搜索

[12537] 2018-04-01_解读NSA对APT组织的透视

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-04-01_解读NSA对APT组织的透视 解 读 N S A 对 A P T 组 织 的 透 视 t e m p e s t   F r e e B u f   2 0 1 8 - 0 4 - 0 1 0 0 x 0   前 言 前 言 近 日 ， 近 日 ， C r y S y S 实 验 室 和 实 验 室 和 U k a t e m i 联 合 发 布 了 一 份 安 全 报 告 。 研 究 人 员 基 于 联 合 发 布 了 一 份 安 全 报 告 。 研 究 人 员 基 于 “ 影 子 经 纪 人 影 子 经 纪 人 ” 泄 漏 的 泄 漏 的 N S A 数 据 ， 发 现 数 据 ， 发 现 了 代 号 为 了 代 号 为 “ 领 土 争 端 领 土 争 端 ” （ （ T e r d i t o r i a l   D i s p u t e ， 简 称 ， 简 称 T e D i ） 的 ） 的 N S A 小 组 。 这 份 报 告 显 示 ， 小 组 。 这 份 报 告 显 示 ， N S A 在 进 行 入 侵 行 动 的 在 进 行 入 侵 行 动 的 同 时 ， 也 会 在 攻 击 目 标 上 检 测 其 他 同 时 ， 也 会 在 攻 击 目 标 上 检 测 其 他 A P T 组 织 的 痕 迹 ， 以 避 免 多 个 黑 客 组 织 在 同 一 攻 击 目 标 上 互 相 争 斗 ， 最 小 化 组 织 的 痕 迹 ， 以 避 免 多 个 黑 客 组 织 在 同 一 攻 击 目 标 上 互 相 争 斗 ， 最 小 化 N S A 行 动 泄 漏 的 风 险 。 除 此 之 外 ， 分 析 人 员 还 在 泄 露 的 数 据 中 发 现 了 其 他 的 信 息 ， 进 一 步 揭 示 了 行 动 泄 漏 的 风 险 。 除 此 之 外 ， 分 析 人 员 还 在 泄 露 的 数 据 中 发 现 了 其 他 的 信 息 ， 进 一 步 揭 示 了 N S A 内 部 的 风 内 部 的 风 险 控 制 行 为 。 本 人 对 该 安 全 报 告 进 行 了 翻 译 ， 将 主 要 部 分 分 享 给 大 家 ， 限 于 自 身 水 平 ， 难 免 有 很 多 不 妥 之 处 ， 险 控 制 行 为 。 本 人 对 该 安 全 报 告 进 行 了 翻 译 ， 将 主 要 部 分 分 享 给 大 家 ， 限 于 自 身 水 平 ， 难 免 有 很 多 不 妥 之 处 ， 欢 迎 各 位 指 出 。 欢 迎 各 位 指 出 。 0 0 x 1   报 告 结 构 报 告 结 构 0 0 x 2   报 告 主 要 内 容 报 告 主 要 内 容 一 、 介 绍 一 、 介 绍 本 报 告 是 基 于 “ 影 子 经 纪 人 ” 泄 漏 的 部 分 特 定 数 据 完 成 的 。 这 个 自 称 “ 影   子 经 纪 人 ” 的 未 知 组 织 泄 漏 了 他 们 数 次 从   N S A 窃 取 数 据 的 信 息 。 相 关 内 容 可 以 参 见 维 基 百 科 （ h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / T h e _ S h a d o w _ B r o k e r s ） 。 在 第 五 次 泄 漏 的 资 料 中 包 含 了 一 些 让 人 非 常 感 兴 趣 的 模 块 ， 这 部 分 资 料 被 称 为 “ 领 土 争 端 ” 。 这 次 泄 漏 的 数 据 被 普 遍 认 为 是 从 美 国 国 家 安 全 局   N S A   窃 取 的 ， 因 此 我 们 将 源 头 映 射 为   N S A ， 虽 然 我 们 对 此 没 有 证 据 ， 但 是 我 们 不 会 对 可 能 的 归 属 问 题 作 进 一 步 的 讨 论 。 这 次 泄 漏 的 数 据 不 是 单 一 的 工 具 集 ， 在 泄 漏 资 料 中 的 至 少 有 两 种 不 同 的 工 具 集 出 现 部 分 的 重 复 。 然 而 ， 目 标 是 清 楚 的 。 这 些 工 具 被 操 作 人 员 用 来 扫 描 被 攻 击 的 计 算 机 （ N S A   的 攻 击 目 标 ） ， 来 检 查 攻 击 目 标 是 否 已 经 被 外 部 黑 客 入 侵 （ 国 家 背 景 的 定 向 攻 击 组 织 ） 。 假 如 外 部 的 攻 击 被 检 测 到 ， 操 作 人 员 会 被 要 求 特 别 注 意 （ 在 一 些 相 关 的 情 况 下 ， 措 辞 是 “ 请 后 退 ” 或 者 请 求 上 级 的 建 议 ） 。 本 次 泄 漏 数 据 的 规 模 巨 大 ， 其 中 有 数 十 种 不 同 的 工 具 和 模 块 ， 它 们 大 部 分 被 用 来 进 行 感 染 计 算 机 、 检 索 数 据 和 其 他 类 似 的 行 为 。 但 是 其 中 有 一 些 工 具 被 设 计 用 来 获 取 被 攻 击 计 算 机 的 一 般 性 知 识 ， 特 别 是 已 经 安 装 的 软 件 、 安 全 软 件 和 恶 意 软 件 。 虽 然 在 泄 漏 数 据 中 其 他 的 一 些 部 分 ， 攻 击 者 （ N S A ） 在 寻 找 传 统 网 络 犯 罪 软 件   （ 恶 意 软 件 ） 攻 击 的 迹 象 ， 但 是 “ 领 土
争 端 ” 部 分 才 是 最 让 人 感 兴 趣 的 。 我 们 相 信 他 们 有 着 相 同 的 目 标 ： 避 免 黑 客 组 织 之 间 的 争 斗 ， 最 小 化 政 府 组 织 的 攻 击 行 为 被 检 测 的 风 险 。 然 而 ， 我 们 专 注 于   A P T   检 测 信 息 的 工 作 会 帮 助 理 解 这 一 切 ， N S A   对 于 外 国 政 府 定 向 攻 击 组 织 都 知 道 些 什 么 。 细 节 细 节 这 些 被   N S A   用 来 在 目 标 计 算 机 上 发 现 其 他 第 三 方 黑 客 组 织 （ 政 府 角 色 ） 的 工 具 和 脚 本 是 非 常 简 单 的 。 他 们 检 查 特 定 的 文 件 、 w i n d o w s   注 册 表 条 目 和 其 它 标 记 的 存 在 ， 这 些 可 以 表 明 外 部 攻 击 者 （ 定 向 的 、 国 家 背 景 的 黑 客 ） 在 真 实 计 算 机 上 的 存 在 。 这 些 检 查 在 安 全 界 被 视 为   I o C ， 即 违 规 指 标 。 对 于 一 个   A P T   攻 击 我 们 通 常 可 以 定 义 数 十 或 数 百 个   I o C ， 但 是   N S A   的 工 具 通 常 只 包 含 少 数 的   I o C ， 大 约   1 - 5   个 ， 这 非 常 奇 怪 。 为 什 么 他 们 会 信 任 由 如 此 封 闭 的 指 标 集 合 得 到 的 信 息 ， 而 不 是 通 过 多 重 的 实 验 来 扩 大 它 呢 ？ 一 般 来 说 ， 如 果 我 们 发 现 了 一 个 恶 意 软 件 ， 并 向 寻 找 类 似 的 恶 意 软 件 ， 我 们 会 尝 试 定 义   5 - 1 0   个 ，   甚 至 更 多 不 同 的 特 征 、 签 名 来 检 测 类 似 的 攻 击 。 然 后 ， 特 征 将 被 固 定 下 来 ， 如 果 在 样 例 中 发 现   1 0   特 征 中 的   6   个 ， 搜 索 工 具 应 该 只 标 注 那 些 重 要 的 部 分 。 同 样 可 以 代 表 被 感 染 的 计 算 机 的 特 征 ： 一 个 单 一 的 注 册 表 键 值 或 者 存 在 一 个 名 为 某 种 名 称 （ 例 如   i p f i l t e r . d l l ） 的 单 一 文 件 ， 基 于 这 类 特 征 来 进 行 检 测 可 能 并 不 是 一 个 好 主 意 。 但 是 ， 正 如 我 们 所 提 到 的 ， “ 领 土 争 端 ” 检 测 非 常 有 限 数 量 的   I o C 。 一 个 无 关 紧 要 的 解 释 是 虽 然 他 们 可 能 有 更 多 的 信 息 和 想 法 用 于 检 测 ， 但 是 他 们 利 用 这 个 过 程 给 操 作 人 员 尽 可 能 少 的 信 息 。 泄 漏 工 具 的 操 作 人 员 可 以 检 查 源 代 码 ， 因 此 他 们 可 以 检 查 内 部 的   I o C 。 所 以 ， 操 作 人 员 有 机 会 发 现 关 于 攻 击 的 线 索 。   但 是 一 旦 操 作 人 员 可 以 查 明   S I G 8   是 针 对 伊 朗 核 计 划 的 攻 击 ， 谁 应 该 如 何 通 知 他 保 守 秘 密 ？ 这 是 避 免 这 类 情 况 发 生 的 一 个 好 的 主 意 ： 限 制 可 用 的 信 息 ， 尽 可 能 减 少 工 具 中 的   I o C   的 数 量 。 不 过 ， 这 里 有 一 个 问 题 ， 如 果   N S A   可 能 也 参 与 震 网 病 毒 之 中 ， 那 为 什 么 震 网 病 毒 被 列 为 外 部 攻 击 （ 如 果 这 些   S I G   只 代 表 来 自 外 部 的 定 向 攻 击 ） ？   震 网 病 毒 有 可 能 非 常 的 隐 蔽 ， 以 至 于 在   N S A   中 只 有 极 少 数 的 人 知 情 ， 并 且 他 们 真 的 将 他 们 自 己 的 攻 击 错 误 地 归 类 为 外 部 黑 客 组 织 ， 由 此 导 致 震 网 病 毒 是 外 部 组 织 攻 击 列 表 的 一 部 分 。 发 现 的 命 名 规 则 也 反 应 了 这 一 事 实 。 所 有 的 这 些 检 测 都 被 称 为   S I G X ， 其 中   X   表 示   1 - 4 5 。 操 作 人 员 不 应 该 知 道 操 作 的 名 称 ， 他 们 应 该 是 根 据 计 划 处 理 情 况 。 如 前 所 述 ， “ 检 测 引 擎 ” ， 即   I o C   扫 描 工 具 是 非 常 简 单 的 ， 它 们 只 寻 找 极 少 数 的 指 标 ， 并 且 发 现 一 些 外 部 敌 人 的 感 染 不 是 不 可 能 的 ， 但 是 它 们 不 能 检 测 其 他 入 侵 者 。 这 是 一 个 非 常 奇 怪 的 决 定 ， 但 是 也 许 在 组 织 内 部 他 们 已 经 做 了 风 险 分 析 并 显 示 存 在 外 部 组 织 可 以 窃 取 、 使 用 或 者 泄 露 相 关 信 息 的 风 险 。 攻 击 者 可 能 会 认 为 限 制   I o C s   在 他 们 的 工 具 中 的 出 现 来 降 低 风 险 是 一 个 好 主 意 。 二 、 二 、 I o C 、 扫 描 器 和 公 开 信 息 、 扫 描 器 和 公 开 信 息 从 这 次 泄 漏 的 资 料 中 ， 我 们 可 以 提 取 出   I o C   信 息 （ 违 规 指 标 或 者 用 正 常 的 措 辞 来 说 是 他 们 寻 找 的 东 西 ） 。 但 是 “ 领 土 争 端 ” 模 块 寻 找 定 向 的   A P T   攻 击 ， 并 且 这 里 有 大 量 的 公 开 信 息 已 经 揭 露 的 定 向 攻 击 。 该 模 块 包 含 我 们 已 经 熟 知 的 样 本 的 检 测 ，   正 如   B M E   C r y S y s   实 验 室 揭 露 的   D u q u   攻 击 。 C r y S y s   实 验 室 进 行 了   M i n i D u k e 、 T e a m S p y 、 D u q u 2   或 其 他 方 面 的 工 作 。   由 于 安 全 专 业 人 员 在 有 限 范 围 的 情 况 下 发 现 了 一 系 列 有 关   A P T   攻 击 的 公 开 信 息 ， 因 此 在 情 报 社 区 必 定 有 大 量 关 于 相 同 攻 击 的 信 息 。 本 次 泄 漏 可 以 揭 示 公 开 信 息 与 其 他 组 织 之 间 的 差 距 （ 公 开 信 息 是 指 通 过 安 全   社 区 发 布 的 出 版 物 ， 这 主 要 是 反 病 毒 公 司 的 贡 献 ， 以 及 像 我 们   B M E   C r y S y S   这 样 的 研 究 实 验 室 ） ， 并 且 可 以 揭 示 这 些 组 织 之 间 知 识 差 异 的 大 小 。 大 约   2 0   年 之 后 才 知 道 有 多 少 数 学 专 家 被 国 家 安 全 局 聘 用 ， 后 来 据 了 解 ， 国 家 安 全 局 至 少 比 目 前 公 开 的 密 码 研 究 成 果 先 进   1 0   年 。 但 是 ， N S A （ 和 其 他 组 织 ） 收 集 有 关   A P T   攻 击 的 信 息 的 领 先 的 程 度 还 不 明 晰 。 这 次 泄 漏 的 资 料 帮 助 我 们 揭 示 在 时 间 轴 上   N S A   如 何 找 到 攻 击 者 的 痕 迹 以 及 公 开 的 信 息 在 相 同 攻 击 中 的 可 用 性 。 请 注 意 ， 互 联 网 上 所 有 类 型 的 利 益 相 关 者 近 一 年 都 可 以 看 到 本 次 泄 漏 的 数 据 ，   因 此 本 报 告 不 会 为 大 多 数 政 府 机 构 增 添 新 信 息 ， 因 此 我 们 认 为 这 不 会 影 响 任 何 国 家 的 安 全 。 但 是 ， 在 公 众 层 面 对 情 况 的 普 遍 理 解 对 于 避 免 混 淆 并 帮 助 公 众 就 政 府 机 构 的 程 序 作 出 民 主 决 定 是 至 关 重 要 的 。 相 比 之 下 ， 人 们 可 以 预 期 ， 如 果 基 于 泄 漏 信 息 ， 以 前 未 知 的   A P T   攻 击 可 能 已 经 被 揭 露 ， 甚 至 一 些 仍 在 使 用 零 日 漏 洞 的   A P T   事 件 也 可 能 已 经 由 专 业 人 员 根 据 本 次 泄 漏 的 数 据 来 识 别 。 此
外 ， 这 是 一 个 疑 问 ， 不 公 开 这 些 由 政 府 机 构 发 现 的 能 帮 助 避 免 进 一 步 攻 击 的   A P T   信 息 是 否 是 一 个 好 主 意 。 当 然 ， 共 享 有 关 正 在 进 行 的 攻 击 的 信 息 是 可 以 进 行 辩 论 的 。 首 先 ， 共 享 信 息 可 能 会 影 响 攻 击 者 ， 使 其 改 变 策 略 和 工 具 ， 因 此 机 构 不 能 继 续 密 切 观 察 他 们 的 活 动 。 此 外 ， 过 多 的 揭 露 可 能 促 使 其 他 政 府 通 过 建 立 类 似   N S A   的 能 力 来 处 理 类 似 的 攻 击 。 最 后 ， 分 析 共 享 的 利 弊 可 能 会 对 隐 藏 信 息 产 生 积 极 的 影 响 ， 因 为 隐 藏 信 息 应 该 是 这 些 组 织 的 默 认 策 略 。 三 、 工 作 方 法 三 、 工 作 方 法 我 们 工 作 的 目 标 是 提 高 大 家 对 这 个 主 题 的 兴 趣 ， 并 帮 助 其 他 研 究 人 员 对 结 果 进 行 研 究 。 这 意 味 着 ， 我 们 无 法 检 查 那 些 由 泄 漏 数 据 中 的   4 5   个   I o C   产 生 的 成 千 上 万 的 痕 迹 。 我 们 试 图 在 最 初 的 信 息 之 后 更 进 一 步 ， 并 通 过 分 享 这 份 报 告 来 开 展 研 究 ， 以 扩 大 成 果 。 对 于 一 些 已 知 的   A P T   攻 击 ， 这 些 发 现 可 以 扩 展 相 关 知 识 ， 例 如 ， 通 过 向   S t u x n e t 攻 击 添 加 新 的 已 知 内 核 驱 动 程 序 的 名 称 。 对 于 一 些 攻 击 来 说 ， 目 前 只 有 很 少 的 信 息 可 以 公 开 发 布 ， 但 基 于   I o C   的 恶 意 软 件 样 本 ， 可 能 会 发 现 更 多 信 息 ， 并 且 可 以 增 加 相 关 的 公 共 知 识 ，   尽 管 关 于 受 害 者 的 信 息 不 太 可 能 被 揭 露 。 对 于 一 些 攻 击 来 说 ， 一 些 额 外 的   I o C   可 以 用 来 揭 露 这 些 攻 击 。 因 为 这 些 痕 迹 在 之 前 是 不 可 用 的 ， 这 也 导 致 了 之 前   A P T   研 究 会 以 非 常 短 的 报 告 结 束 ， 其 中 声 明 “ X Y   用 这 种 攻 击 作 为 有 针 对 性 的 攻 击 ， 从 现 在 开 始 我 们 称 其 为   W “ ， 就 像 新 闻 报 道 一 样 。 在 一 些   I o C   中 ， 我 们 从 来 没 有 过 任 何 关 于 针 对 性 的 攻 击 （ A P T ） 分 类 的 公 共 知 识 。 根 据 目 前 得 到 的 结 果 ， 一 些 攻 击 、 样 本 甚 至 数 百 个 样 本 将 被 识 别 为 以 前 一 些 未 知 或 部 分 未 知 的   A P T   攻 击 的 一 部 分 。 最 初 我 们 试 图 从 传 统 的 开 源   O P S E C   资 源 收 集 信 息 ， 例 如 谷 歌 搜 索 。 我 们 还 尝 试 通 过 把   Y a r a   规 则 应 用 于 我 们 的 恶 意 软 件 库 来 收 集 信 息 ， 该 库 由 至 少   1 5 0   T B   的   已 知 恶 意 二 进 制 文 件 组 成 。 当 然 ， 来 自 一 个 源 的 信 息 是 从 以 前 的 结 果 中 找 到 更 多 信 息 的 基 础 ;   因 此 我 们 会 继 续 跟 踪 这 些 痕 迹 。 然 而 ， 这 信 息 集 太 广 泛 了 ， 我 们 绝 对 不 认 同 “ 广 泛 的 研 究 ” 或   “ 充 分 研 究 ” 这 样 的 标 签 ， 我 们 工 作 的 部 分 是 在 做 “ 初 步 研 究 ” 。 在 文 档 的 其 余 部 分 ， 我 们 主 要 发 布 链 接 ， 短 信 息 和 哈 希 值 。 这 意 味 着 ， 我 们 可 能 会 公 布 下 一 步 的 步 骤 ， 推 测 攻 击 的 来 源 以 及 所 有 可 以 帮 助 他 人 进 一 步 研 究 的   其 他 信 息 。 我 们 不 认 为 我 们 能 够 或 本 来 可 以 根 据 现 有 事 实 制 作 出 最 好 的 文 档 ， 所   以 如 果 任 何 人 在 这 方 面 做 出 努 力 ， 并 通 过 他 们 的 成 果 扩 大 公 共 知 识 ， 我 们 会 非 常 感 谢 。 因 此 ， 我 们 很 乐 意 帮 助 他 人 在 我 们 的 工 作 上 发 布 他 们 的 拓 展 。   目 前 的 文 档 计 划 向 专 业 人 士 分 享 信 息 。 因 此 ， 除 了 公 开 信 息 （ 多 种 类 型 ） 之 外 ， 样 本 的 哈 希 值 也 包 含 在 结 果 中 。 这 些 哈 希 可 能 是 部 分 可 用 的 ， 我 们 并 不 清 楚   这 些 发 现 的 样 本 是 否 确 实 与 攻 击 有 关 。 工 具 工 具 “ 领 土 争 端 ” 的 相 关 工 具 和 其 他   A P T   相 关 信 息 可 以 在 “ 影 子 经 纪 人 ” 泄 漏 的 以 下 文 件 和 目 录 中 找 到 ： 目 录   w i n d o w s R e s o u r c e s T e D i P y S c r i p t s 含 有 许 多 文 件 。 其 中 三 个 是 实 用 脚 本 ， 而 最 有 趣 的   p y t h o n   程 序 是   s i g s . p y ， 它 包 含 非 常 简 单 的 “ 签 名 ” （ 命 名   为   S I G 1 - S I G 4 5 ） ， 它 与 最 近 几 年 已 知 和 未 知 的   A P T   活 动 相 关 联 。 该 文 件 中 的 各 个 子 例 程 是   f i n d _ 0 1   到   f i n d _ 4 5 。
例 如 ， f i n d _ 0 8   与   S t u x n e t   攻 击 相 关 ， 作 为 示 例 ， 子 例 程 非 常 简 单 和 简 短 ： 一 段 代 码 可 以 解 析 缩 写 ， ’ T e D i ’ 到   T e r r i t o r i a l   D i s p u t e ， 即 领 土 争 端 ： 除   T e D i   扫 描 器 外 ， 其 他 一 些 文 件 还 包 含 与 有 针 对 性 攻 击 有 关 的 重 要 信 息 。   另 一 个 目 录 w i n d o w s R e s o u r c e s E p S c r i p t s m a l f i n d   包 含 用 于 扫 描   A P T   攻 击 迹 象 和 提 取 信 息 的 单 独 工 具 ： 例 如 ， 我 们 发 现   S I G 2 5   很 可 能 是 被 称 为 “ D a r k   H o t e l ” 的   A P T   攻 击 。 相 关 的 扫 描 工 具 是 一 个 非 常 简 单 的 脚 本 ：
正 如 我 们 所 看 到 的 ， 该 脚 本 在 特 定 $ d o c s a n d s e t t i n g s $ s u b k e y A p p l i c a   t i o n   D a t a w i n v e r 3 2 . e x e 路 径 中 查 找 文 件 “ w i n v e r 3 2 . e x e ” 是 否 存 在 。 有 趣 的 是 ， 使 用 谷 歌 搜 索   w i n v e r 3 2 . e x e   和   D a r k   H o t e l   之 间 的 联 系 ， 目 前 没 有 显 示 任 何 相 关 的 信 息 ， 所 以 这 个 链 接 关 系 可 能 是 基 于 泄 露 信 息 的 新 发 现 。 相 关 的 “ g e t ” 信 息 收 集 脚 本 也 很 有 趣 。   例 如 ， 与   S t u x n e t （ S I G 8 ） 相 关 的 脚 本 包 含 以 下 文 件 名 ： 如 果 在 目 标 上 找 到 一 个 文 件 ， 操 作 员 可 能 会 决 定 获 取 该 文 件 的 副 本 。 （ 请 注 意   “ D r o p b o x A P I ” 调 用 ， 这 很 可 能 是 文 件 传 输 的 通 道 ） 。 相 关 代 码 ：
另 一 个 用 于 扫 描 的 工 具 使 用 带 定 义 的 外 部 文 件 来 查 找 相 关 的   S I G ： w i n d o w s   /   R e s o u r c e s   /   E p   /   S c r i p t s   /   i f t h e n   / g w d e f _ o t h e r _ p e e p s . t x t   包 含 大 多 数 相 同 的 检 测 规 则 ， 但 格 式 不 同 。 工 具 的 截 图 示 例 ： 文 件   D r i v e r L i s t . d b   ( w i n d o w s R e s o u r c e s O p s D a t a b a s e s D r i v e r L i s t . d b ) ，   包 含 与   A P T   攻 击 相 关 的 驱 动 程 序 列 表 ， 以 及 防 病 毒 产 品 驱 动 程 序 ， 硬 件 驱 动 程 序 和 一 些 有 趣 的 信 息 ， 例 如 ： 有 关   N S A   的 相 关 攻 击 工 具 的 信 息 ， 其 中 包 含 针 对 操 作 人 员 的 备 注 / 命 令 。   一 个 文 本 格 式 的 相 似 文 件 可 以 在   w i n d o w s R e s o u r c e s   O p s D a t a d r v _ l i s t . t x t   中 找 到 ， 并 且 可 以 在   w i n d o w s R e s o u r c e s E p d r v _ l i s   t . t x t   发 现 复 制 文 件 。 驱 动 程 序 列 表 最 有 可 能 包 含 已 知 的   W i n d o w s   内 核 驱 动 程 序 ， 并 且 注 释 显 示 出 与 某 些   A P T   攻 击 的 关 联 。 例 如 ， 似 乎 “ b i o s f i x ” 和 “ b i t c h e c k ” 可 能 与   S I G 2 5   A P T   攻 击 有 关 。 从 指 标 来 看 ， 我 们 认 为   S I G 2 5   是 被 称 为 “ D a r k   H o t e l ” 的   A P T 攻 击 。 有 关 于 自 己 的 工 具 的 注 释 ： “ m s c n s p ” ， “ * * *   F O R M A L R I T E   /   U N I T E D R A K E   * * * ”
  “ m s c o r e e p ” ， “ * * *   F O G G Y B O T T O M   /   U N I T E D R A K E   * * * ”   和 其 他 有 趣 的 注 释 ： “ m s f c v r 3 2 ” ， “ * * * 危 险 的 恶 意 软 件   –   尽 快 寻 求 帮 助 ”   “ m s r s f l e r ” ， “ * * * 未 知   –   请 撤 回 * * * ”   “ w m i a p v r r ” ， “ * * * 友 好 的 工 具   –   尽 快 寻 求 帮 助 ”   “ b s d n f s ” ， “ * * * 立 即 寻 求 帮 助 * * * ”   更 多 类 似 的 注 释 可 以 在 本 文 的 末 尾 找 到 。 S I G   标 记 的 攻 击 和 时 间 线 汇 总 表 标 记 的 攻 击 和 时 间 线 汇 总 表
四 、 详 细 内 容 四 、 详 细 内 容 本 部 分 是 所 有 S I G 1 - 4 5 的 I o C 、 类 型 方 法 、 相 关 信 息 等 ， 限 于 篇 幅 ， 就 不 一 一 张 贴 于 此 。 本 部 分 可 翻 译 的 部 分 也 不 多 ， 详 情 可 以 参 阅 报 告 原 文 。 例 如 ， 下 面 是 S I G 1 的 详 细 内 容 。 这 可 能 是   A g e n t . B T Z ， 这 是 一 个 与   W a t e r b u g / T u r l a   组 织 有 关 的 旧 式 的 攻 击 ，   一 般 认 为 其 是 俄 罗 斯 的 黑 客 组 织 。 请 使 用 哈 希 值 列 表 检 查 每 个 文 件 。 注 意 ， 应 该 会 有 很 多 假 阳 性 。 五 、 在 恶 意 软 件 库 中 找 到 的 相 关 示 例 五 、 在 恶 意 软 件 库 中 找 到 的 相 关 示 例 我 们 根 据   S I G   检 测 结 果 制 定 了   Y a r a   规 则 ， 并 对 我 们 的 恶 意 软 件 库 进 行 了 扫 描 。 该 数 据 库 包 含 约   1 5 0   T B   的 恶 意 软 件 样 本 。 完 成 扫 描 过 程 后 ， 收 集 了 大 约   2 9   万 个 恶 意 软 件 样 本 。 其 中 许 多 显 然 是 误 报 ， 例 如 字 符 串   a d o b e . d l l   可 以 在 数 千 个 样 本 中 找 到 。 我 们 使 用 的   y a r a   规 则 是 基 于   I o C   的 。 但 是 ， 由 于 恶 意 软 件 样 本 不 会 包 含 整 个 路 径 ， 因 此 我 们 不 得 不 将   I o C   转 换 为 一 些 可 能 在 恶 意 二 进 制 文 件 中 找 到 的 字 符 串 。 我 们 试 图 清 理 那 些 似 乎 很 可 能 是 误 报 的 结 果 。 最 后 ， 我 们 收 集 了   5 1 6 2   个 可 能 相 关 的 样 本 。 下 表 显 示 了 此 方 法 为 每 个 S I G   找 到 的 可 能 的 相 关 哈 希 值 。
请 注 意 ， 该 列 表 并 不 包 含 每 次 攻 击 的 所 有 已 知 样 本 （ 例 如 ， S t u x n e t   中 存 在 成 千 上 万 个 已 知 文 件 ） ， 它 只 包 含 那 些 包 含 S h a d o w   B r o k e r s   泄 漏 中 已 知 的   I o C s   的 样 本 。 这 些 文 件 中 的 很 多 文 件 可 能 仍 然 是 误 报 ， 但 是 仍 然 有 少 数 几 个 文 件 可 用 于 以 前 未 知   A P T   活 动 的 启 动 详 细 调 查 并 找 到 其 他 的 踪 迹 。 带 有 一 些 基 本 标 签 的 完 整 哈 希 列 表 附 加 在 文 本 文 件 中 以 便 于 使 用 。 这 些 标 签 来 自   Y a r a   匹 配 规 则 ， 相 关 信 息 参 见 ： h t t p s : / / g i t h u b . c o m / N e o 2 3 x 0 / s i g n a t u r e b a s e 。 六 、 来 自 六 、 来 自 D r i v e L i s t . d b 的 有 趣 的 驱 动 程 序 的 有 趣 的 驱 动 程 序 文 件   d r i v e r l i s t . d b   包 含 一 个   W i n d o w s   内 核 驱 动 文 件 列 表 ， 对 于 一 些 驱 动 文 件 附 有 非 常 有 意 思 的 注 释 。 何 时 寻 求 帮 助 何 时 寻 求 帮 助   W h e n   t o   s e e k   h e l p 在 某 些 情 况 下 ， 操 作 人 员 被 要 求 寻 求 帮 助 ：
何 时 撤 退 何 时 撤 退   W h e n   t o   p u l l   b a c k 在 一 些 情 况 下 ， 操 作 人 员 被 要 求 撤 退 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理