搜索

[6814] 2020-07-10_朝鲜黑客组织Kimsuky——“智囊团”

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2020-07-10_朝鲜黑客组织Kimsuky——“智囊团” 朝 鲜 黑 客 组 织 K i m s u k y — — “ 智 囊 团 ” E 安 全   2 0 2 0 - 0 7 - 1 0 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 威 胁 分 析 概 述 概 述 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
朝 鲜 半 岛 局 势 一 直 备 受 关 注 ， 无 论 剑 拔 弩 张 还 是 拨 云 见 日 ， 总 被 人 们 津 津 乐 道 ， 而 两 国 之 间 的 网 络 战 也 随 着 政 治 局 势 潜 滋 暗 长 。 韩 国 有 D a r k H o t e l 组 织 ， 新 框 架 R a m s a y 就 是 其 手 笔 ； 朝 鲜 有 K i m s u k y 组 织 ， 攻 防 兼 备 ， 两 者 间 的 博 弈 随 地 缘 政 治 起 起 伏 伏 。 ▷   2 0 1 4 年 韩 国 核 电 站 文 件 泄 露 事 件 中 ， 韩 国 首 尔 中 央 地 区 检 察 官 办 事 处 指 出 恶 意 代 码 构 成 和 工 作 方 式 与 朝 鲜 黑 客 “ K i m s u k y ” 软 件 完 全 相 同 。 ▷   2 0 1 8 年 朝 鲜 半 岛 局 势 缓 和 ， 朝 韩 两 国 开 启 了 “ 破 冰 之 旅 ” ， 网 络 攻 击 暂 得 缓 解 。 ▷   2 0 1 9 年 ， 韩 国 D a r k H o t e l 组 织 对 朝 鲜 的 攻 击 中 疑 似 使 用 不 低 于 5 个 0 D a y ， 目 标 行 业 涉 及 国 防 军 事 、 电 子 工 业 等 。 ▷   2 0 2 0 年 ， K i m s u k y 组 织 携 “ 疫 ” 强 势 回 归 ， 针 对 南 韩 进 行 双 平 台 攻 击 。 本 文 针 对 朝 鲜 朝 鲜 K i m s u k y 组 织 攻 击 活 动 组 织 攻 击 活 动 进 行 复 盘 ， 分 析 K i m s u k y 部 分 技 术 手 段 演 变 。 安 恒 威 胁 情 报 中 心 监 测 到 K i m s u k y A P T 攻 击 趋 势 上 升 ， 针 对 攻 击 活 动 进 行 复 盘 。
2 0 2 0 数 据 ●   框 架 分 析 H W P 诱 饵 诱 饵 诱 饵 标 题 ， h w p 是 韩 国 文 档 软 件 特 有 的 文 件 格 式 。 嵌 入 宏 嵌 入 宏
H T M L
鱼 叉 攻 击 成 为 主 流 战 术 ， 早 期 样 本 C 2 基 础 设 施 宏 代 码 初 始 化 配 置 ， 下 载 p a y l o a d 和 数 据 窃 取 。 后 续 引 入 p o w e r s h e l l 和 v b s ， 隐 蔽 C 2 配 置 , 被 用 于 公 众 部 署 恶 意 代 码 回 连 ， 如 G o o g l e 云 端 硬 盘 分 发 。 网 络 基 础 设 施 非 常 复 杂 ， 2 0 1 9 年 据 统 计 数 据 明 确 仅 1 8 5 . 2 2 4 . 1 3 7 / 1 3 8 [ . ]   0 / 2 3 区 间 ， 就 为 该 组 织 提 供 不 少 于 2 4 个 域 的 恶 意 服 务 。 K i m s u k y 拥 有 完 善 武 器 库 和 针 对 性 E X P ， 如 C V E - 2 0 1 7 - 8 2 9 1 （ 针 对 h w p 格 式 ） ， 同 时 也 善 用 嵌 入 式 宏 攻 击 。 图 标 伪 装 图 标 伪 装
D L L 分 析 分 析 K i m s u k y 利 用 谷 歌 硬 盘 分 发 恶 意 代 码 服 务 ： 汇 总 分 析 ， 组 件 至 少 迭 代 3 个 版 本 功 能 函 数 ， 如 下 所 示 ：
2 0 1 7 版 本 D L L R e g i s t e r S e r v e r 函 数 和 2 0 1 9 版 本 函 数 对 比 ( 时 间 存 在 差 异 , 样 本 捕 获 时 间 ) ， 如 下 所 示 ：   近 期 捕 获 c h e c k d r i v e . d l l 与 上 述 2 0 1 7 版 本 完 全 一 致 ， 没 有 任 何 变 化 。
行 为 矩 阵 行 为 矩 阵 组 件 利 用 m s f 生 成 . h t a 文 件 ， m s h t a 执 行 w i n 回 连 载 荷 。 内 存 加 载 P E ， 节 表 映 射 / 重 定 位 / 修 复 I A T 技 术 手 段 ， 其 它 样 本 沿 用 了 旧 版 本 远 程 注 入 加 载 ： 保 护 模 块 引 入 ， 主 要 分 为 三 个 阶 段 ： 简 单 异 或 、 b a s e 6 4 解 密 、 多 种 混 合 ( 包 括 C R C 3 2 ) 校 验 ：
技 术 细 节 演 变 技 术 细 节 演 变 ( 部 分 部 分 ) 汇 聚 K i m s u k y 数 据 分 析 ， 映 射 A T T & C K 矩 阵 ， 窥 一 斑 而 知 全 豹 ：
●   总 结 通 过 M I T R E   A T T & C K 诠 释 了 K i m s u k y 具 备 多 阶 段 、 多 平 台 的 攻 击 和 感 染 能 力 , 长 久 以 来 , K i m s u k y 对 武 器 构 造 和 诱 饵 投 放 阶 段 持 续 改 进 ， 使 其 杀 伤 链 具 备 可 扩 展 性 。 善 用 b a s h 和 恶 意 脚 本 安 装 植 入 ， 阶 段 性 分 发 灵 活 可 控 ， 利 用 免 费 服 务 部 署 C 2 ， 使 用 白 名 单 分 发 恶 意 载 荷 , 完 成 对 目 标 定 向 攻 击 。 朝 鲜 七 届 五 中 全 会 公 报 中 列 举 美 国 对 朝 “ 敌 对 政 策 ” ， 如 向 韩 国 输 送 军 事 装 备 ， 变 相 对 朝 进 行 制 裁 等 。 来 源 h t t p : / / w w w . f x 3 6 1 . c o m / p a g e / 2 0 2 0 / 0 3 1 0 / 6 4 2 8 4 0 2 . s h t m l 近 两 年 韩 朝 多 次 会 晤 ， 但 是 朝 对 韩 ( 美 关 系 ) 失 望 。 朝 鲜 半 岛 持 续 的 “ 冷 和 平 ” 也 将 是 下 一 轮 网 络 战 的 新 起 点 。 来 源 h t t p : / / w w w . f x 3 6 1 . c o m / p a g e / 2 0 2 0 / 0 3 1 0 / 6 4 2 8 4 0 2 . s h t m l 近 两 年 韩 朝 多 次 会 晤 ， 但 是 朝 对 韩 ( 美 关 系 ) 失 望 。 朝 鲜 半 岛 持 续 的 “ 冷 和 平 ” 也 将 是 下 一 轮 网 络 战 的 新 起 点 。 ●   安 全 建 议
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理