搜索

[11566] 2017-07-20_Vault7系列“阴影”项目曝光：雷神公司暗中为CIA提供恶意程序分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-07-20_Vault7系列“阴影”项目曝光：雷神公司暗中为CIA提供恶意程序分析 V a u l t   7 系 列 “ 阴 影 ” 项 目 曝 光 ： 雷 神 公 司 暗 中 为 C I A 提 供 恶 意 程 序 分 析 A n g e l a Y   F r e e B u f   2 0 1 7 - 0 7 - 2 0 本 周 三 （ 本 周 三 （ 7   月 月   1 9   日 ） ， 维 基 解 密 照 例 披 露 了 日 ） ， 维 基 解 密 照 例 披 露 了   C I A   V a u l t   7   系 列 文 件 ， 不 过 与 以 往 直 接 披 露 的 工 具 有 所 不 同 ， 这 系 列 文 件 ， 不 过 与 以 往 直 接 披 露 的 工 具 有 所 不 同 ， 这 次 主 要 披 露 的 是 次 主 要 披 露 的 是   C I A   的 的 “ 阴 影 ” （ U M B R A G E ） 项 目 以 及 ） 项 目 以 及   在 项 目 中 在 项 目 中   C I A   承 包 商 承 包 商   R a y t h e o n   B l a c k b i r d T e c h n o l o g i e s   作 出 的 详 细 恶 意 程 序 分 析 报 告 。 作 出 的 详 细 恶 意 程 序 分 析 报 告 。 R a y t h e o n   B l a c k b i r d   T e c h n o l o g i e s   的 前 身 是 美 国 大 型 国 防 合 约 商   R a y t h e o n （ 雷 神 公 司 ） 。 R a y t h e o n   于   2 0 1 4   年   1 1   月 收 购 了 网 络 安 全 公 司   B l a c k b i r d   T e c h n o l o g i e s ， 并 成 立 R a y t h e o n   B l a c k b i r d   T e c h n o l o g i e s ， 专 注 于 分 析 高 级 恶 意 软 件 和 T T P s （ 即   T a c t i c s 、 T e c h n i q u e s 、 P r o c e d u r e s ， 主 要 指 网 络 攻 击 的 策 略 、 技 术 与 过 程 ）   。 根 据 约 定 ， 这 家 公 司 向   C I A 提 供 已 经 发 现 的 一 些 的 恶 意 软 件 分 析 报 告 。 文 档 显 示 ， 2 0 1 4   年   1 1   月 到   2 0 1 5   年   9   月 期 间 ， R a y t h e o n   B l a c k b i r d T e c h n o l o g i e s   至 少 向   C I A   提 交 了 五 份 报 告 ， 这 些 分 析 报 告 都 是   C I A   U M B R A G E （ 阴 影 ） 项 目 的 一 部 分 。 之 前 维 基 解 密 所 泄 露 的   V a u l t   7   相 关 数 据 表 明 ， C I A   的   U M B R A G E   小 组 专 门 执 行   f a l s e   f l a g   行 动 行 动   （ 假 旗 行 动 ： 是 （ 假 旗 行 动 ： 是 隐 蔽 行 动 的 一 种 ， 指 通 过 使 用 其 他 组 织 的 旗 帜 、 制 服 等 手 段 误 导 公 众 以 为 该 行 动 由 其 他 组 织 所 执 行 的 行 动 ） 隐 蔽 行 动 的 一 种 ， 指 通 过 使 用 其 他 组 织 的 旗 帜 、 制 服 等 手 段 误 导 公 众 以 为 该 行 动 由 其 他 组 织 所 执 行 的 行 动 ） ， 进 而 隐 藏 攻 击 手 段 ， 对 抗 调 查 取 证 。 C I A   有 个 远 程 设 备 组 (   R e m o t e   D e v i c e s   B r a n c h   ) ， 这 个 小 组 维 护 一 个 网 络 攻 击 模 式 库 ， 该 模 式 库 搜 集 、 总 结 了 之 前 使 用 过 的 攻 击 方 式 和 技 术 ， 例 如   H a c k i n g   T e a m   事 件 中 泄 露 的 代 码 和 俄 罗 斯 使 用 的 技 术 。 拥 有 了 庞 大 数 量 的 模 式 库 之 后 ， 新 发 起 网 络 攻 击 时 ， 就 可 以 采 取 模 仿 ， 混 淆 等 多 种 战 术 ， 达 到 迷 惑 敌 人 ， 隐 藏 自 己 的 目 的 。 U M B R A G E   项 目 就 由 该 小 组 进 行 维 护 ， 项 目 中 收 录 了 多 种 恶 意 软 件 攻 击 技 术 ， 例 如 ： 键 盘 记 录 、 密 码 收 集 、 网 络 摄 键 盘 记 录 、 密 码 收 集 、 网 络 摄 像 头 捕 获 与 控 制 、 数 据 销 毁 、 持 久 性 感 染 、 提 权 、 隐 蔽 攻 击 、 反 杀 毒 软 件 像 头 捕 获 与 控 制 、 数 据 销 毁 、 持 久 性 感 染 、 提 权 、 隐 蔽 攻 击 、 反 杀 毒 软 件 等 等 。 2 0 1 7   年   7   月   1 9   日 ， 维 基 解 密 公 布   C I A   关 于 “ 阴 影 恶 意 软 件 功 能 模 块 库 ” 项 目 的 文 档 ， 文 档 来 自   C I A   承 包 商 R a y t h e o n   B l a c k b i r d   T e c h n o l o g i e s   ， 从   2 0 1 4   年   1 1   月   2 1   日 （ 就 在 R a y t h e o n   B l a c k b i r d   T e c h n o l o g i e s   公 司 成 立 后 的 第 三 周 ） 起 开 始 提 交 并 更 新 ， 到   2 0 1 5   年   9   月   1 1   日 才 停 止 。 这 些 文 档 主 要 涉 及   P o C   验 证 、 恶 意 软 件 攻 击 向 量 评 估 等 ， 其 中 一 部 分 参 考 资 料 来 自 一 些 安 全 公 司 或 安 全 研 究 员 所 发 布 的 关 于 网 络 攻 击 的 公 开 分 析 文 档 。 R a y t h e o n   B l a c k b i r d   T e c h n o l o g i e s   在   C I A   的 远 程 设 备 组 中 充 当 “ 技 术 侦 查 员 ” ， 分 析 已 被 发 现 的 恶 意 攻 击 ， 并 就   C I A   自 身 恶 意 软 件 的 进 一 步 利 用 和   P o C   开 发 提 供 建 议 。 当 然 ， 该 公 司 的 专 家 也 会 向 自 家 公 司 提 供   P o C   想 法 和 恶 意 软 件 攻 击 向 量 。 这 些 专 家 认 为 ， C I A   委 托 承 包 商 搜 集 恶 意 软 件 信 息 并 提 交 给 远 程 设 备 小 组 ， 主 要 是 为 了 协 助 该 小 组 开 发 、 提 升   C I A   自 己 的 网 络 攻 击 技 术 。
R a y t h e o n   提 交 给 提 交 给   C I A   的 五 份 报 告 简 介 ： 的 五 份 报 告 简 介 ： 报 告 报 告   1 在 这 份 报 告 中 ，   R a y t h e o n   的 研 究 员 详 细 分 析 并 记 录 了   H T T P B r o w s e r   R A T   变 种 ， 黑 客 组 织 “ 熊 猫 使 者 ” （ P A N D A E M I S S A R Y ）   曾 利 用 这 个   R A T   工 具 发 起 攻 击 。 新 的 变 种 出 现 于   2 0 1 5   年   3   月 ， 通 过 未 知 的 初 始 攻 击 向 量 展 开 攻 击 ， 主 要 目 的 是 捕 捉 、 搜 集 击 键 记 录 。 报 告 报 告   2 这 份 报 告 详 细 说 明 了 S A M U R A I   P A N D A   A P T   组 织 所 利 用 的   N f L o g   R A T （ 也 叫   I s S p a c e   ）   的 新 变 种 。 这 个 变 种 使 用 了   H a c k i n g   T e a m   的   F l a s h   0 - d a y   e x p l o i t ， 该   e x p l o i t   利 用   C V E - 2 0 1 5 - 5 1 2 2   漏 洞 ， 并 结 合   U A C   绕 过 技 术 ， 可 以 嗅 探 或 枚 举 代 理 凭 证 ， 进 而 绕 过   W i n d o w s   防 火 墙 。 同 时 ， 这 个 变 种 还 利 用   G o o g l e   A p p   E n g i n e   进 行     C 2     服 务 器 代 理 通 信 。 报 告 报 告   3 这 份 报 告 是 针 对 间 谍 工 具   “ R e g i n ”   的 深 度 分 析 。 R e g i n   最 初 于   2 0 1 3   年 发 现 ， 主 要 用 于 监 控 和 数 据 搜 集 ， 据 说 比 S t u x n e t   和   D u q u   更 加 复 杂 。 有 人 认 为 ， R e g i n   是   N S A   情 报 机 构 自 己 开 发 的 间 谍 工 具 。 研 究 人 员 最 早 于   2 0 1 3   年 检 测 到   R e g i n   的 活 动 ， 但 数 据 显 示 ， 早 在   2 0 0 8   年   R e g i n   就 已 经 很 活 跃 了 。 不 过 ， 大 多 数 人 默 认 目 前 版 本 的   R e g i n   起 源 于   2 0 1 3   年 。 R e g i n   的 模 块 架 构 很 有 特 色 ， 具 有 高 度 灵 活 性 ， 让 操 作 者 进 行 针 对 特 定 个 人 的 监 控 （ 定 制 化 特 点 ） 。 此 外 ， R e g i n   隐 蔽 性 好 ， 时 间 持 久 ， 有 一 部 分 攻 击 功 能 仅 通 过 常 驻 内 存 （ m e m o r y   r e s i d e n t ） 实 现 。 报 告 报 告   4 这 份 报 告 详 细 分 析 了   2 0 1 5   年 年 初 发 现 的 一 款     “ H a m m e r T o s s ”   恶 意 软 件 。 据 称 ， “ H a m m e r T o s s ”   是 俄 罗 斯 政 府 支 持 的 黑 客 所 开 发 的 恶 意 程 序 ， 自   2 0 1 4   年 年 末 就 开 始 活 动 。 “ H a m m e r T o s s ”   的 有 趣 之 处 在 于 它 的 架 构 。 它 可 以 利 用   T w i t t e r   账 号 、 G i t h u b   账 号 、 被 入 侵 的 网 站 、 基 本 隐 写 术 以 及 云 储 存 功 能 等 实 现   C 2   通 讯 ， 进 而 在 被 攻 击 的 目 标 系 统 中 执 行 命 令 。 报 告 报 告   5
这 份 报 告 详 细 分 析 了 信 息 窃 取 木 马   “ G a m k e r ” 。 “ G a m k e r ”   利 用 自 我 编 码 注 入 和   A P I   h o o k i n g   的 方 式 实 现 攻 击 。 2 0 1 5   年   8   月 ， V i r u s   B u l l e t i n   公 司 针 对 “ G a m k e r ”   给 出 了 长 达 三 页 的 详 细 技 术 分 析 ， 与 其 他 厂 商 给 出 的   3 0   多 页 的 分 析 相 比 ， 这 三 页 的 分 析 反 而 更 有 技 术 含 量 。 可 推 荐 继 续 关 注   V i r u s   B u l l e t i n ， 关 注 他 们 的 更 多 报 告 。 以 下 是 维 基 解 密 披 露 以 下 是 维 基 解 密 披 露   V a u l t   7   系 列 文 档 的 时 间 线 ， 详 细 报 道 可 以 点 击 关 键 词 超 链 接 进 行 阅 读 ： 系 列 文 档 的 时 间 线 ， 详 细 报 道 可 以 点 击 关 键 词 超 链 接 进 行 阅 读 ：   H i g h R i s e   -   拦 截   S M S   消 息 并 重 定 向 至 远 程   C I A   服 务 器 的 安 卓 恶 意 程 序 （ 2 0 1 7 . 7 . 1 3 ）   B o t h a n S p y   &   G y r f a l c o n   -   窃 取   S S H   登 录 凭 证 的 工 具 （ 2 0 1 7 . 7 . 6 ）   O u t l a w C o u n t r y   -   入 侵   L i n u x   系 统 的 工 具 （ 2 0 1 7 . 6 . 3 0 ）   E L S A   -     可 以 对   W i n d o w s   用 户 实 施 定 位 的 恶 意 软 件 （ 2 0 1 7 . 6 . 2 8 ）   B r u t a l   K a n g a r o o   -   入 侵 隔 离 网 络 的 工 具 （ 2 0 1 7 . 6 . 2 2 ）   C h e r r y B l o s s o m   -   入 侵   S O H O   无 线 路 由 器 的 工 具 （ 2 0 1 7 . 6 . 1 5 ）   P a n d e m i c   -   用 恶 意 程 序 代 替 合 法 文 件 的 工 具 （ 2 0 1 7 . 6 . 1 ）   A t h e n a   -   与 某 美 国 公 司 共 同 开 发 的 恶 意 软 件 框 架 （ 2 0 1 7 . 5 . 1 9 ）   A f t e r M i d n i g h t   a n d   A s s a s s i n   — —     W i n d o w s   恶 意 软 件 框 架 （ 2 0 1 7 . 5 . 1 2 ）   A r c h i m e d e s   — —   实 施 中 间 人 攻 击 的 工 具 （ 2 0 1 7 . 5 . 5 ）     S c r i b b l e   — —   O f f i c e   文 档 追 踪 工 具 （ 2 0 1 7 . 4 . 2 8 ）   W e e p i n g   A n g e l   — — 入 侵   S a m s u n g   智 能 电 视 的 工 具 （ 2 0 1 7 . 4 . 2 1 ）   H I V E — —   多 平 台 入 侵 植 入 和 管 理 控 制 工 具 （ 2 0 1 7 . 4 . 1 4 ）   G r a s s h o p p e r   — —   W i n d o w s   恶 意 软 件 生 成 器 ( 2 0 1 7 . 4 . 7 )       M a r b l e   F r a m e w o r k   — —   秘 密 反 监 识 框 架 （ 2 0 1 7 . 3 . 3 1 ）   D a r k   M a t t e r   — —   入 侵   i P h o n e   和   M a c   的 工 具 （ 2 0 1 7 . 3 . 2 3 ） * 参 考 来 源 ： T H N   ， s e c u r i t y a f f a i r s   等 ， A n g e l a Y   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理