搜索

[28608] 2020-09-25_美联储遭遇成功的网络攻击，数据被盗

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-09-25_美联储遭遇成功的网络攻击，数据被盗 美 联 储 遭 遇 成 功 的 网 络 攻 击 ， 数 据 被 盗 O t s 安 全   2 0 2 0 - 0 9 - 2 5 该 攻 击 具 有 一 种 独 特 的 多 阶 段 恶 意 软 件 ， 并 且 可 能 具 有 P u l s e S e c u r e   V P N 攻 击 。 一 家 联 邦 机 构 遭 受 了 与 间 谍 活 动 有 关 的 成 功 网 络 攻 击 ， 从 而 导 致 其 网 络 中 存 在 后 门 和 多 阶 段 恶 意 软 件 。 美 国 网 络 安 全 和 基 础 设 施 安 全 局 （ C I S A ） 在 周 四 发 布 了 警 报 ， 未 命 名 该 机 构 ， 但 提 供 了 攻 击 的 技 术 细 节 。 它 说 ， 黑 客 通 过 使 用 员 工 的 合 法 M i c r o s o f t   O f f i c e   3 6 5 登 录 凭 据 远 程 登 录 到 代 理 计 算 机 上 ， 从 而 获 得 了 初 始 访 问 权 限 。 C I S A 表 示 ： “ 网 络 威 胁 参 与 者 对 多 个 用 户 的 M i c r o s o f t   O f f i c e   3 6 5 （ O 3 6 5 ） 帐 户 和 域 管 理 员 帐 户 具 有 有 效 的 访 问 凭 据 。 ”   “ 首 先 ， 威 胁 参 与 者 从 I n t e r n e t 协 议 （ I P ） 地 址 9 1 . 2 1 9 . 2 3 6   [ 。 ]   1 6 6 登 录 到 用 户 的 O 3 6 5 帐 户 ， 然 后 浏 览 S h a r e P o i n t 网 站 上 的 页 面 并 下 载 文 件 。 网 络 威 胁 参 与 者 通 过 传 输 控 制 协 议 （ T C P ） 从 I P 地 址 1 8 5 . 8 6 . 1 5 1   [ 。 ]   2 2 3 多 次 连 接 到 受 害 组 织 的 虚 拟 专 用 网 络 （ V P N ） 服 务 器 。 ” 至 于 攻 击 者 如 何 首 先 获 得 证 书 ， C I S A 的 调 查 没 有 给 出 明 确 的 答 案 - 但 是 ， 它 推 测 这 可 能 是 由 于 漏 洞 利 用 而 造 成 的 ， 据 称 该 漏 洞 利 用 已 遍 及 整 个 政 府 网 络 。 。 根 据 警 报 ， “ 网 络 参 与 者 有 可 能 通 过 利 用 P u l s e   S e c u r e 中 的 一 个 已 知 漏 洞 C V E - 2 0 1 9 - 1 1 5 1 0 从 未 打 补 丁 的 代 理 V P N 服 务 器 获 取 凭 据 。 ”   “   C V E - 2 0 1 9 - 1 1 5 1 0 … 允 许 远 程 ， 未 经 身 份 验 证 的 文 件 检 索 ， 包 括 密 码 。 C I S A 观 察 到 整 个 联 邦 政 府 对 C V E - 2 0 1 9 - 1 1 5 1 0 的 广 泛 利 用 。 ” 该 补 丁 程 序 于 2 0 1 9 年 4 月 发 布 ， 但 美 国 国 土 安 全 部 （ D H S ） 于 今 年 4 月 指 出 ， 在 部 署 补 丁 程 序 之 前 ， 不 良 行 为 者 能 够 通 过 该 漏 洞 破 坏 A c t i v e   D i r e c t o r y 帐 户 - 因 此 ， 即 使 是 那 些 修 补 该 错 误 可 能 仍 会 受 到 威 胁 ， 并 且 容 易 受 到 攻 击 。 最 初 访 问 后 ， 该 小 组 着 手 在 网 络 上 进 行 侦 察 。 首 先 ， 他 们 登 录 了 代 理 机 构 O 3 6 5 电 子 邮 件 帐 户 ， 以 查 看 和 下 载 主 题 行 中 带 有 “   I n t r a n e t 访 问 ” 和 “   V P N 密 码 ” 的 帮 助 台 电 子 邮 件 附 件 - 它 发 现 了 A c t i v e   D i r e c t o r y 和 组 策 略 项 ， 从 而 更 改 了 组 的 注 册 表 项 政 策 。
C I S A 表 示 ： “ 此 后 ， 威 胁 行 动 者 立 即 使 用 常 见 的 M i c r o s o f t   W i n d o w s 命 令 行 进 程 （ 主 机 ， i p c o n f i g ， n e t ， 查 询 ， n e t s t a t ， p i n g 和 w h o a m i ， p l i n k . e x e ） 来 枚 举 受 感 染 的 系 统 和 网 络 。 ” 下 一 步 是 使 用 W i n d o w s   S e r v e r 消 息 块 （ S M B ） 客 户 端 ， 使 用 该 组 先 前 创 建 的 别 名 安 全 标 识 符 帐 户 登 录 到 虚 拟 专 用 服 务 器 （ V P S ） ； 然 后 ， 他 们 执 行 了 远 程 管 理 实 用 程 序 p l i n k . e x e 。 之 后 ， 他 们 连 接 到 命 令 和 控 制 （ C 2 ） ， 并 安 装 了 名 为 “   i n e t i n f o . e x e ” 的 自 定 义 恶 意 软 件 。 C I S A 指 出 ， 攻 击 者 还 建 立 了 本 地 安 装 的 远 程 共 享 ， “ 这 使 角 色 在 操 作 过 程 中 可 以 自 由 移 动 ， 同 时 留 下 更 少 的 文 物 用 于 法 医 学 分 析 ” 。 网 络 罪 犯 以 管 理 员 身 份 登 录 后 ， 创 建 了 一 个 计 划 任 务 来 运 行 该 恶 意 软 件 ， 结 果 发 现 这 是 添 加 其 他 有 效 负 载 的 工 具 。 C I S A 解 释 说 ： “   i n e t i n f o . e x e 是 一 种 独 特 的 ， 多 阶 段 的 恶 意 软 件 ， 用 于 删 除 文 件 。 ”   “ 它 删 除 了 s y s t e m . d l l 和 3 6 3 6 9 1 8 5 8 文 件 以 及 i n e t i n f o . e x e 的 第 二 个 实 例 。 i n e t i n f o . e x e 的 第 二 个 实 例 中 的 s y s t e m . d l l 从 i n e t i n f o . e x e 的 第 一 个 实 例 中 解 密 为 二 进 制 的 6 9 1 6 9 1 8 5 8 。 解 密 后 的 3 6 3 6 9 1 8 5 8 二 进 制 文 件 被 注 入 i n e t i n f o . e x e 的 第 二 个 实 例 中 ， 以 创 建 并 连 接 到 本 地 命 名 的 隧 道 。 然 后 ， 注 入 的 二 进 制 文 件 在 连 接 到 I P 地 址 1 8 5 . 1 4 2 . 2 3 6   [ 。 ]   1 9 8 的 内 存 中 执 行 s h e l l c o d e ， 从 而 导 致 有 效 载 荷 的 下 载 和 执 行 。 ” 它 补 充 说 ： “ 网 络 威 胁 参 与 者 能 够 克 服 该 机 构 的 反 恶 意 软 件 保 护 ， 而 i n e t i n f o . e x e 逃 脱 了 隔 离 。 ” C I S A 没 有 指 定 辅 助 负 载 是 什 么 - T h r e a t p o s t 已 联 系 以 获 得 更 多 信 息 。 威 胁 组 同 时 还 以 持 久 性 安 全 套 接 字 外 壳 （ S S H ） 隧 道 / 反 向 S O C K S 代 理 的 形 式 建 立 了 后 门 。 C I S A 表 示 ： “ 代 理 服 务 器 允 许 攻 击 者 控 制 的 远 程 服 务 器 与 受 害 组 织 的 文 件 服 务 器 之 一 之 间 建 立 连 接 。 ”   “ 反 向 S O C K S 代 理 通 过 端 口 8 1 0 0 进 行 通 信 。 此 端 口 通 常 是 关 闭 的 ， 但 攻 击 者 的 恶 意 软 件 已 将 其 打 开 。 ” 然 后 创 建 一 个 本 地 帐 户 ， 该 帐 户 用 于 数 据 收 集 和 渗 出 。 网 络 罪 犯 从 该 帐 户 浏 览 受 害 文 件 服 务 器 上 的 目 录 ； 从 用 户 的 主 目 录 复 制 文 件 ； 将 攻 击 者 控 制 的 V P S 与 代 理 的 文 件 服 务 器 连 接 （ 通 过 反 向 S M B   S O C K S 代 理 ） ； 并 使 用 M i c r o s o f t   W i n d o w s   T e r m i n a l S e r v i c e s 客 户 端 提 取 了 所 有 数 据 。 攻 击 已 得 到 纠 正 - 尚 不 清 楚 何 时 发 生 。 C I S A 表 示 ， 其 入 侵 检 测 系 统 最 终 能 够 标 记 该 活 动 。 警 报 说 ： “   C I S A 通 过 监 视 联 邦 民 用 网 络 的 C I S A 入 侵 检 测 系 统 E I N S T E I N 意 识 到 了 联 邦 机 构 网 络 的 潜 在 危 害 。 ”   “ 与 受 影 响 的 机 构 协 调 ， C I S A 进 行 了 事 件 响 应 约 定 ， 确 认 了 恶 意 活 动 。 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理