搜索

[10397] 2016-08-16_ProjectSauronStrider顶级的网络间谍平台暗中窃取政府加密通讯数据

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-08-16_ProjectSauronStrider顶级的网络间谍平台暗中窃取政府加密通讯数据 P r o j e c t S a u r o n / S t r i d e r   |   顶 级 的 网 络 间 谍 平 台 暗 中 窃 取 政 府 加 密 通 讯 数 据 米 雪 儿   F r e e B u f   2 0 1 6 - 0 8 - 1 6 一 一 .   简 介 简 介 在 过 去 几 年 间 ， 媒 体 报 道 的 “ A P T 相 关 ” 事 件 数 量 已 呈 显 著 增 长 趋 势 。 但 是 ， 对 于 其 中 一 些 事 件 而 言 ， “ A P T ” （ 即 高 级 持 续 性 威 胁 ） 存 在 被 夸 大 的 成 分 。 除 一 些 比 较 突 出 的 除 一 些 比 较 突 出 的 “ 例 外 例 外 ” ， 媒 体 报 道 的 ， 媒 体 报 道 的 “ A P T ” 事 件 中 很 少 有 较 为 先 进 高 级 的 ， 而 这 些 事 件 中 很 少 有 较 为 先 进 高 级 的 ， 而 这 些 “ 例 外 例 外 ” ， 在 我 们 看 来 代 表 了 网 络 间 谍 ， 在 我 们 看 来 代 表 了 网 络 间 谍 工 具 的 巅 峰 之 作 ： 真 正 工 具 的 巅 峰 之 作 ： 真 正 “ 高 级 的 高 级 的 ” 网 络 间 谍 威 胁 主 要 包 含 网 络 间 谍 威 胁 主 要 包 含 E q u a t i o n ,   R e g i n ,   D u q u 或 或 C a r e t o 。 。 另 外 较 为 “ 例 外 ” 的 间 谍 平 台 是 “ P r o j e c t S a u r o n ” ， 又 称 “ S t r i d e r ” 。 那 么 ， 真 正 高 级 的 A P T 组 织 和 普 通 黑 客 组 织 之 间 有 什 么 区 别 呢 ？ 以 下 为 列 举 的 有 关 顶 级 网 络 间 谍 组 织 的 一 些 特 点 ： 以 下 为 列 举 的 有 关 顶 级 网 络 间 谍 组 织 的 一 些 特 点 ： － 利 用 0 d a y 漏 洞 进 行 攻 击 ； － 未 知 的 、 无 法 识 别 的 感 染 载 体 ； － 已 经 成 功 攻 击 过 多 个 国 家 的 政 府 机 构 ； － 在 被 发 现 前 ， 已 经 成 功 进 行 了 多 年 的 信 息 窃 取 活 动 ； － 能 够 从 空 气 间 隙 网 络 （ a i r   g a p p e d   n e t w o r k s ） 系 统 中 窃 取 信 息 ； － 支 持 多 种 协 议 的 众 多 隐 秘 渗 漏 渠 道 ； － 恶 意 软 件 模 块 只 能 存 在 于 内 存 中 ， 不 接 触 硬 盘 ；
－ 罕 见 的 持 久 性 技 术 ， 能 够 使 用 未 经 记 载 的 操 作 系 统 功 能 ； 而 事 实 上 ， “ P r o j e c t S a u r o n ” 已 经 轻 松 地 涵 盖 了 以 上 提 及 的 所 有 特 性 。 二 二 .   从 发 现 到 检 测 从 发 现 到 检 测 当 谈 及 长 期 持 续 性 的 网 络 间 谍 活 动 时 ， 很 多 人 都 会 想 为 什 么 需 要 花 费 如 此 长 的 时 间 才 能 够 发 现 并 捕 捉 到 他 们 ？ 也 许 其 中 一 种 可 能 是 ， 做 好 工 作 需 要 正 确 的 工 具 ， 如 果 试 图 检 测 到 军 事 级 别 的 恶 意 软 件 ， 那 么 就 需 要 使 用 到 专 门 的 检 测 技 术 和 安 全 工 具 。 其 中 的 一 种 安 全 产 品 就 是 卡 巴 斯 基 实 验 室 的 A n t i T a r g e t e d 攻 击 平 台 — — K A T A 。 2 0 1 5 年 9 月 ， 卡 巴 斯 基 实 验 室 的 A n t i T a r g e t e d 攻 击 技 术 检 测 到 了 一 种 前 所 未 见 的 攻 击 。 该 可 疑 模 块 是 一 个 可 执 行 库 ， 加 载 于 一 个 W i n d o w s 域 控 制 器 （ D C ） 的 内 存 中 。 这 个 库 会 被 注 册 成 一 个 W i n d o w s 密 码 过 滤 器 ， 随 后 访 问 明 文 形 式 的 敏 感 数 据 。 进 一 步 的 研 究 发 现 ， 一 个 新 型 攻 击 组 织 的 大 规 模 攻 击 活 动 迹 象 ， 我 们 称 组 织 为 “ P r o j e c t S a u r o n ” 。 据 悉 该 组 织 此 前 曾 针 对 多 个 国 家 的 关 键 政 府 机 构 实 施 过 大 规 模 的 网 络 攻 击 。 “ S A U R O N ” — — L U A 脚 本 中 使 用 的 内 部 名 称 P r o j e c t S a u r o n 包 括 一 个 十 分 复 杂 的 模 块 化 网 络 间 谍 平 台 ， 通 过 隐 蔽 性 非 常 强 的 隐 藏 生 存 机 制 ， 实 现 对 目 标 进 行 长 期 网 络 间 谍 活 动 的 目 的 。 相 关 技 术 细 节 展 示 了 攻 击 者 是 如 何 利 用 该 平 台 学 习 其 他 攻 击 者 的 先 进 技 术 ， 并 避 免 重 复 他 们 此 前 所 犯 的 错 误 。 例 如 ， 所 有 的 东 西 都 设 定 既 定 目 标 ， 降 低 其 成 为 其 他 受 害 者 的 威 胁 指 标 （ I O C ） 的 价 值 。 P r o j e c t S a u r o n 的 其 他 一 些 主 要 特 征 ： 的 其 他 一 些 主 要 特 征 ： － 它 是 一 个 模 块 化 平 台 ， 旨 在 实 现 持 续 性 的 网 络 间 谍 活 动 ； － 所 有 的 模 块 和 网 络 协 议 都 使 用 了 强 加 密 算 法 ， 例 如 R C 6 ， R C 5 ， R C 4 ， A E S ， S a l s a 2 0 等 ； － 使 用 了 改 进 的 L U A 脚 本 引 擎 来 实 现 平 台 的 核 心 功 能 和 插 件 ； － 超 过 五 十 种 不 同 类 型 的 插 件 ； － P r o j e c t S a u r o n 背 后 的 攻 击 者 对 政 府 机 构 广 泛 使 用 的 通 信 加 密 软 件 有 着 浓 厚 的 兴 趣 。 它 能 窃 取 加 密 密 钥 ， 配 置 文 件 ， 以 及 与 加 密 软 件 相 关 的 关 键 基 础 设 施 服 务 器 的 I P 地 址 ； － 它 可 以 使 用 特 备 的 U S B 存 储 驱 动 器 从 空 气 间 隙 （ a i r - g a p p e d ） 网 络 系 统 中 提 取 数 据 ， 并 将 数 据 存 储 在 操 作 系 统 不 可 见 的 区 域 中 ； － 该 平 台 在 数 据 提 取 和 实 时 状 态 报 告 中 广 泛 使 用 D N S 协 议 ； － 该 A P T 组 织 早 在 2 0 1 1 年 6 月 份 就 开 始 网 络 间 谍 活 动 ， 并 保 持 活 跃 度 至 2 0 1 6 年 4 月 份 ；
－ 用 于 渗 透 目 标 网 络 的 初 始 感 染 载 体 尚 不 清 楚 ； － 攻 击 者 利 用 合 法 的 软 件 分 发 渠 道 在 受 感 染 的 网 络 中 实 现 横 向 感 染 ； 为 了 帮 助 读 者 更 好 地 了 解 P r o j e c t S a u r o n 攻 击 平 台 ， 下 面 为 大 家 准 备 了 一 个 问 答 环 节 ， 期 间 将 汇 总 一 些 关 于 P r o j e c t S a u r o n 的 关 键 问 题 并 作 出 解 答 。 此 外 ， 还 公 布 了 关 于 P r o j e c t S a u r o n 的 技 术 细 节 报 告 ， 以 及 I O C s   和   Y a r a   规 则 。 三 三 .   P r o j e c t S a u r o n 关 键 问 答 汇 总 （ 关 键 问 答 汇 总 （ F A Q ） ： ） ： 1 ． 什 么 是 ． 什 么 是 P r o j e c t S a u r o n ？ ？ P r o j e c t S a u r o n 是 一 个 顶 级 的 模 块 化 网 络 间 谍 活 动 平 台 ， 旨 在 通 过 隐 蔽 性 超 强 的 隐 藏 生 存 机 制 结 合 多 种 渗 漏 技 术 ， 实 现 管 理 长 期 持 续 性 的 网 络 间 谍 活 动 的 目 标 。 技 术 细 节 显 示 ， 攻 击 者 可 以 利 用 该 平 台 学 习 其 他 攻 击 者 的 先 进 技 术 ， 以 避 免 重 复 他 们 此 前 所 犯 的 错 误 。 通 常 ， A P T 组 织 由 于 地 域 关 系 ， 往 往 只 会 针 对 某 一 特 定 的 地 区 或 者 行 业 中 实 施 信 息 窃 取 活 动 。 这 通 常 会 导 致 某 一 地 区 内 的 一 些 国 家 受 到 感 染 ， 或 者 全 球 范 围 内 的 某 些 特 定 行 业 受 到 影 响 。 有 趣 的 是 ， P r o j e c t S a u r o n 似 乎 只 专 注 于 某 几 个 国 家 ， 专 注 于 从 目 标 地 区 所 有 能 够 触 及 到 的 关 键 实 体 中 收 集 高 价 值 的 情 报 。 P r o j e c t S a u r o n 的 名 字 反 映 了 一 个 事 实 ， 代 码 作 者 指 向 出 现 在 L u a 脚 本 中 的 “ S a u r o n ” 。 2 . 谁 是 受 害 者 ？ 谁 是 受 害 者 ？ 根 据 分 析 ， 我 们 发 现 了 包 含 俄 罗 斯 、 伊 朗 、 卢 旺 达 和 一 些 说 意 大 利 语 的 国 家 在 内 的 超 过 3 0 个 机 构 受 到 了 感 染 。 我 们 推 测 ， 还 会 有 更 多 的 组 织 和 地 区 都 可 能 受 到 影 响 。 受 攻 击 的 机 构 都 是 履 行 核 心 国 家 职 能 的 关 键 实 体 ： － 政 府 ； － 科 学 研 究 中 心 ： － 军 事 机 构 ； － 通 信 服 务 提 供 商 ； － 金 融 机 构 ； 3 . 是 否 将 相 关 信 息 告 知 受 害 者 ？ 是 否 将 相 关 信 息 告 知 受 害 者 ？ 与 往 常 一 样 ， 卡 巴 斯 基 实 验 室 与 行 业 合 作 伙 伴 间 保 持 积 极 地 沟 通 ， C E R T 和 执 法 部 门 会 将 情 况 告 知 受 害 者 并 帮 助 他 们 缓 解 安 全 威 胁 。 我 们 还 依 靠 公 众 意 识 来 传 播 这 些 信 息 。 如 果 您 需 要 更 多 关 于 该 组 织 的 信 息 ， 欢 迎 联 系 i n t e l r e p o r t s @ k a s p e r s k y . c o m . 4 . P r o j e c t S a u r o n 已 经 活 跃 了 多 久 ？ 已 经 活 跃 了 多 久 ？ 取 证 分 析 表 明 ， 该 A P T 组 织 至 少 从 2 0 1 1 年 的 6 月 就 已 经 开 始 从 事 网 络 间 谍 活 动 ， 此 后 一 直 到 2 0 1 6 年 都 处 于 活 跃 状 态 。 尽 管 它 目 前 看 似 已 经 基 本 停 止 行 动 ， 但 是 在 卡 巴 斯 基 实 验 室 解 决 方 案 未 涵 盖 的 计 算 机 系 统 内 ， 它 可 能 仍 然 在 活 跃 。 5 . 攻 击 者 是 否 使 用 了 一 些 有 趣 的 或 先 进 的 攻 击 技 术 ？ 攻 击 者 是 否 使 用 了 一 些 有 趣 的 或 先 进 的 攻 击 技 术 ？ 攻 击 者 使 用 了 大 量 有 趣 的 ， 非 同 寻 常 的 技 术 ， 包 括 ： － 利 用 D N S 请 求 来 进 行 数 据 提 取 和 实 时 状 态 报 告 ；
－ 使 用 正 版 软 件 的 更 新 脚 本 来 植 入 和 部 署 恶 意 软 件 ； － 通 过 使 用 特 备 的 U S B 存 储 驱 动 器 从 空 气 间 隙 （ a i r - g a p p e d ） 网 络 系 统 中 提 取 数 据 ， 并 将 数 据 存 储 在 操 作 系 统 不 可 见 的 区 域 中 ； － 使 用 了 改 进 的 L U A 脚 本 引 擎 来 实 现 平 台 的 核 心 功 能 和 插 件 。 在 恶 意 软 件 中 使 用 L U A 组 件 是 非 常 罕 见 的 。 此 前 只 在 F l a m e 和 A n i m a l   F a r m 攻 击 中 出 现 过 。 6 . 卡 巴 斯 基 实 验 室 是 如 何 发 现 该 恶 意 软 件 的 ？ 卡 巴 斯 基 实 验 室 是 如 何 发 现 该 恶 意 软 件 的 ？ 2 0 1 5 年 9 月 ， 卡 巴 斯 基 实 验 室 的 A n t i - T a r g e t e d 攻 击 平 台 在 一 个 客 户 的 企 业 网 络 中 发 现 了 异 常 的 网 络 流 量 。 针 对 该 事 件 的 分 析 发 现 ， 一 个 奇 怪 的 可 执 行 程 序 库 被 加 载 到 域 控 制 器 服 务 器 的 内 存 中 。 该 库 被 注 册 为 W i n d o w s 密 码 过 滤 器 ， 随 后 访 问 明 文 形 式 的 敏 感 数 据 ， 进 一 步 的 研 究 发 现 一 个 前 所 未 见 的 威 胁 组 织 的 活 动 迹 象 。 7 .   P r o j e c t S a u r o n 是 如 何 操 作 的 ？ 是 如 何 操 作 的 ？ P r o j e c t S a u r o n 通 常 在 域 控 制 器 上 注 册 自 己 的 持 久 性 模 块 来 作 为 一 个 W i n d o w s   L S A （ 本 地 安 全 性 权 限 ） 密 码 过 滤 器 。 该 功 能 通 常 由 系 统 管 理 员 操 作 ， 来 执 行 密 码 策 略 和 验 证 新 密 码 以 满 足 一 些 特 定 要 求 ， 如 长 度 和 复 杂 性 等 。 这 样 一 来 ， P r o j e c t S a u r o n 被 动 后 门 （ p a s s i v e   b a c k d o o r ） 模 块 就 会 在 每 次 任 意 网 络 或 本 地 用 户 （ 包 括 管 理 员 ） 登 录 或 修 改 密 码 的 时 候 启 动 ， 及 时 获 取 明 文 密 码 。 在 域 控 制 器 缺 少 直 接 网 络 访 问 的 情 况 下 ， 攻 击 者 会 在 另 一 个 本 地 服 务 器 （ 具 备 本 地 网 络 和 互 联 网 接 入 ， 即 代 理 服 务 器 ， 网 络 服 务 器 或 软 件 更 新 服 务 器 ） 上 安 装 附 加 植 入 。 随 后 ， P r o j e c t S a u r o n 就 用 这 些 中 间 服 务 器 作 为 不 显 眼 的 数 据 渗 漏 的 内 部 服 务 器 节 点 ， 与 高 容 量 的 合 法 流 量 混 合 。 一 旦 安 装 成 功 ， P r o j e c t S a u r o n 主 模 块 就 开 始 像 “ 潜 伏 分 子 （ s l e e p e r   c e l l s ） ” 一 样 运 行 ， 不 会 自 己 行 动 只 会 等 待 传 入 网 络 流 量 中 的 “ 唤 醒 ” 命 令 。 这 种 操 作 方 法 可 以 确 保 P r o j e c t S a u r o n 在 目 标 组 织 服 务 器 上 的 持 久 性 。 8 .   P r o j e c t S a u r o n 使 用 的 是 什 么 类 型 的 植 入 ？ 使 用 的 是 什 么 类 型 的 植 入 ？ 大 多 数 P r o j e c t S a u r o n 的 核 心 植 入 物 被 设 置 成 后 门 运 行 ， 在 内 存 中 下 载 新 的 模 块 或 只 运 行 攻 击 者 的 命 令 。 捕 捉 这 些 模 块 的 唯 一 方 法 是 将 受 感 染 系 统 的 全 部 存 储 信 息 转 储 。 几 乎 所 有 P r o j e c t S a u r o n 的 核 心 植 入 物 都 是 独 特 的 ， 它 们 具 有 不 同 的 文 件 名 和 大 小 ， 而 且 是 为 每 个 目 标 分 别 建 立 的 。 每 个 模 块 的 时 间 戳 ， 无 论 是 在 文 件 系 统 还 是 在 自 己 的 标 头 ， 都 是 为 其 安 装 环 境 量 身 打 造 的 。 P r o j e c t S a u r o n 二 级 模 块 的 设 计 旨 在 实 现 一 些 特 殊 功 能 ， 例 如 窃 取 文 件 ， 键 盘 记 录 ， 以 及 从 受 感 染 的 计 算 机 中 窃 取 加 密 密 钥 等 。 P r o j e c t S a u r o n 实 现 了 一 个 模 块 化 架 构 ， 通 过 使 用 自 己 的 虚 拟 文 件 系 统 来 存 储 附 加 模 块 （ 插 件 ） 以 及 通 过 改 进 的 L u a 解 释 器 来 执 行 内 部 脚 本 。 此 外 ， 还 包 含 5 0 多 个 不 同 类 型 的 插 件 。 9 .   初 始 感 染 载 体 是 什 么 ？ 初 始 感 染 载 体 是 什 么 ？ 截 至 目 前 ， P r o j e c t S a u r o n 的 初 始 感 染 载 体 依 然 不 明 。 1 0 .   P r o j e c t S a u r o n 植 入 物 是 如 何 部 署 到 目 标 网 络 中 的 ？ 植 入 物 是 如 何 部 署 到 目 标 网 络 中 的 ？ 在 一 些 情 况 下 ， P r o j e c t S a u r o n 模 块 是 在 系 统 管 理 员 为 了 集 中 部 署 网 络 中 的 合 法 软 件 升 级 而 修 改 脚 本 时 实 施 部 署 的 。 本 质 上 ， 攻 击 者 通 过 修 改 现 有 的 软 件 部 署 脚 本 来 注 入 启 动 恶 意 软 件 的 命 令 。 注 入 的 恶 意 软 件 是 一 个 很 小 的 模 块 ， 作 为 一 个 简 单 的 下 载 器 运 行 。 一 旦 在 网 络 管 理 员 帐 户 下 启 动 ， 这 个 小 下 载 器 就 会 连 接 到 一 个 硬 编 码 的 内 部 或 外 部 I P 地 址 上 ， 并 从 中 下 载 更 大 的 P r o j e c t S a u r o n 有 效 载 荷 。 在 这 种 情 况 下 ， P r o j e c t S a u r o n 的 持 久 性 容 器 以 E X E 文 件 格 式 存 储 在 磁 盘 中 ， 并 用 正 版 软 件 的 文 件 名 来 伪 装 这 些 文 件 。 1 1 .   P r o j e c t S a u r o n 是 否 以 关 键 基 础 设 施 为 目 标 ？ 是 否 以 关 键 基 础 设 施 为 目 标 ？
一 些 P r o j e c t S a u r o n 的 感 染 实 体 可 以 被 列 为 关 键 基 础 设 施 。 但 是 ， 我 们 还 没 有 在 部 署 S C A D A 系 统 的 工 控 系 统 网 络 内 发 现 P r o j e c t S a u r o n 感 染 实 体 。 此 外 ， 我 们 也 还 没 有 发 现 任 何 一 个 P r o j e c t S a u r o n 模 块 是 针 对 特 定 的 关 键 基 础 设 施 行 业 的 硬 件 或 软 件 的 情 况 。 1 2 .   P r o j e c t S a u r o n 是 否 使 用 了 任 何 特 殊 的 通 讯 方 式 ？ 是 否 使 用 了 任 何 特 殊 的 通 讯 方 式 ？ 就 网 络 通 讯 而 言 ， P r o j e c t S a u r o n 工 具 包 可 谓 功 能 强 大 ， 最 常 用 的 协 议 包 括 ： I C M P ,   U D P ,   T C P ,   D N S ,   S M T P   a n d   H T T P 。 P r o j e c t S a u r o n 其 中 一 个 插 件 是 D N S 数 据 泄 露 工 具 。 为 了 避 免 网 络 级 的 D N S 隧 道 通 用 检 测 ， 攻 击 者 通 常 只 在 低 带 宽 模 式 使 用 它 ， 这 就 是 它 仅 用 于 渗 漏 目 标 系 统 元 数 据 的 原 因 。 P r o j e c t S a u r o n 恶 意 软 件 （ 运 用 D N S 协 议 ） 中 另 一 个 有 趣 的 功 能 是 将 操 作 进 展 实 时 报 告 到 远 程 服 务 器 。 一 旦 一 个 操 作 里 程 碑 实 现 ， P r o j e c t S a u r o n 就 会 发 送 D N S 请 求 到 一 个 特 殊 的 子 域 （ 每 个 目 标 都 不 同 的 ） 中 。 1 3 .   P r o j e c t S a u r o n   A P T 最 复 杂 、 先 进 的 功 能 是 什 么 ？ 最 复 杂 、 先 进 的 功 能 是 什 么 ？ 总 体 而 言 ， P r o j e c t S a u r o n 平 台 是 非 常 先 进 的 ， 与 我 们 此 前 报 道 的 R e g i n 间 谍 软 件 的 复 杂 程 度 类 似 。 关 于 P r o j e c t S a u r o n 平 台 一 些 独 特 的 因 素 包 括 ： － 多 渗 出 机 制 ， 包 括 盗 用 已 知 的 协 议 ； － 利 用 U 盘 的 隐 藏 数 据 分 区 绕 过 空 气 间 隙 （ a i r - g a p s ） ； － 劫 持 W i n d o w s   L S A 来 控 制 网 络 域 中 的 服 务 器 ； － 执 行 一 个 扩 展 的 L u a 引 擎 编 写 自 定 义 的 恶 意 脚 本 ， 用 高 级 语 言 控 制 整 个 恶 意 软 件 平 台 。 1 4 .   攻 击 者 是 否 利 用 零 日 漏 洞 实 施 攻 击 ？ 攻 击 者 是 否 利 用 零 日 漏 洞 实 施 攻 击 ？ 截 至 目 前 ， 我 们 并 没 有 发 现 与 P r o j e c t S a u r o n 相 关 的 任 何 0 - d a y 漏 洞 ， 也 还 没 有 发 现 恶 意 软 件 上 有 嵌 入 任 何 零 日 漏 洞 的 情 况 ， 我 们 相 信 这 种 部 署 是 非 常 罕 见 也 是 非 常 难 以 捕 捉 的 。 1 5 .   什 么 版 本 的 什 么 版 本 的 W i n d o w s 会 成 为 攻 击 目 标 ？ 会 成 为 攻 击 目 标 ？ P r o j e c t S a u r o n 适 用 于 目 前 所 有 的 M i c r o s o f t W i n d o w s 操 作 系 统   –   包 括 x 6 4 和 x 8 6 。 我 们 已 经 见 证 了 发 生 在 W i n d o w s   X P   x 8 6 以 及 W i n d o w s   2 0 1 2   R 2 （ x 6 4 ） 上 的 感 染 案 例 。 目 前 ， 我 们 没 有 发 现 任 何 W i n d o w s 版 本 可 以 在 P r o j e c t S a u r o n 的 魔 爪 下 幸 免 于 难 。 1 6 .   攻 击 者 到 底 从 目 标 计 算 机 中 盗 取 了 什 么 信 息 ？ 攻 击 者 到 底 从 目 标 计 算 机 中 盗 取 了 什 么 信 息 ？ 我 们 发 现 的 P r o j e c t S a u r o n 模 块 能 够 从 被 感 染 的 计 算 机 和 连 接 U 盘 中 窃 取 文 件 ， 记 录 键 盘 信 息 以 及 盗 取 加 密 密 钥 。 以 下 是 从 P r o j e c t S a u r o n 中 提 取 的 部 分 片 段 ， 显 示 了 攻 击 者 正 在 寻 找 的 信 息 类 型 和 文 件 拓 展 名 ：
有 趣 的 是 ， 上 图 中 虽 然 大 多 数 的 词 语 和 扩 展 名 都 是 英 语 ， 但 是 也 存 在 几 个 意 大 利 词 语 ， 如 ： “ c o d i c e ’ ， ’ s t r C o d U t e n t e ’ 和 ’ s e g r e t o ’ 。 P r o j e c t S a u r o n 数 据 盗 窃 模 块 的 目 标 关 键 词 / 文 件 名 ： 这 说 明 攻 击 者 同 样 已 经 把 意 大 利 语 国 家 列 为 攻 击 目 标 ， 然 而 ， 目 前 我 们 暂 未 发 现 P r o j e c t S a u r o n 项 目 中 的 任 何 意 大 利 语 国 家 受 害 者 。 1 7 .   是 否 是 国 家 支 持 的 网 络 间 谍 攻 击 ？ 是 否 是 国 家 支 持 的 网 络 间 谍 攻 击 ？ 我 们 认 为 如 此 复 杂 、 先 进 的 攻 击 手 段 ， 且 目 的 是 窃 取 机 密 信 息 ， 这 种 行 为 只 可 能 在 国 家 支 持 的 情 况 下 实 现 。 1 8 .   P r o j e c t S a u r o n 项 目 开 发 和 运 营 成 本 有 多 少 ？ 项 目 开 发 和 运 营 成 本 有 多 少 ？ 卡 巴 斯 基 实 验 室 对 此 并 没 有 任 何 确 切 的 数 据 ， 但 根 据 估 算 ， P r o j e c t S a u r o n 项 目 的 开 发 和 运 营 很 可 能 需 要 多 个 专 家 团 队 支 持 ， 预 算 可 能 在 数 百 万 美 元 。 1 9 .     P r o j e c t S a u r o n 与 其 他 顶 级 威 胁 软 件 相 比 怎 么 样 ？ 与 其 他 顶 级 威 胁 软 件 相 比 怎 么 样 ？ P r o j e c t S a u r o n 项 目 背 后 的 威 胁 软 件 即 使 是 与 最 顶 级 的 威 胁 软 件 （ 如 D u q u ,   F l a m e ,   E q u a t i o n 以 及   R e g i n 等 ） 相 比 也 是 非 常 先 进 的 。 不 论 P r o j e c t S a u r o n 是 否 与 这 些 先 进 的 网 络 间 谍 软 件 间 存 在 关 联 ， 可 以 肯 定 的 是 P r o j e c t S a u r o n 的 攻 击 者 从 这 些 软 件 身 上 学 到 了 很 多 。 作 为 提 醒 ， 以 下 为 我 们 发 现 P r o j e c t S a u r o n 攻 击 者 从 其 他 A P T 攻 击 上 学 到 和 模 仿 的 一 些 特 征 ： D u q u ： ： － 使 用 内 联 网 C & C s （ 其 中 受 损 的 目 标 服 务 器 可 以 作 为 独 立 的 C & C s ） ； － 仅 在 内 存 中 运 行 （ 只 在 少 数 网 关 主 机 中 存 在 持 久 性 ） ； － 针 对 每 个 受 害 者 使 用 不 同 的 加 密 方 式 ； － 针 对 L A N 通 信 使 用 命 名 管 道 （ n a m e d   p i p e ） ； － 每 个 受 害 者 不 同 的 加 密 方 式 使 用 － 使 用 命 名 管 道 的 L A N 通 信 － 通 过 合 法 软 件 部 署 渠 道 分 发 恶 意 软 件 ； F l a m e : － L u a 嵌 入 （ L u a - e m b e d d e d ） 代 码 ； － 安 全 的 文 件 删 除 （ 通 过 数 据 擦 除 ） ； － 通 过 可 移 动 设 备 攻 击 空 气 间 隙 系 统 ； E q u a t i o n 和 和 R e g i n : － 使 用 R C 5 / R C 6 加 密 ； － 虚 拟 文 件 系 统 （ V F S ） ；
－ 通 过 可 移 动 设 备 攻 击 空 气 间 隙 系 统 ； － 隐 式 数 据 存 储 在 移 动 设 备 中 ； *   原 文 链 接 ： S e c u r e l i s t 、 米 雪 儿 编 译 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理