搜索

[13043] 2018-08-09_俄罗斯400多家工业企业遭遇网络钓鱼攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-08-09_俄罗斯400多家工业企业遭遇网络钓鱼攻击 俄 罗 斯 4 0 0 多 家 工 业 企 业 遭 遇 网 络 钓 鱼 攻 击 H y d r a l a b   F r e e B u f   2 0 1 8 - 0 8 - 0 9 概 要 概 要 卡 巴 斯 基 实 验 室 （ 卡 巴 斯 基 实 验 室 （ K a s p e r s k y   L a b ） ） I C S   C E R T 发 现 了 一 系 列 带 有 恶 意 附 件 的 网 络 钓 鱼 电 子 邮 件 ， 主 要 针 对 的 发 现 了 一 系 列 带 有 恶 意 附 件 的 网 络 钓 鱼 电 子 邮 件 ， 主 要 针 对 的 是 与 工 业 生 产 相 关 的 企 业 和 机 构 。 网 络 钓 鱼 电 子 邮 件 伪 装 成 合 法 的 商 业 邀 请 函 ， 主 要 被 发 送 给 位 于 俄 罗 斯 的 工 是 与 工 业 生 产 相 关 的 企 业 和 机 构 。 网 络 钓 鱼 电 子 邮 件 伪 装 成 合 法 的 商 业 邀 请 函 ， 主 要 被 发 送 给 位 于 俄 罗 斯 的 工 业 企 业 ， 且 每 一 封 电 子 邮 件 的 内 容 都 与 目 标 收 件 人 所 从 事 的 工 作 有 很 大 的 相 关 性 。 业 企 业 ， 且 每 一 封 电 子 邮 件 的 内 容 都 与 目 标 收 件 人 所 从 事 的 工 作 有 很 大 的 相 关 性 。 根 据 我 们 收 集 到 的 数 据 ， 这 一 系 列 攻 击 开 始 于 2 0 1 7 年 1 1 月 ， 且 目 前 仍 在 进 行 中 。 值 得 注 意 的 是 ， 早 在 2 0 1 5 年 就 已 经 有 类 似 攻 击 的 记 录 。 这 些 攻 击 中 使 用 的 恶 意 软 件 安 装 了 合 法 的 远 程 管 理 软 件 — — T e a m V i e w e r 或 R e m o t e   M a n i p u l a t o r   S y s t e m / R e m o t e U t i l i t i e s （ R M S ） ， 这 使 攻 击 者 能 够 远 程 控 制 受 感 染 的 系 统 。 另 外 ， 攻 击 者 还 使 用 了 各 种 技 术 来 掩 盖 系 统 被 安 装 在 系 统 中 的 恶 意 软 件 的 感 染 和 活 动 。 根 据 现 有 数 据 ， 攻 击 者 的 主 要 目 标 是 从 受 害 企 业 的 帐 户 中 窃 取 资 金 。 在 攻 击 者 连 接 到 受 害 者 的 计 算 机 之 后 ， 他 们 会 搜 索 并 分 析 采 购 文 档 ， 以 及 其 使 用 的 财 务 和 会 计 软 件 。 在 此 之 后 ， 攻 击 者 会 寻 找 各 种 方 法 来 实 施 财 务 欺 诈 ， 例 如 伪 造 用 于 付 款 的 银 行 信 息 。 在 感 染 系 统 之 后 ， 如 果 攻 击 者 需 要 额 外 的 数 据 或 功 能 （ 如 权 限 提 升 和 获 取 本 地 管 理 员 权 限 、 窃 取 用 于 财 务 软 件 和 服 务 的 用 户 身 份 验 证 数 据 ， 或 者 用 于 横 向 移 动 的 W i n d o w s 帐 户 ） ， 那 么 他 们 会 将 一 个 额 外 的 恶 意 软 件 集 合 下 载 到 系 统 中 ， 且 它 是 专 门 针 对 每 一 位 个 人 受 害 者 的 攻 击 而 量 身 定 制 的 。 这 个 恶 意 软 件 集 合 可 能 包 括 间 谍 软 件 、 扩 展 攻 击 者 对 受 感 染 系 统 控 制 的 其 他 远 程 管 理 工 具 、 用 于 利 用 操 作 系 统 和 应 用 软 件 漏 洞 的 恶 意 软 件 ， 以 及 为 攻 击 者 提 供 W i n d o w s 帐 户 数 据 的 M i m i k a t z 工 具 。 攻 击 者 很 显 然 是 通 过 分 析 被 攻 击 企 业 员 工 的 通 信 来 获 取 他 们 进 行 犯 罪 活 动 所 需 的 信 息 。 另 外 ， 他 们 也 可 以 使 用 这 些 电 子 邮 件 中 的 信 息 来 准 备 新 的 攻 击 — — 针 对 与 当 前 受 害 者 合 作 的 企 业 。 除 了 经 济 损 失 之 外 ， 这 些 攻 击 还 会 导 致 受 害 企 业 敏 感 数 据 的 泄 露 。 网 络 钓 鱼 电 子 邮 件 网 络 钓 鱼 电 子 邮 件 在 大 多 数 案 例 中 ， 网 络 钓 鱼 电 子 邮 件 的 内 容 都 与 财 务 相 关 ， 其 附 件 的 命 名 也 体 现 了 这 一 点 。 具 体 来 说 ， 其 中 一 些 电 子 邮 件 声 称 是 由 大 型 工 业 企 业 所 发 出 的 招 标 邀 请 （ 见 下 文 ） 。 恶 意 附 件 通 常 会 是 一 个 存 档 文 件 。 有 些 电 子 邮 件 没 有 附 件 ， 在 这 些 案 例 中 ， 电 子 邮 件 的 正 文 旨 在 引 诱 收 件 人 点 击 一 个 指 向 外 部 资 源 的 链 接 ， 而 恶 意 对 象 就 会 从 这 些 资 源 下 载 。 以 下 是 针 对 某 些 企 业 的 攻 击 中 所 使 用 的 网 络 钓 鱼 电 子 邮 件 的 示 例 ：
网 络 钓 鱼 电 子 邮 件 的 屏 幕 截 图 这 封 电 子 邮 件 声 称 自 己 是 由 一 家 知 名 的 工 业 企 业 发 出 的 。 发 送 该 电 子 邮 件 的 服 务 器 的 域 名 与 该 企 业 官 方 网 站 的 域 名 确 实 非 常 相 似 。 电 子 邮 件 附 带 有 一 个 受 密 码 保 护 的 存 档 文 件 ， 而 这 个 密 码 可 以 在 电 子 邮 件 的 正 文 中 找 到 。 值 得 注 意 的 是 ， 攻 击 者 在 电 子 邮 件 中 使 用 了 该 企 业 一 名 员 工 的 全 名 （ 出 于 保 密 原 因 ， 我 们 对 电 子 邮 件 的 这 部 分 内 容 进 行 了 屏 蔽 处 理 ， 见 上 面 的 屏 幕 截 图 ） 。 这 表 明 攻 击 是 经 过 精 心 准 备 的 ， 并 且 攻 击 者 针 对 每 一 名 目 标 收 件 人 都 创 建 了 包 含 与 特 定 企 业 相 关 的 详 细 信 息 的 个 人 电 子 邮 件 。 作 为 攻 击 的 一 部 分 ， 攻 击 者 使 用 了 各 种 技 术 来 掩 盖 感 染 过 程 。 在 此 类 案 例 中 ， 除 恶 意 软 件 组 件 和 远 程 管 理 应 用 程 序 之 外 ， S e l d o n   1 . 7 （ 用 于 搜 索 招 标 信 息 的 合 法 软 件 ） 也 被 安 装 在 了 受 感 染 的 系 统 中 。 为 了 不 让 用 户 怀 疑 他 们 为 什 么 没 有 获 取 到 在 钓 鱼 电 子 邮 件 中 提 到 的 采 购 招 标 信 息 ， 恶 意 程 序 所 安 装 的 这 个 S e l d o n   1 . 7 软 件 实 质 上 是 一 个 恶 意 版 本 。 合 法 软 件 S e l d o n   1 . 7 的 窗 口 在 某 些 案 例 中 ， 受 害 者 看 到 的 是 一 个 部 分 损 坏 的 图 像 。
由 恶 意 软 件 打 开 的 图 像 此 外 ， 还 存 在 将 一 个 已 知 的 恶 意 软 件 被 伪 装 成 一 份 包 含 银 行 转 帐 收 据 的 P D F 文 档 的 案 例 。 奇 怪 的 是 ， 收 据 的 确 包 含 有 效 的 数 据 。 具 体 来 说 ， 它 提 到 了 现 有 公 司 及 其 有 效 的 财 务 细 节 ， 甚 至 连 汽 车 的 V I N 码 也 与 其 型 号 相 匹 配 。
银 行 转 帐 收 据 的 屏 幕 截 图 在 这 些 攻 击 中 使 用 的 恶 意 软 件 安 装 了 合 法 的 远 程 管 理 软 件 — — T e a m V i e w e r 或 R e m o t e   M a n i p u l a t o r   S y s t e m / R e m o t e U t i l i t i e s （ R M S ） 。 使 用 使 用 R M S 实 施 的 攻 击 实 施 的 攻 击 有 几 种 已 知 的 方 法 可 以 将 恶 意 软 件 安 装 到 系 统 中 。 恶 意 文 件 可 以 通 过 附 加 到 电 子 邮 件 中 可 执 行 文 件 运 行 ， 也 可 以 通 过 特 制 的 W i n d o w s 命 令 解 释 程 序 运 行 。 例 如 ， 上 面 提 到 的 存 档 文 件 就 包 含 了 一 个 与 其 拥 有 相 同 名 称 的 可 执 行 文 件 ， 并 且 它 是 一 个 受 密 码 保 护 的 自 解 压 存 档 文 件 。 存 档 文 件 会 在 提 取 文 件 的 同 时 运 行 一 个 脚 本 ， 用 于 安 装 和 启 动 系 统 中 的 实 际 恶 意 软 件 。 恶 意 软 件 安 装 文 件 的 内 容 从 上 面 屏 幕 截 图 中 的 命 令 可 以 看 出 ， 在 复 制 文 件 后 ， 脚 本 会 删 除 自 身 文 件 ， 并 在 系 统 中 启 动 合 法 软 件 — — S e l d o n   v . 1 . 7 和 R M S ， 使 攻 击 者 能 够 在 用 户 不 知 情 的 情 况 下 控 制 受 感 染 的 系 统 。
恶 意 软 件 的 文 件 将 被 安 装 在 % A p p D a t a % L o c a l D a t a N T   f o l d e r   % A p p D a t a % N T L o c a l D a t a 文 件 夹 或 % A p p D a t a % N T L o c a l A p p D a t a 文 件 夹 中 ， 这 取 决 于 它 的 版 本 。 当 它 启 动 时 ， 合 法 的 R M S 软 件 将 加 载 操 作 所 需 的 动 态 库 （ D L L ） ， 包 括 系 统 文 件 w i n s p o o l . d r v ， 它 位 于 系 统 文 件 夹 中 ， 用 于 将 文 档 发 送 到 打 印 机 。 由 于 R M S 使 用 其 相 对 路 径 不 安 全 地 加 载 库 （ 供 应 商 已 被 告 知 此 漏 洞 ） ， 因 此 使 得 攻 击 者 能 够 进 行 D L L 劫 持 攻 击 ： 他 们 将 恶 意 库 放 置 在 与 R M S 可 执 行 文 件 所 处 的 同 一 个 目 录 中 ， 从 而 导 致 一 个 恶 意 软 件 组 件 被 加 载 并 获 得 控 制 权 ， 而 不 是 相 应 的 系 统 库 。 恶 意 库 会 完 成 恶 意 软 件 的 安 装 。 具 体 来 说 ， 它 会 创 建 一 个 注 册 表 值 ， 负 责 在 系 统 启 动 时 自 动 运 行 R M S 。 值 得 注 意 的 是 ， 在 此 次 活 动 的 大 多 数 案 例 中 ， 注 册 表 值 被 放 置 在 R u n O n c e 键 值 中 ， 而 不 是 R u n 键 值 ， 这 使 得 恶 意 软 件 仅 在 下 次 系 统 启 动 时 自 动 运 行 。 之 后 ， 恶 意 软 件 需 要 再 次 创 建 注 册 表 值 。 之 所 以 选 择 这 种 方 法 ， 很 可 能 来 自 于 攻 击 者 想 要 通 过 这 种 方 法 来 掩 盖 恶 意 软 件 在 系 统 中 的 存 在 。 另 外 ， 恶 意 库 还 实 现 了 对 抗 分 析 和 检 测 的 技 术 。 其 中 一 种 技 术 涉 及 使 用 哈 希 值 动 态 导 入 W i n d o w s   A P I 函 数 。 通 过 这 种 方 式 ， 攻 击 者 就 不 必 将 这 些 函 数 的 名 称 存 储 在 恶 意 库 的 主 体 中 ， 这 有 助 于 他 们 对 大 多 数 分 析 工 具 隐 藏 程 序 的 实 际 功 能 。 实 现 动 态 导 入 函 数 的 恶 意 代 码 段 的 一 部 分 恶 意 动 态 库 文 件 w i n s p o o l . d r v 将 解 密 由 攻 击 者 准 备 的 配 置 文 件 ， 其 中 包 含 R M S 软 件 的 设 置 、 远 程 控 制 计 算 机 的 密 码 以 及 通 知 攻 击 者 系 统 已 成 功 被 感 染 所 需 的 设 置 。 其 中 一 个 配 置 文 件 包 含 了 一 个 电 子 邮 件 地 址 ， 用 于 接 收 有 关 受 感 染 系 统 的 信 息 ， 包 括 计 算 机 名 称 、 用 户 名 、 R M S 计 算 机 的 I n t e r n e t   I D 等 。 其 中 ， I n t e r n e t   I D 是 在 计 算 机 连 接 到 R M S 供 应 商 的 合 法 服 务 器 上 生 成 的 。 这 个 标 识 符 随 后 将 用 于 连 接 到 位 于 N A T 后 面 的 远 程 控 制 系 统 （ 在 流 行 的 即 时 消 息 解 决 方 案 中 也 使 用 了 类 似 的 机 制 ） 。 在 已 发 现 的 配 置 文 件 中 找 到 的 电 子 邮 件 地 址 列 表 将 在 I o C s 部 分 中 提 供 。 一 个 R C 4 的 修 改 版 本 被 用 于 加 密 配 置 文 件 。 上 面 提 到 的 存 档 文 件 中 的 配 置 文 件 如 下 所 示 。 解 密 后 的 I n t e r n e t I d . r c f g 文 件 的 内 容 解 密 后 的 n o t i f i c a t i o n . r c f g 文 件 的 内 容
解 密 后 的 O p t i o n s . r c f g 文 件 的 内 容 解 密 后 的 P a s s w o r d . r c f g 文 件 的 内 容 在 完 成 这 些 之 后 ， 攻 击 者 就 可 以 使 用 系 统 的 I n t e r n e t   I D 和 密 码 在 用 户 不 知 情 的 情 况 下 通 过 合 法 的 R M S 服 务 器 使 用 标 准 的 R M S 客 户 端 来 控 制 整 个 系 统 。 使 用 使 用 T e a m V i e w e r 实 施 的 攻 击 实 施 的 攻 击 使 用 合 法 的 T e a m V i e w e r 软 件 实 施 的 攻 击 与 使 用 R M S 软 件 实 施 的 攻 击 非 常 相 似 ， 具 体 如 上 所 述 。 最 显 著 的 一 个 区 别 特 征 是 ， 来 自 受 感 染 系 统 的 信 息 被 发 送 到 了 恶 意 软 件 的 命 令 和 控 制 服 务 器 ， 而 不 是 攻 击 者 的 电 子 邮 件 地 址 。 与 使 用 R M S 一 样 ， 恶 意 代 码 通 过 将 恶 意 库 替 换 为 系 统 D L L 注 入 到 T e a m V i e w e r 进 程 中 。 在 使 用 T e a m V i e w e r 的 案 例 中 ， 攻 击 者 使 用 了 m s i m g 3 2 . d l l 。 这 并 非 一 种 专 属 战 术 ， 合 法 的 T e a m V i e w e r 软 件 之 前 曾 被 用 于 A P T 和 网 络 犯 罪 攻 击 。 在 使 用 过 这 个 工 具 集 的 组 织 中 ， 最 知 名 的 应 该 算 是 T e a m S p y   C r e w 。 不 过 ， 我 们 认 为 在 本 文 中 描 述 的 攻 击 与 T e a m S p y 无 关 ， 而 是 另 一 个 网 络 犯 罪 集 团 所 为 。 奇 怪 的 是 ， 在 分 析 这 些 攻 击 的 过 程 中 被 识 别 出 来 的 用 于 加 密 配 置 文 件 和 解 密 密 码 的 算 法 与 去 年 4 月 份 描 述 类 似 攻 击 的 一 篇 文 章 中 所 公 布 的 算 法 完 全 相 同 。 大 家 都 知 道 ， 合 法 的 T e a m V i e w e r 软 件 并 不 会 向 用 户 隐 藏 其 启 动 或 操 作 ， 尤 其 是 在 远 程 控 制 接 入 的 时 候 会 通 知 用 户 。 可 是 ， 攻 击 者 需 要 在 用 户 不 知 情 的 情 况 下 获 得 对 受 感 染 系 统 的 远 程 控 制 。 为 此 ， 他 们 挂 钩 了 几 个 W i n d o w s   A P I 函 数 。 攻 击 者 使 用 了 一 种 名 为 “ H o o k i n g ” 的 众 所 周 知 的 方 法 来 将 函 数 挂 钩 起 来 。 因 此 ， 当 合 法 的 软 件 调 用 其 中 一 个 W i n d o w s A P I 函 数 时 ， 控 制 权 将 被 传 递 给 恶 意 D L L ， 而 合 法 的 软 件 只 会 得 到 一 个 欺 骗 性 的 响 应 ， 而 不 是 一 个 来 自 操 作 系 统 的 响 应 。 W i n d o w s   A P I 函 数 被 恶 意 软 件 挂 钩 挂 钩 W i n d o w s   A P I 函 数 使 攻 击 者 能 够 隐 藏 T e a m V i e w e r 的 窗 口 ， 保 护 恶 意 软 件 文 件 不 被 检 测 到 ， 并 控 制 T e a m V i e w e r 启 动 参 数 。 启 动 后 ， 恶 意 库 通 过 执 行 命 令 “ p i n g   1 . 1 . 1 . 1 ” 来 检 查 I n t e r n e t 连 接 是 否 可 用 ， 然 后 解 密 恶 意 程 序 的 配 置 文 件 t v r . c f g 。 该 文 件 包 含 各 种 参 数 ， 例 如 用 于 远 程 控 制 系 统 的 密 码 、 攻 击 者 的 命 令 和 控 制 服 务 器 的 U R L 、 在 发 送 到 命 令 和 控 制 服 务 器 的 请 求 中 使 用 的 H T T P 标 头 的 U s e r - A g e n t 字 段 、 用 于 T e a m V i e w e r 的 V P N 参 数 等 。
解 密 后 的 恶 意 软 件 配 置 文 件 的 内 容 与 R M S 不 同 地 方 在 于 ， T e a m   V i e w e r 使 用 内 置 V P N 远 程 控 制 位 于 N A T 后 面 的 计 算 机 。 与 R M S 相 同 的 地 方 在 于 ， 相 关 的 值 将 被 添 加 到 R u n O n c e 注 册 表 键 值 中 ， 以 确 保 恶 意 软 件 在 系 统 启 动 时 自 动 运 行 。 恶 意 软 件 会 收 集 受 感 染 计 算 机 上 的 数 据 ， 并 将 其 连 同 远 程 管 理 所 需 的 系 统 标 识 符 一 起 发 送 到 命 令 和 控 制 服 务 器 。 发 送 的 数 据 包 括 ： 操 作 系 统 版 本 用 户 名 计 算 机 名 有 关 正 在 运 行 恶 意 软 件 的 用 户 权 限 级 别 的 信 息 系 统 中 是 否 存 在 麦 克 风 和 网 络 摄 像 头 是 否 安 装 了 防 病 毒 软 件 或 其 他 安 全 解 决 方 案 ， 以 及 U A C 级 别 恶 意 软 件 会 通 过 以 下 W Q L 查 询 来 获 取 有 关 系 统 中 安 装 的 安 全 软 件 的 信 息 ： r o o t S e c u r i t y C e n t e r : S E L E C T   *   F R O M   A n t i V i r u s P r o d u c t 收 集 的 信 息 将 通 过 以 下 P O S T 请 求 发 送 给 攻 击 者 的 服 务 器 ： 用 于 向 命 令 和 控 制 服 务 器 发 送 加 密 数 据 的 P O S T 请 求
涉 及 T e a m V i e w e r 的 攻 击 的 另 一 个 显 着 区 别 特 征 是 能 够 向 受 感 染 的 系 统 发 送 命 令 ， 并 让 它 们 由 恶 意 软 件 执 行 。 这 些 命 令 通 过 T e a m V i e w e r 应 用 程 序 中 内 置 的 C h a t （ 聊 天 ） 模 块 从 命 令 和 控 制 服 务 器 发 送 命 令 。 当 然 ， 聊 天 窗 口 会 被 恶 意 库 隐 藏 ， 且 日 志 文 件 会 被 删 除 。 被 发 送 到 受 感 染 系 统 的 命 令 将 通 过 以 下 指 令 在 W i n d o w s 命 令 解 释 程 序 中 执 行 ： c m d . e x e   / c   s t a r t   / b 参 数 “ /   b ” 表 示 由 攻 击 者 发 送 的 用 于 执 行 的 命 令 将 在 不 创 建 新 窗 口 的 情 况 下 运 行 。 此 外 ， 当 恶 意 软 件 从 攻 击 者 的 服 务 器 接 收 到 对 应 的 命 令 时 ， 它 还 会 执 行 自 毁 机 制 。 其 他 被 使 用 的 恶 意 软 件 其 他 被 使 用 的 恶 意 软 件 当 攻 击 者 还 需 要 其 他 数 据 （ 如 授 权 数 据 ） 的 时 候 ， 他 们 会 将 间 谍 软 件 下 载 到 受 害 者 的 计 算 机 上 ， 以 便 收 集 电 子 邮 箱 、 网 站 、 S S H / F T P / T e l n e t 客 户 端 的 登 录 名 和 密 码 ， 以 及 记 录 击 键 和 屏 幕 截 图 。 在 攻 击 者 的 服 务 器 上 安 装 并 下 载 到 受 害 者 计 算 机 上 的 其 他 软 件 中 ， 被 发 现 包 含 来 自 以 下 家 庭 的 恶 意 软 件 ： B a b y l o n   R A T B e t a b o t / N e u r e v t A Z O R u l t   s t e a l e r H a l l a j   P R O   R a t 对 于 这 些 木 马 而 言 ， 它 们 被 下 载 到 受 感 染 系 统 中 ， 很 可 能 是 被 用 来 收 集 信 息 和 窃 取 数 据 。 除 了 远 程 管 理 之 外 ， 这 些 恶 意 软 件 还 包 括 以 下 功 能 ： 记 录 击 键 屏 幕 截 图 收 集 系 统 信 息 以 及 与 已 安 装 程 序 和 正 在 运 行 的 进 程 有 关 的 信 息 下 载 其 他 恶 意 文 件 使 用 计 算 机 作 为 代 理 服 务 器 从 流 行 的 程 序 和 浏 览 器 中 窃 取 密 码 窃 取 加 密 货 币 钱 包 窃 取 S k y p e 消 息 进 行 D D o S 攻 击 拦 截 和 欺 骗 用 户 流 量 将 任 意 用 户 文 件 发 送 到 命 令 和 控 制 服 务 器 在 其 他 一 些 案 例 中 ， 在 对 受 感 染 系 统 进 行 初 步 分 析 后 ， 攻 击 者 会 将 一 个 额 外 的 恶 意 软 件 模 块 下 载 到 受 害 者 的 计 算 机 中 。 这 是 一 个 包 含 多 种 恶 意 和 合 法 程 序 的 自 解 压 存 档 文 件 ， 它 很 可 能 是 针 对 某 些 特 定 系 统 而 额 外 被 下 载 的 。 例 如 ， 如 果 恶 意 软 件 是 在 没 有 本 地 管 理 员 权 限 的 情 况 下 执 行 的 ， 那 么 为 了 绕 过 W i n d o w s 用 户 帐 户 控 制 （ U A C ） ， 攻 击
者 则 会 使 用 上 面 提 到 的 D L L 劫 持 技 术 。 但 在 这 种 情 况 下 ， 使 用 的 是 W i n d o w s 系 统 文 件 % s y s t e m d i r % m i g w i z m i g w i z . e x e 和 库 文 件 c r y p t b a s e . d l l 。 此 外 ， 攻 击 者 在 一 些 系 统 中 还 安 装 了 另 一 个 远 程 管 理 实 用 程 序 R e m o t e U t i l i t i e s ， 它 提 供 了 比 R M S 或 T e a m V i e w e r 更 强 大 的 功 能 集 来 控 制 受 感 染 的 计 算 机 。 其 功 能 包 括 ： 远 程 控 制 系 统 （ R D P ） 从 受 感 染 的 系 统 下 载 文 件 或 上 传 文 件 到 受 感 染 系 统 控 制 受 感 染 系 统 的 电 源 远 程 管 理 正 在 运 行 的 应 用 程 序 的 进 程 远 程 s h e l l （ 命 令 行 ） 管 理 硬 件 屏 幕 截 图 和 录 制 屏 幕 通 过 连 接 到 受 感 染 系 统 的 设 备 录 制 音 频 和 视 频 远 程 管 理 系 统 注 册 表 攻 击 者 使 用 了 R e m o t e U t i l i t i e s 的 修 改 版 本 ， 使 得 他 们 能 够 在 用 户 不 知 情 的 情 况 下 执 行 上 述 操 作 。 在 某 些 案 例 中 ， 除 了 c r y p t b a s e . d l l 和 R e m o t e U t i l i t i e s 之 外 ， 攻 击 者 还 安 装 了 M i m i k a t z 实 用 程 序 。 我 们 认 为 ， 如 果 第 一 个 受 感 染 的 系 统 没 有 安 装 财 务 数 据 处 理 软 件 ， 那 么 攻 击 者 则 会 安 装 M i m i k a t z 。 M i m i k a t z 实 用 程 序 被 攻 击 者 窃 取 企 业 员 工 的 身 份 验 证 数 据 ， 并 获 取 对 企 业 网 络 中 其 他 计 算 机 的 远 程 访 问 。 攻 击 者 使 用 这 种 技 术 会 给 企 业 带 来 很 大 的 威 胁 ： 如 果 他 们 成 功 获 取 到 了 域 管 理 员 帐 户 的 凭 证 ， 那 么 他 们 则 可 以 控 制 企 业 网 络 中 的 所 有 系 统 。 攻 击 的 目 标 攻 击 的 目 标 根 据 K S N 的 数 据 ， 在 2 0 1 7 年 1 0 月 到 2 0 1 8 年 6 月 期 间 ， 大 约 有 8 0 0 属 于 工 业 企 业 的 员 工 计 算 机 被 本 文 中 描 述 的 恶 意 软 件 所 攻 击 。 在 2 0 1 7 年 1 0 月 到 2 0 1 8 年 6 月 期 间 被 攻 击 的 计 算 机 数 量 （ 按 月 统 计 ）
据 我 们 估 计 ， 俄 罗 斯 至 少 有 4 0 0 家 工 业 企 业 成 为 了 这 次 攻 击 的 目 标 ， 涉 及 到 以 下 行 业 ： 制 造 业 石 油 和 天 然 气 冶 金 工 程 能 源 建 造 矿 业 物 流 基 于 此 ， 可 以 得 出 结 论 ， 攻 击 者 并 不 专 注 于 任 何 特 定 行 业 或 领 域 的 企 业 。 与 此 同 时 ， 他 们 的 活 动 清 楚 地 表 明 了 他 们 专 注 于 破 坏 属 于 工 业 企 业 的 系 统 。 网 络 犯 罪 分 子 的 这 一 选 择 可 能 是 因 为 工 业 企 业 的 网 络 威 胁 意 识 和 网 络 安 全 文 化 远 不 如 其 他 经 济 领 域 （ 如 银 行 或 I T 公 司 ） 的 企 业 。 另 外 ， 正 如 我 们 早 前 所 提 到 的 那 样 ， 工 业 企 业 与 其 他 领 域 的 企 业 相 比 更 习 惯 于 在 其 账 户 上 进 行 涉 及 大 量 资 金 的 操 作 。 这 些 都 使 得 它 们 成 为 对 于 网 络 罪 犯 而 言 更 具 吸 引 力 的 目 标 。 结 论 结 论 这 项 研 究 再 次 表 明 ， 即 使 使 用 简 单 的 技 术 和 已 知 的 恶 意 软 件 ， 攻 击 者 也 可 以 通 过 熟 练 地 使 用 社 会 工 程 并 在 目 标 系 统 中 掩 盖 恶 意 代 码 来 成 功 地 攻 击 大 量 的 工 业 企 业 。 犯 罪 分 子 积 极 地 使 用 社 会 工 程 来 避 免 用 户 怀 疑 自 己 的 计 算 机 受 到 了 感 染 。 另 外 ， 他 们 还 使 用 了 合 法 的 远 程 管 理 软 件 来 逃 避 防 病 毒 解 决 方 案 的 检 测 。 这 一 系 列 攻 击 主 要 针 对 的 是 俄 罗 斯 的 企 业 ， 但 同 样 的 战 术 和 工 具 同 样 可 用 来 攻 击 全 世 界 范 围 内 任 何 国 家 的 工 业 企 业 。 我 们 认 为 ， 此 次 攻 击 事 件 背 后 的 幕 后 黑 手 很 可 能 是 一 个 犯 罪 集 团 ， 其 成 员 对 俄 语 有 着 很 熟 练 的 掌 握 ， 这 一 点 可 以 从 网 络 钓 鱼 电 子 邮 件 正 文 的 高 水 平 编 写 以 及 修 改 俄 语 企 业 财 务 数 据 的 能 力 上 体 现 出 来 。 远 程 管 理 功 能 使 犯 罪 分 子 能 够 完 全 控 制 被 破 坏 的 系 统 ， 因 此 可 能 的 攻 击 场 景 不 仅 限 于 盗 窃 资 金 。 在 攻 击 目 标 的 过 程 中 ， 攻 击 者 还 能 够 窃 取 属 于 目 标 企 业 及 其 合 作 伙 伴 和 客 户 的 敏 感 数 据 ， 对 受 害 企 业 员 工 实 施 隐 秘 的 视 频 监 控 ， 并 可 以 通 过 连 接 到 受 感 染 计 算 机 的 设 备 来 录 制 音 频 和 视 频 。 I o C s 在 阅 读 原 文 查 看 和 下 载 。 * 参 考 来 源 ： K a s p e r s k y ， H y d r a l a b   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理