搜索

[17010] 2021-07-10_苹果再成目标，WildPressureAPT组织锁定macOS系统

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2021-07-10_苹果再成目标，WildPressureAPT组织锁定macOS系统 苹 果 再 成 目 标 ， W i l d P r e s s u r e   A P T   组 织 锁 定 m a c O S 系 统 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 7 - 1 0 一 直 以 中 东 的 工 业 组 织 为 目 标 的 一 直 以 中 东 的 工 业 组 织 为 目 标 的 W i l d P r e s s u r e   A P T   组 织 ， 现 在 被 发 现 使 用 一 种 针 对 组 织 ， 现 在 被 发 现 使 用 一 种 针 对 W i n d o w s 和 和 m a c O S 的 新 恶 的 新 恶 意 软 件 。 意 软 件 。 7 月 7 日 ， 卡 巴 斯 基 公 布 了 一 个 新 发 现 ， 在 2 0 2 0 年 3 月 被 发 现 的 M i l u m 恶 意 软 件 现 已 通 过 P y I n s t a l l e 包 进 行 了 重 组 ， 其 中 包 含 了 与 W i n d o w s 和 m a c O S 系 统 兼 容 的 木 马 程 序 ， 被 黑 的 网 站 可 被 该 A P T 组 织 用 来 下 载 和 上 传 文 件 并 执 行 命 令 。 卡 巴 斯 基 的 研 究 人 员 表 示 ， 这 个 名 为 “ G u a r d ” 的 木 马 是 针 对 W i n d o w s 和 m a c O S 系 统 而 开 发 的 。 这 种 基 于 P y t h o n 的 新 木 马 通 常 使 用 公 开 的 第 三 方 代 码 。 也 就 是 说 ， 一 旦 执 行 ， 它 就 会 收 集 系 统 信 息 （ 即 机 器 的 主 机
名 、 机 器 架 构 和 操 作 系 统 发 布 名 称 ） ， 并 将 这 些 信 息 发 送 至 远 程 服 务 器 。 恶 意 代 码 还 会 列 举 正 在 运 行 的 进 程 ， 以 检 查 已 安 装 的 反 恶 意 软 件 产 品 ， 然 后 等 待 C 2 服 务 器 的 命 令 。 该 木 马 支 持 多 种 命 令 ， 包 括 下 载 和 上 传 任 意 文 件 、 执 行 命 令 、 更 新 木 马 ， 以 及 清 理 、 删 除 持 久 性 和 受 感 染 主 机 的 脚 本 文 件 。 此 外 ， 研 究 人 员 还 发 现 了 一 些 以 前 未 知 的 基 于 C + + 的 插 件 ， 这 些 插 件 被 用 来 收 集 被 攻 击 系 统 的 数 据 。 在 此 次 攻 击 中 ， 除 了 商 业 V P S ， 该 A P T 组 织 还 利 用 了 被 入 侵 的 合 法 W o r d P r e s s 网 站 以 充 当 “ G u a r d ” 木 马 的 中 继 服 务 器 。 虽 然 没 有 “ 实 锤 ” ， 但 卡 巴 斯 基 推 测 这 次 他 们 的 目 标 应 当 为 石 油 和 天 然 气 行 业 。 石 油 和 天 然 气 行 业 。 值 得 一 提 的 是 ， 通 过 对 此 次 样 本 的 分 析 ， 卡 巴 斯 基 还 发 现 该 组 织 的 技 术 与 另 一 个 名 为 该 组 织 的 技 术 与 另 一 个 名 为 B l a c k S h a d o w 的 的 A P T   组 织 所 组 织 所 使 用 的 技 术 略 有 相 似 之 处 使 用 的 技 术 略 有 相 似 之 处 ， 而 后 者 也 是 针 对 中 东 地 区 的 组 织 。 或 许 该 发 现 会 成 为 之 后 组 织 归 因 的 重 要 依 据 。 W i l d P r e s s u r e   真 实 身 份 依 然 未 知 真 实 身 份 依 然 未 知 W i l d P r e s s u r e 于 2 0 1 9 年 8 月 首 次 被 发 现 。 当 时 研 究 人 员 检 测 到 一 个 从 未 见 过 的 恶 意 软 件 ， 并 将 其 称 为 M i l u m ， 也 就 是 此 次 发 现 的 恶 意 软 件 的 “ 原 型 ” 。 该 木 马 是 用 C + + 语 言 编 写 的 ， 被 用 来 针 对 中 东 地 区 的 组 织 发 起 攻 击 。 可 确 定 的 是 ， 其 中 一 些 组 织 与 工 业 部 门 有 关 。 在 对 其 进 行 进 一 步 调 查 之 后 ， 研 究 人 员 发 现 早 在 2 0 1 9 年 5 月 M i l u m 恶 意 软 件 的 其 他 版 本 就 已 经 感 染 了 一 些 系 统 。 目 前 为 止 ， 还 没 有 观 察 到 W i l d   P r e s s u r e 与 任 何 已 知 组 织 之 间 存 在 基 于 代 码 或 受 害 者 的 强 烈 相 似 之 处 。 他 们 的 C   + + 代 码 非 常 普 遍 ， 涉 及 配 置 数 据 和 通 信 协 议 ， 恶 意 软 件 使 用 存 储 在 二 进 制 文 件 资 源 部 分 中 的 b a s e 6 4 编 码 的 J S O N 格 式 的 配 置 数 据 ， 并 使 用 标 准 模 板 库 （ S T L ） 函 数 进 行 解 析 。 但 是 ， 这 些 共 通 性 对 于 归 因 而 言 还 没 有 足 够 的 结 论 性 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理