搜索

[11373] 2017-05-21_网络间谍依然健在：APT32对全球企业的威胁（海莲花）

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-05-21_网络间谍依然健在：APT32对全球企业的威胁（海莲花） 网 络 间 谍 依 然 健 在 ： A P T 3 2 对 全 球 企 业 的 威 胁 （ 海 莲 花 ） h e i b a n   F r e e B u f   2 0 1 7 - 0 5 - 2 1 现 在 被 现 在 被 F i r e e y e 命 名 为 命 名 为 A P T 3 2 （ （ O c e a n L o t u s 海 莲 花 组 织 ） 的 网 络 间 谍 行 动 海 莲 花 组 织 ） 的 网 络 间 谍 行 动 , 正 在 对 横 跨 多 个 行 业 的 私 人 企 业 和 外 国 政 府 ， 异 议 正 在 对 横 跨 多 个 行 业 的 私 人 企 业 和 外 国 政 府 ， 异 议 人 士 和 记 者 进 行 入 侵 。 人 士 和 记 者 进 行 入 侵 。 F i r e e y e 评 估 评 估 A P T 3 2 利 用 独 特 且 功 能 全 面 的 恶 意 软 件 套 件 与 商 业 渗 透 工 具 相 结 合 。 开 展 符 合 对 越 南 国 利 用 独 特 且 功 能 全 面 的 恶 意 软 件 套 件 与 商 业 渗 透 工 具 相 结 合 。 开 展 符 合 对 越 南 国 家 利 益 的 有 针 对 性 的 行 动 。 家 利 益 的 有 针 对 性 的 行 动 。         广 告 时 间 ： 广 告 时 间 ： A P T 3 2 和 和 F i r e e y e 的 社 区 响 应 的 社 区 响 应 F i r e E y e 的 M a n d i a n t 事 件 响 应 顾 问 对 在 越 南 有 商 业 利 益 的 几 家 公 司 进 行 入 侵 调 查 的 过 程 中 ， 发 现 了 入 侵 活 动 ， 并 且 攻 击 者 控 制 的 基 础 设 施 指 示 了 一 个 重 要 的 入 侵 活 动 。 2 0 1 7 年 3 月 ， 为 响 应 F i r e E y e 客 户 的 主 动 定 位 ， 该 团 队 发 起 了 社 区 保 护 事 件 （ C P E ） — 就 是 M a n d i a n t 事 件 响 应 团 队 ， F i r e E y e 即 服 务 ( F a a S ) F i r e E y e   i S i g h t 情 报 和 F i r e E y e 的 产 品 工 程 师 去 保 护 所 有 客 户 免 受 A P T 3 2 活 动 的 攻 击 。 在 接 下 来 的 几 周 内 ， F i r e E y e 向 客 户 发 布 威 胁 情 报 产 品 和 更 新 的 恶 意 软 件 配 置 文 件 ， 同 时 为 A P T 3 2 的 工 具 和 钓 鱼 诱 饵 开 发 新 的 检 测 技 术 。 这 种 集 中 了 情 报 与 检 测 于 一 身 的 努 力 让 我 们 识 别 出 新 的 外 部 受 害 者 ， 并 获 得 足 够 的 技 术 证 据 来 连 接 十 二 个 以 前 的 入 侵 ， 将 之 前 无 关 的 四 个 威 胁 成 员 集 合 到 F i r e E y e 的 最 新 命 名 的 高 级 持 续 威 胁 组 织 A P T 3 2 . A P T 3 2 针 对 东 南 亚 私 营 公 司 的 业 务 针 对 东 南 亚 私 营 公 司 的 业 务 至 少 自 2 0 1 4 年 以 来 ， F i r e E y e 已 经 观 察 到 A P T 3 2 针 对 越 南 国 家 的 制 造 业 ， 消 费 品 和 酒 店 行 业 有 既 得 利 益 的 外 国 企 业 。 此 外 有 迹 象 表 明 ， A P T 3 2 攻 击 者 正 在 瞄 准 周 边 的 网 络 安 全 和 技 术 基 础 设 施 公 司 ， 以 及 可 能 与 外 国 投 资 者 有 联 系 的 咨 询 公 司 。 以 下 是 F i r e E y e 对 A P T 3 2 的 入 侵 调 查 概 述 ：       2 0 1 4 年 ， 一 家 欧 洲 公 司 在 越 南 制 造 工 厂 前 受 到 攻 击 2 0 1 6 年 ， 在 越 南 工 作 的 外 资 企 业 如 ： 网 络 安 全 ， 技 术 基 础 设 施 ， 银 行 业 和 媒 体 行 业 工 作 都 受 到 攻 击 。 2 0 1 6 年 中 ， F i r e E y e 认 为 A P T 3 2 独 有 的 恶 意 软 件 在 全 球 酒 店 业 开 发 商 计 划 扩 大 越 南 的 业 务 时 ， 在 网 络 中 被 发 现 的 。 从 2 0 1 6 年 到 2 0 1 7 年 ， 位 于 越 南 境 内 的 美 国 和 菲 律 宾 消 费 品 公 司 的 子 公 司 是 A P T 3 2 的 入 侵 行 动 目 标 2 0 1 7 年 ， A P T 3 2 入 侵 全 球 咨 询 公 司 的 越 南 办 事 处 。 表 1 显 示 了 A P T 3 2 活 动 的 细 目 ， 包 括 每 个 活 动 使 用 的 恶 意 软 件 家 族 。
A P T 3 2 对 政 治 势 力 和 外 国 政 府 的 兴 趣 对 政 治 势 力 和 外 国 政 府 的 兴 趣 除 了 专 注 于 与 越 南 有 关 的 私 营 部 门 外 ， A P T 3 2 还 至 少 在 2 0 1 3 年 以 来 针 对 外 国 政 府 以 及 越 南 持 不 同 政 见 者 和 记 者 。 这 是 对 此 活 动 的 概 述 ： p u b l i c   b l o g   p u b l i s h e d   b y   t h e   E l e c t r o n i c   F r o n t i e r   F o u n d a t i o n     电 子 前 沿 基 金 会 E F F 发 布 一 个 公 开 博 客 声 明 ， 记 者 ， 活 动 家 ， 持 不 同 政 见 者 和 博 客 作 者 在 2 0 1 3 年 被 A P T 3 2 操 作 一 致 的 恶 意 软 件 和 战 术 进 行 攻 击 。 2 0 1 4 年 ， A P T 3 2 利 用 一 项 封 名 为 “ 打 算 在 越 南 的 大 使 馆 进 行 抗 议 的 计 划 . e x e ” 的 钓 鱼 附 件 ， 针 对 东 南 亚 越 南 流 亡 人 士 中 持 不 同 政 见 的 活 动 ， 2 0 1 4 年 ， A P T 3 2 进 行 针 对 西 方 国 家 立 法 机 关 的 入 侵 。 r e l e a s e d   a   r e p o r t   2 0 1 5 年 ， 中 国 企 业 奇 虎 3 6 0 的 安 全 研 究 部 门 S k y E y e   L a b s 发 布 一 份 报 告 ， 详 细 介 绍 了 针 对 中 国 公 共 和 私 人 机 构 ， 包 括 政 府 机 构 ， 研 究 机 构 ， 海 事 机 构 ， 海 上 建 设 和 航 运 企 业 的 威 胁 行 为 。 报 告 中 的 资 料 表 明 ， 肇 事 者 使 用 与 A P T 3 2 相 同 的 恶 意 软 件 ， 重 叠 的 基 础 设 施 和 相 似 的 目 标 。 2 0 1 5 年 和 2 0 1 6 年 ， 两 家 越 南 媒 体 都 面 临 着 恶 意 软 件 的 攻 击 ， F i r e E y e 评 估 属 于 A P T 3 2 2 0 1 7 年 ， 攻 击 者 在 社 会 工 程 中 的 内 容 诱 饵 上 提 供 证 据 ， 证 明 他 们 是 在 澳 大 利 亚 的 越 南 移 民 以 及 菲 律 宾 的 政 府 雇 员 。 A P T 3 2 战 术 战 术 在 目 前 的 活 动 中 ， A P T 3 2 利 用 A c t i v e M i m e 文 件 和 社 工 手 段 来 诱 使 受 害 者 启 动 宏 。 一 旦 执 行 ， 初 始 化 的 文 件 从 远 程 服 务 器 下 载 多 个 恶 意 有 效 载 荷 。 A P T 3 2 攻 击 者 继 续 通 过 钓 鱼 邮 件 传 播 恶 意 附 件 。         A P T 3 2 攻 击 者 设 计 了 针 对 特 东 受 害 者 的 多 语 言 诱 饵 文 件 。 虽 然 这 些 文 件 具 有 “ . d o c ” 文 件 扩 展 名 ， 但 恢 复 后 的 钓 鱼 诱 饵 是 A c t i v e M i m e ” . m h t ” 包 含 文 本 和 图 像 的 网 页 归 档 。 这 些 文 件 可 能 是 通 过 将 W o r d 文 档 导 出 到 单 个 文 件 网 页 创 建 的 。 表 2 包 含 了 已 经 恢 复 的 A P T 3 2 多 语 言 诱 饵 文 件 示 例 。        
表 2 ： A P T 3 2 诱 饵 文 件 样 本 B a s e 6 4 编 码 的 A c t i v e M i m e 数 据 还 包 含 带 有 恶 意 宏 的 O L E 文 件 。 当 打 开 的 时 候 ， 许 多 诱 饵 文 件 会 显 示 虚 假 的 错 误 信 息 试 图 欺 骗 用 户 启 动 恶 意 宏 。 图 1 显 示 一 个 假 的 G m a i l 主 题 和 十 六 进 制 错 误 代 码 匹 配 ， 要 求 收 件 人 启 用 内 容 来 解 决 错 误 。 图 2 显 示 了 另 一 个 A P T 3 2 的 诱 饵 ， 它 使 用 一 个 令 人 信 服 的 虚 假 的 W i n d o w s 错 误 消 息 ， 指 示 收 件 人 启 用 内 容 以 便 正 确 的 显 示 文 档 的 字 体 字 符 。         图 1 ： A P T 3 2 钓 鱼 诱 饵 — 假 的 G m a i l 错 误 信 息
图 2 ： A P T 3 2 钓 鱼 诱 饵 示 例 — 假 的 文 件 编 码 错 误 信 息 A P T 3 2 操 控 人 员 实 施 了 集 中 新 颖 的 技 术 来 跟 踪 其 网 络 钓 鱼 的 功 效 ， 监 控 恶 意 文 件 的 分 发 ， 并 建 立 持 久 性 机 制 来 动 态 更 新 注 入 内 存 的 后 门         为 了 跟 踪 谁 打 开 了 钓 鱼 邮 件 ， 查 看 了 链 接 并 实 时 下 载 了 附 件 ， A P T 3 2 使 用 了 针 对 销 售 组 织 设 计 的 基 于 云 端 的 邮 件 分 析 软 件 。 在 某 些 情 况 下 ， A P T 3 2 干 脆 直 接 放 弃 邮 件 的 附 件 ， 并 完 全 依 赖 此 跟 踪 技 术 ， 链 接 到 他 们 的 A c t i v e M i m e 诱 饵 的 外 部 托 管 的 合 法 云 存 储 服 务 上 。         为 了 增 强 对 进 一 步 分 发 其 钓 鱼 诱 饵 的 可 见 性 ， A P T 3 2 利 用 其 A c t i v e M i m e 文 档 的 本 地 w e b 页 面 功 能 链 接 到 A P T 3 2 监 控 的 外 部 托 管 服 务 器 上 。 图 3 包 含 一 个 示 例 钓 鱼 诱 饵 ， 带 有 H T M L 图 像 标 签 ， 用 于 A P T 3 2 的 附 加 跟 踪 。         图 3 ： 包 含 用 于 附 加 跟 踪 的 H T M L 钓 鱼 图 像 标 签 打 开 具 有 此 功 能 的 文 档 时 ， 即 便 禁 用 了 宏 ， M i c r o s o f t   W o r d 也 会 尝 试 下 载 外 部 图 像 。 在 分 析 所 有 的 钓 鱼 诱 饵 后 ， 外 部 图 像 不 存 在 。 M a n d i a n t 顾 问 怀 疑 A P T 3 2 正 在 监 控 W e b 日 志 以 跟 踪 用 于 请 求 远 程 图 片 的 公 共 I P 地 址 。 结 合 电 子 邮 件 跟 踪 软 件 ， A P T 3 2 能 密 切 关 注 钓 鱼 的 传 播 ， 成 功 率 ， 并 对 受 害 组 织 进 行 下 一 步 的 分 析 ， 同 时 监 控 安 全 公 司 感 兴 趣 的 事 情 。         一 旦 目 标 系 统 上 启 用 了 宏 ， 恶 意 宏 将 两 个 命 名 为 计 划 任 务 有 持 久 机 制 的 后 门 在 受 感 染 系 统 上 创 建 。 第 一 个 命 名 的 计 划 任 务 启 动 一 个 应 用 白 名 单 脚 本 保 护 以 绕 过 执 行 C O M 脚 本 ， 动 态 下 载 A P T 3 2 服 务 器 的 第 一 个 后 门 并 将 其 注 入 到 内 存 中 。 第 二 个 命 名 的 计 划 任 务 作
为 X M L 文 件 加 载 以 伪 造 任 务 属 性 ， 运 行 J a v a s c r i p t 代 码 ， 该 代 码 下 载 并 启 动 一 个 辅 助 后 门 ， 为 多 阶 段 P o w e r s h e l l 脚 本 提 供 。 在 大 多 数 诱 饵 中 ， 一 个 计 划 任 务 持 续 存 在 于 一 个 特 定 的 A P T 3 2 后 门 中 ， 另 一 个 计 划 任 务 将 初 始 化 一 个 商 业 可 用 的 后 门 （ C o b a l t s t r i k e ） 作 为 备 用 。         为 了 说 明 这 些 诱 饵 的 复 杂 性 ， 图 4 显 示 了 恢 复 后 的 A P T 3 2 诱 饵 。 “ 2 0 1 7 年 员 工 工 资 性 津 贴 额 统 计 报 告 . d o c ” 。 图 4 ： A P T 3 2   A c t i v e M i m e 诱 饵 创 建 两 个 命 名 计 划 任 务 在 此 示 例 中 ， 一 个 计 划 任 务 命 名 为 “ W i n d o w s   S c h e d u l e d   M a i n t e n a n c e ” 的 计 划 任 务 被 创 建 运 行 C a s e y S m i t h 的 “ S q u i b l y d o o ” 应 用 白 名 单 。 虽 然 所 有 有 效 载 荷 都 可 以 动 态 更 新 ， 但 在 推 送 的 时 候 ， 这 个 任 务 加 载 了 一 个 C O M   s c r i p t l e t （ “ . s c t ” 的 文 件 扩 展 ） 它 下 载 并 执 行 托 管 在 i m a g e s . c h i n a b y t e s . i n f o 的 M e t e r p r e t e r 然 后 加 载 C o b a l t   S t r i k e 的 B E A C O N ， 使 用 S a f e b r o w s i n g 可 延 展 C 2 配 置 通 信 进 行 网 络 流 量 的 融 合 （ 进 行 下 一 步 横 移 ！ ！ ） 另 一 个 计 划 任 务 命 名 为 “ S c h e d u l e d   D e f r a g s ” 的 任 务 在 加 载 原 始 任 务 X M L 的 后 期 任 务 创 建 时 间 戳 为 2 0 1 6 年 6 月 2 日 被 创 建 。 第 二 个 任 务 每 5 0 分 钟 运 行 一 次 “ m s h t a . e x e ” ， 它 启 动 一 个 A P T 3 2 定 制 的 后 门 P o w e r s h e l l 包 含 s h e l l c o d e 的 脚 本 。 被 配 置 为 与 域 名 b l o g . p a n g g i n . o r g , s h a r e . c o d e h a o . n e t , 和 y i i . y i i h a o 1 2 6 . n e t 通 信 。 图 5 显 示 了 A P T 3 2 成 功 通 过 钓 鱼 诱 饵 利 用 动 态 注 入 两 个 多 阶 段 恶 意 框 架 到 内 存 的 事 件 链 。        
图 5 ： A P T 3 2 钓 鱼 链 事 件 令 人 印 象 深 刻 的 是 A P T 3 2 操 作 并 未 没 有 在 受 害 环 境 建 立 立 足 点 后 停 止 。 几 个 M a n d i a n t 调 查 显 示 ， A P T 3 2 在 获 得 访 问 权 后 ， 会 定 期 清 除 选 定 的 事 件 日 志 条 目 ， 并 严 重 混 淆 其 基 于 P o w e r s h e l l 的 工 具 和 D a n i e l   B o h a n n o n 的 s h e l l c o d e 加 载 器 – I n v o k e - O b f u s c a t i o n 框 架 。 I n v o k e - O b f u s c a t i o n A P T 3 2 经 常 使 用 隐 身 技 术 与 合 法 用 户 活 动 相 融 合 ： 在 一 次 调 查 期 间 ， A P T 3 2 使 用 特 权 提 升 漏 洞 ( C V E - 2 0 1 6 - 7 2 5 5 ) 伪 装 成 W i n d o w s 补 丁 程 序 。 I 在 另 一 项 调 查 中 ， A P T 3 2 入 侵 了 M c A f e e   E p o 服 务 器 ， 将 其 恶 意 软 件 载 荷 作 为 所 有 系 统 推 送 由 E p o 服 务 器 专 有 S P I P E 协 议 分 发 的 软
件 部 署 任 务 。 A P T 3 2 还 使 用 隐 藏 或 非 打 印 字 符 来 帮 助 视 觉 上 伪 装 其 系 统 上 的 恶 意 软 件 。 例 如 ： A P T 3 2 安 装 一 个 后 门 作 为 持 久 服 务 ， 其 中 附 带 一 个 U n i c o d e 无 休 止 空 格 字 符 的 合 法 服 务 名 称 。 另 一 个 后 门 使 用 填 充 由 非 打 印 的 系 统 命 令 控 制 符 作 为 其 合 法 的 D L L 。 A P T 3 2 恶 意 软 件 和 服 务 器 恶 意 软 件 和 服 务 器       A P T 3 2 似 乎 拥 有 资 源 丰 富 的 开 发 E n g l i s h ， 并 且 使 用 多 套 定 制 的 多 协 议 后 门 。 A P T 3 2 操 作 者 的 特 征 表 现 在 部 署 包 括 W I N D S H I E L D ,   K O M P R O G O , S O U N D B I T E ,   和   P H O R E A L 特 征 在 内 的 恶 意 软 件 有 效 载 荷 。 A P T 3 2 经 常 部 署 这 些 后 门 以 及 商 业 出 售 的 C o b a l t   S t r i k e   B e a c o n 后 门 。 A P T 3 2 还 拥 有 M A C   O S 的 后 门 开 发 能 力 b a c k d o o r   d e v e l o p m e n t   c a p a b i l i t i e s   f o r   m a c O S 。         独 特 的 恶 意 软 件 套 件 功 能 如 表 3 表 3 ： A P T 3 2 恶 意 软 件 功 能 A P T 3 2 的 操 作 者 似 乎 资 源 充 足 和 受 到 支 持 的 ， 因 为 它 们 使 用 大 量 的 域 名 和 I P 地 址 作 为 控 制 服 务 器 。 F i r e E y e   I s i g h t   I n t e l l i g e n c e   M y S I G H T   P o r t a l 包 含 有 关 这 些 后 门 系 列 的 更 多 信 息 ， 这 些 信 息 基 于 M a n d i a n t 对 A P T 3 2 入 侵 的 调 查 。 图 6 提 供 了 一 个 A P T 3 2 工 具 和 技 术 映 射 到 整 个 攻 击 生 命 周 期 每 个 阶 段 的 摘 要 。      
图 6 :   A P T 3 2   攻 击 生 命 周 期 展 望 和 启 示 展 望 和 启 示 F i r e E y e 根 据 时 间 响 应 调 查 ， 产 品 检 测 和 情 报 观 察 以 及 相 关 运 营 商 的 其 他 出 版 物 ， 评 估 A P T 3 2 是 与 越 南 政 府 利 用 相 一 致 的 网 络 间 谍 组 织 。 A P T 3 2 对 私 营 部 门 利 益 的 定 位 是 值 得 注 意 的 ， F i r e E y e 认 为 ， 攻 击 者 对 该 国 进 行 业 务 或 准 备 投 资 的 公 司 构 成 重 大 风 险 。 虽 然 每 个 A P T 3 2 的 部 门 入 侵 的 动 机 有 所 不 同 ， 在 某 些 情 况 下 是 未 知 的 ， 未 经 授 权 的 访 问 （ 泛 指 入 侵 ） （ 竟 ） 可 作 为 执 法 部 门 ， 知 识 产 权 盗 窃 和 反 腐 败 措 施 的 平 台 。 最 终 可 能 腐 蚀 目 标 组 织 的 竞 争 优 势 。 此 外 A P T 3 2 继 续 威 胁 到 东 南 亚 和 全 球 公 共 部 门 的 政 治 活 动 和 言 论 自 由 。 各 国 政 府 ， 记 者 和 越 南 一 名 的 成 员 均 可 能 继 续 成 为 其 目 标 。 A P T 3 2   检 测 检 测 图 7 包 含 一 个 Y a r a 规 则 ， 可 用 来 识 别 与 A P T 3 2 的 钓 鱼 诱 骗 有 关 的 恶 意 宏 ： 图 7 ： A P T 3 2 恶 意 宏 的 Y a r a 规 则 表 4 包 含 F i r e E y e 与 A P T 3 2   C 2 相 关 联 的 服 务 器 样 本
表 4 ： A P T 3 2   C 2 服 务 器 样 本 最 后 ， 海 莲 花 对 我 国 的 政 府 单 位 ， 企 业 造 成 很 大 影 响 ， 很 多 时 候 我 们 总 以 为 A P T 离 我 们 很 远 ， 但 在 最 近 遇 到 的 D F I R 过 程 中 ， S k y E y e   L a b 和 安 天 发 布 的 报 告 中 已 经 对 关 于 海 莲 花 后 门 的 有 了 相 当 详 尽 的 分 析 。 当 然 样 本 也 很 多 ， 但 由 于 对 其 组 织 内 部 了 解 相 当 的 少 ， 造 成 很 长 时 间 对 其 组 织 的 分 析 和 定 位 都 相 当 模 糊 （ 譬 如 准 A P T 的 说 法 ） ， 本 文 暂 且 填 补 了 部 分 人 的 好 奇 心 ， 介 绍 了 某 国 的 决 心 。 。 。     如 F i r e E y e 所 说 的 相 关 日 志 和 P S 的 混 淆 基 本 不 会 给 你 任 何 线 索 ， 所 以 唯 有 寄 托 于 类 似 S I E M 的 平 台 进 行 关 联 回 溯 。 与 F i r e E y e 所 说 的 也 是 1 - 3 月 份 期 间 这 个 组 织 开 始 又 重 新 活 跃 了 起 来 ， 并 且 在 某 次 调 查 发 现 此 组 织 对 入 侵 的 该 国 习 俗 节 日 相 当 熟 悉 。 打 个 比 方 ， 在 某 次 异 常 流 量 发 生 的 过 程 中 集 中 在 1 月 2 6 日 ， 后 来 得 知 1 月 2 7 日 是 除 夕 放 假 。 。 。 并 且 常 常 掌 握 管 理 员 习 惯 ， 和 所 在 国 的 安 全 公 司 情 况 （ 比 如 安 全 人 员 经 常 会 使 用 A W V S ， 然 后 它 们 就 发 了 个 破 解 版 的 ， 然 后 你 就 中 招 了 ） ， 并 且 相 当 熟 悉 信 息 的 收 集 。 如 下 图 为 在 3 月 调 查 过 程 中 的 文 件 。
下 图 为 海 莲 花 利 用 r e g s v r 3 2 . e x e 下 载 并 加 载 i c o n 7 . g i f 后 门 的 过 程 。 此 目 的 用 于 绕 过 A p p l o c k e r 下 图 为 i c o n 7 . g i f 样 本 截 图 ， 并 调 用 S y s t e m . d l l 模 块 。 s h a 2 5 6 : 9 5 D F C C F 3 9 3 3 A 4 3 6 7 6 A 9 6 7 D E 3 9 A 8 A 6 C 1 2 9 7 7 2 9 8 3 6 E E A A 5 8 3 3 B 5 E E E 4 6 1 0 2 B 1 E 1 B B
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理