搜索

[15290] 2020-04-24_APT32对我国长达3个月的入侵，窃取COVID-19相关情报

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2020-04-24_APT32对我国长达3个月的入侵，窃取COVID-19相关情报 A P T 3 2 对 我 国 长 达 3 个 月 的 入 侵 ， 窃 取 C O V I D - 1 9 相 关 情 报 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 4 - 2 4 4 月 月 2 2 日 ， 日 ， F i r e y e 发 布 报 告 称 ： 至 少 从 发 布 报 告 称 ： 至 少 从 2 0 2 0 年 年 1 月 至 月 至 2 0 2 0 年 年 4 月 ， 越 南 黑 客 组 织 月 ， 越 南 黑 客 组 织 A P T 3 2 （ （ O c e a n L o t u s   G r o u p ） 针 ） 针 对 我 国 开 展 持 续 入 侵 活 动 ， 试 图 收 集 对 我 国 开 展 持 续 入 侵 活 动 ， 试 图 收 集 C O V I D - 1 9 相 关 情 报 。 相 关 情 报 。 一 直 以 来 ， A P T 3 2 都 以 东 南 亚 为 攻 击 目 标 ， 并 且 是 近 几 年 来 针 对 中 国 大 陆 进 行 攻 击 活 动 最 活 跃 的 A P T 攻 击 组 织 ， 没 有 之 一 。 此 次 再 将 目 标 对 准 中 国 ， 与 新 冠 疫 情 离 不 开 关 系 。 此 次 至 少 长 达 3 个 月 的 入 侵 或 可 以 理 解 为 针 对 新 冠 危 机 的 全 球 网 络 间 谍 活 动 的 一 部 分 ， 意 图 窃 取 疫 情 解 决 方 案 和 相 关 非 公 开 信 息 。 A P T 3 2 过 往 活 动 该 组 织 通 过 鱼 叉 式 网 络 钓 鱼 的 方 式 ， 发 送 邮 件 至 我 国 应 急 管 理 部 以 及 武 汉 市 政 府 。 该 组 织 通 过 鱼 叉 式 网 络 钓 鱼 的 方 式 ， 发 送 邮 件 至 我 国 应 急 管 理 部 以 及 武 汉 市 政 府 。 目 前 已 知 的 第 一 个 实 例 发 生 在 2 0 2 0 年 1 月 6 日 ， A P T 3 2 向 我 国 应 急 管 理 部 发 送 了 带 有 嵌 入 式 跟 踪 链 接 （ 图 1 ） 的 电 子 邮 件 ， 发 件 人 地 址 为 l i j i a n x i a n g 1 8 7 0   @   1 6 3 [ . ]   c o m ， 主 题 是 “ 招 商 引 资 ” 。 而 嵌 入 的 链 接 包 含 受 害 者 的 电 子 邮 件 地 址 和 代 码 。 图 1 ： 发 给 中 国 应 急 管 理 部 的 网 络 钓 鱼 电 子 邮 件 其 他 相 关 U R L ：
l i b j s . i n q u i r e r j s   [ . ]   c o m   /   s c r i p t   /   @   w u h a n . g o v . c n . p n g l i b j s . i n q u i r e r j s   [ . ]   c o m   /   s c r i p t   /   @   c h i n a s a f e t y . g o v . c n . p n g m . t o p i c c o r e   [ . ]   c o m   /   s c r i p t   /   @   c h i n a s a f e t y . g o v . c n . p n g m . t o p i c c o r e   [ . ]   c o m   /   s c r i p t   /   @   w u h a n . g o v . c n . p n g l i b j s . i n q u i r e r j s   [ . ]   c o m   /   s c r i p t   /   @   1 2 6 . c o m . p n g A P T 3 2 可 能 针 对 中 国 目 标 使 用 了 以 C O V I D - 1 9 为 主 题 的 恶 意 附 件 。 虽 然 还 没 有 发 现 完 整 的 执 行 链 ， 但 是 找 到 了 一 个 M E T A L J A C K 加 载 器 ， 在 启 动 有 效 载 荷 时 会 显 示 一 个 中 文 文 档 。 当 M E T A L J A C K 加 载 程 序 k r p t . d l l （ M D 5 ： d 7 3 9 f 1 0 9 3 3 c 1 1 b d 6 b d 9 6 7 7 f 9 1 8 9 3 9 8 6 c ） 加 载 时 ， 可 能 会 调 用 导 出 “ _ f o r c e _ l i n k _ k r p t ” 。 加 载 程 序 执 行 其 嵌 入 式 资 源 之 一 ， 一 个 C O V I D 为 主 题 的 R T F 文 件 ， 向 受 害 者 显 示 内 容 并 将 文 档 保 存 到 ％ T E M P ％ 。 图 2 ： 标 题 为 “ 冠 状 病 毒 实 时 更 新 ： 中 国 正 在 追 踪 来 自 湖 北 的 旅 行 者 ” 的 诱 饵 文 档 ， M D 5 ： c 5 b 9 8 b 7 7 8 1 0 c 5 6 1 9 d 2 0 b 7 1 7 9 1 b 8 2 0 5 2 9 该 恶 意 软 件 还 会 把 s h e l l c o d e 加 载 到 附 加 M D 5 中 加 ： a 4 8 0 8 a 3 2 9 b 0 7 1 a 1 a 3 7 b 8 d 0 3 b 1 3 0 5 b 0 c b ， 其 中 包 含 M E T A L J A C K 有 效 载 荷 。 S h e l l c o d e 通 过 执 行 系 统 调 查 收 集 受 害 者 的 计 算 机 名 和 用 户 名 ， 然 后 使 用 l i b j s . i n q u i r e r j s   [ . ]   c o m 将 这 些 值 附 加 到
U R L 字 符 串 ， 再 尝 试 调 出 U R L 。 如 果 调 用 成 功 ， 恶 意 软 件 就 会 将 M E T A L J A C K 有 效 载 荷 加 载 到 内 存 中 。 最 后 ， 使 用 v i t l e s c a u x [ . ] c o m 进 行 命 令 和 控 制 。 越 南 外 交 部 ： 否 认 相 关 指 控 越 南 外 交 部 ： 否 认 相 关 指 控 在 A P T 活 动 归 因 上 ， 越 南 外 交 部 发 言 人 吴 全 胜 于 4 月 2 3 日 否 认 相 关 指 控 ， 称 “ 越 南 禁 止 一 切 形 式 的 网 络 攻 击 ， 这 类 行 动 应 当 予 以 谴 责 ， 并 严 格 依 法 处 理 ” 。 而 根 据 “ 越 南 快 讯 ” 报 道 ， 吴 全 胜 还 表 示 ， 越 南 国 民 议 会 已 于 2 0 1 8 年 通 过 了 网 络 安 全 法 ， 该 国 正 在 完 成 法 律 文 件 以 执 行 法 律 并 防 止 网 络 攻 击 。 他 说 ， “ 越 南 愿 意 与 国 际 社 会 合 作 ， 打 击 和 防 止 任 何 形 式 的 网 络 攻 击 。 ” 参 考 链 接 参 考 链 接 h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 2 0 / 0 4 / a p t 3 2 - t a r g e t i n g - c h i n e s e - g o v e r n m e n t - i n - c o v i d - 1 9 - r e l a t e d - e s p i o n a g e . h t m l   h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 7 / 0 5 / c y b e r - e s p i o n a g e - a p t 3 2 . h t m l * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理