 和 过 程 ， 从 而 帮 助 我 们 加 强 针 对 攻 击 的 每 个 阶 段 的 保 护 。
图 1 .   S y m a n t e c   E n d p o i n t   D e t e c t i o n   a n d   R e s p o n s e （ E D R ） 客 户 收 到 的 定 向 攻 击 云 分 析 警 报 示 例 ， 警 告 他 们 网 络 上 的 早 期 W a s t e d L o c k e r 活 动 迄 今 为 止 ， 赛 门 铁 克 已 经 发 现 了 针 对 3 1 个 组 织 的 攻 击 ， 所 有 组 织 都 位 于 美 国 。 绝 大 多 数 目 标 是 大 型 公 司 ， 包 括 许 多 家 喻 户 晓 的 公 司 。 除 了 一 些 大 型 私 人 公 司 ， 还 有 1 1 家 上 市 公 司 ， 其 中 有 八 家 是 《 财 富 》   5 0 0 强 公 司 。 除 一 个 目 标 组 织 外 ， 所 有 目 标 组 织 均 为 美 国 所 有 ， 但 一 家 跨 国 跨 国 公 司 在 美 国 的 子 公 司 除 外 。 图 2 . 按 行 业 划 分 的 W a s t e d L o c k e r 目 标 各 个 部 门 的 组 织 遭 到 攻 击 。 制 造 业 是 受 影 响 最 严 重 的 部 门 ， 占 五 个 目 标 组 织 。 其 次 是 信 息 技 术 （ 四 个 ） 和 媒 体 与 电 信 （ 三 个 ） 。 如 果 攻 击 者 没 有 受 到 干 扰 ， 成 功 的 攻 击 可 能 会 导 致 数 百 万 美 元 的 损 失 ， 停 机 并 可 能 对 供 应 链 产 生 多 米 诺 骨 牌 效 应 。 W a s t e d L o c k e r 攻 击 如 何 展 开 攻 击 如 何 展 开
组 织 的 最 初 危 害 是 涉 及 S o c G h o l i s h 框 架 ， 该 框 架 通 过 受 损 的 合 法 网 站 以 压 缩 文 件 的 形 式 提 供 给 受 害 者 。 赛 门 铁 克 已 发 现 至 少 1 5 0 个 不 同 的 合 法 网 站 ， 这 些 网 站 将 流 量 引 向 托 管 S o c G h o l i s h   z i p 文 件 的 网 站 。 这 些 网 站 可 能 导 致 不 同 的 恶 意 软 件 ， 因 为 这 样 的 重 定 向 服 务 可 以 同 时 被 多 个 参 与 者 使 用 。 该 压 缩 文 件 包 含 恶 意 J a v a S c r i p t ， 并 会 伪 装 成 浏 览 器 更 新 。 然 后 ， 第 二 个 J a v a S c r i p t 文 件 由 w s c r i p t . e x e 执 行 。 该 J a v a S c r i p t 首 先 使 用 w h o a m i ， n e t   u s e r 和 n e t   g r o u p 等 命 令 对 计 算 机 进 行 配 置 ， 然 后 使 用 P o w e r S h e l l 下 载 与 发 现 相 关 的 其 他 P o w e r S h e l l 脚 本 。 攻 击 的 下 一 个 阶 段 是 部 署 “ C o b a l t   s t r i k e ” 。 P o w e r S h e l l 用 于 从 公 开 报 告 的 域 中 下 载 并 执 行 加 载 程 序 ， 该 域 被 报 告 为 是 作 为 W a s t e d L o c k e r 攻 击 的 一 部 分 而 提 供 了 C o b a l t   S t r i k e 的 。 装 载 程 序 还 与 此 报 告 的 C o b a l t   S t r i k e 基 础 结 构 共 享 了 一 个 命 令 和 控 制 （ C ＆ C ） 域 。 该 加 载 器 包 含 一 个 . N E T 注 入 器 ， 据 报 道 ， 该 注 入 器 也 出 现 在 W a s t e d L o c k e r 攻 击 中 。 据 报 道 ， 该 注 射 器 以 及 钴 击 信 标 的 装 载 机 均 来 自 名 为 D o n u t 的 开 源 项 目 ， 该 项 目 旨 在 帮 助 注 入 和 执 行 内 存 中 的 有 效 载 荷 。 注 入 的 有 效 负 载 称 为 “ C o b a l t   S t r i k e ” ， 可 用 于 执 行 命 令 ， 注 入 其 他 进 程 ， 提 升 当 前 进 程 或 模 拟 其 他 进 程 以 及 上 传 和 下 载 文 件 。 攻 击 者 将 P o w e r V i e w 中   的 G e t - N e t C o m p u t e r 命 令     重 命 名 为 随 机 名 称 。 然 后 看 到 该 命 令 在 A c t i v e   D i r e c t o r y 数 据 库 中 搜 索 所 有 服 务 器 对 象 ， 并 带 有 *   s e r v e r   * 或 *   2 0 0 3   * 或 *   7   * 过 滤 条 件 （ 返 回 所 有 W i n d o w s   S e r v e r ， W i n d o w s   S e r v e r   2 0 0 3 或 W i n d o w s   7 实 例 ） 。 然 后 ， 攻 击 者 将 此 信 息 记 录 在 . t m p 文 件 中 。 使 用 包 含 软 件 许 可 用 户 界 面 工 具 （ s l u i . e x e ） 的 公 开 记 录 的 技 术 来 执 行 特 权 升 级 ， 该 工 具 是 W i n d o w s 命 令 行 实 用 程 序 ， 负 责 激 活 和 更 新 W i n d o w s 操 作 系 统 。 攻 击 者 使 用 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n 命 令 行 实 用 程 序 （ w m i c . e x e ） 在 远 程 计 算 机 上 执 行 命 令 ， 例 如 添 加 新 用 户 或 执 行 其 他 已 下 载 的 P o w e r S h e l l 脚 本 。 C o b a l t   S t r i k e 还 用 于 使 用 P r o c D u m p 执 行 凭 证 转 储 并 清 空 日 志 文 件 。 为 了 部 署 勒 索 软 件 ， 攻 击 者 使 用 W i n d o w s   S y s i n t e r n a l s 工 具 P s E x e c 启 动 合 法 的 命 令 行 工 具 来 管 理 W i n d o w s D e f e n d e r （ m p c m d r u n . e x e ） ， 以 禁 用 对 所 有 下 载 的 文 件 和 附 件 的 扫 描 ， 删 除 所 有 已 安 装 的 定 义 ， 以 及 在 某 些 情 况 下 在 这 种 情 况 下 ， 请 禁 用 实 时 监 视 。 攻 击 者 有 可 能 使 用 多 种 技 术 来 执 行 此 任 务 ， 因 为 N C C 报 告 怀 疑 为 此 目 的 使 用 了 一 种 称 为 S e c T o o l   c h e c k e r 的 工 具 。 然 后 ， 使 用 P s E x e c 启 动 P o w e r S h e l l ， 该 P o w e r S h e l l 使 用 w i n 3 2 _ s e r v i c e   W M I 类 检 索 服 务 ， 并 使 用 n e t   s t o p 命 令 停 止 这 些 服 务 。 禁 用 W i n d o w s   D e f e n d e r 并 在 组 织 中 停 止 服 务 后 ， 将 使 用 P s E x e c 来 启 动 W a s t e d L o c k e r 勒 索 软 件 本 身 ， 然 后 再 开 始 加 密 数 据 并 删 除 卷 影 。

图 图 3 .   W a s t e d L o c k e r 攻 击 链 攻 击 链 对 企 业 直 接 造 成 威 胁 对 企 业 直 接 造 成 威 胁 构 成 这 种 威 胁 的 攻 击 者 似 乎 技 能 娴 熟 ， 经 验 丰 富 ， 能 够 穿 透 一 些 受 保 护 程 度 最 高 的 公 司 ， 窃 取 凭 据 并 轻 松 地 跨 网 络 移 动 。 因 此 ， W a s t e d L o c k e r 是 一 件 非 常 危 险 的 勒 索 软 件 。 成 功 的 攻 击 可 能 会 使 受 害 者 的 网 络 瘫 痪 ， 从 而 严 重 破 坏 其 操 作 并 进 行 昂 贵 的 清 理 操 作 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理