搜索

[17875] 2021-01-20_黑客事件BlackEnergy深入分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-20_黑客事件BlackEnergy深入分析 黑 客 事 件 B l a c k   E n e r g y 深 入 分 析 秋 蝉   H a c k e r 秋 蝉   2 0 2 1 - 0 1 - 2 0 事 件 回 顾 ： 据 英 国 《 金 融 时 报 》 报 道 ， 上 周 乌 克 兰 电 网 系 统 遭 黑 客 攻 击 ， 数 百 户 家 庭 供 电 被 迫 中 断 ， 这 是 有 史 以 来 首 次 导 致 停 电 的 网 络 攻 击 ， 此 次 针 对 工 控 系 统 的 攻 击 无 疑 具 有 里 程 碑 意 义 ， 引 起 国 内 外 媒 体 高 度 关 注 。 据 i S i g h t   P a r t n e r s 网 络 间 谍 情 报 负 责 人 约 翰 胡 尔 特 奎 斯 特 ( J o h n   H u l t q u i s t ) 表 示 ， 本 次 攻 击 来 自 俄 罗 斯 黑 客 组 织 ， 使 用 的 恶 意 软 件 被 称 为 B l a c k E n e r g y （ 黑 暗 力 量 ） 。 B l a c k   E n e r g y 简 介 B l a c k   E n e r g y （ 黑 暗 力 量 ） 最 早 可 以 追 溯 到 2 0 0 7 年 ， 由 俄 罗 斯 地 下 黑 客 组 织 开 发 并 广 泛 使 用 在 B O T N E T ， 主 要 用 于 建 立 僵 尸 网 络 ， 对 定 向 目 标 实 施 D D o S 攻 击 。 此 后 ， B l a c k   E n e r g y 的 攻 击 开 始 转 向 政 治 目 标 ， 在 2 0 0 8 年 ， 俄 罗 斯 与 格 鲁 吉 亚 冲 突 期 间 黑 客 组 织 利 用 B l a c k E n e r g y 曾 一 度 攻 击 格 鲁 吉 亚 政 府 。 自 2 0 1 4 年 夏 季 ， 陆 续 从 乌 克 兰 政 府 及 企 事 业 单 位 截 获 B l a c k   E n e r g y 样 本 ， 可 以 预 见 其 矛 头 开 始 瞄 准 乌 克 兰 政 府 组 织 ， 并 主 要 用 于 机 密 信 息 窃 取 和 持 续 攻 击 。 B l a c k   E n e r g y 有 一 套 完 整 的 生 成 器 ， 可 以 生 成 感 染 受 害 主 机 的 客 户 端 程 序 和 架 构 在 C & C   ( 指 挥 和 控 制 ) 服 务 器 的 命 令 生 成 脚 本 。 攻 击 者 利 用 这 套 黑 客 软 件 可 以 方 便 地 建 立 僵 尸 网 络 ， 只 需 在 C & C 服 务 器 下 达 简 单 指 令 ， 僵 尸 网 络 受 害 主 机 便 统 一 执 行 其 指 令 。 经 过 数 年 的 发 展 ， B l a c k   E n e r g y 逐 渐 加 入 了 R o o t k i t 技 术 ， 插 件 支 持 ， 远 程 代 码 执 行 ，   数 据 采 集 等 功 能 ， 已 能
够 根 据 攻 击 目 的 和 对 象 ， 由 黑 客 来 选 择 特 制 插 件 进 行 A P T 攻 击 。 进 一 步 升 级 ， 包 括 支 持 代 理 服 务 器 ， 绕 过 用 户 账 户 认 证 （ U A C ） 技 术 ， 以 及 针 对 6 4 位 w i n d o w s 系 统 的 签 名 驱 动 等 等 。 B l a c k   E n e r g y 攻 击 过 程 B l a c k   E n e r g y 感 染 流 程 上 图 展 示 了 B l a c k   E n e r g y 入 侵 目 标 主 机 的 过 程 。 黑 客 通 过 收 集 目 标 用 户 邮 箱 ， 然 后 向 其 定 向 发 送 携 带 恶 意 文 件 的 S p a m 邮 件 ， 疏 于 安 全 防 范 的 用 户 打 开 了 带 宏 病 毒 的 O f f i c e 文 档 （ 或 利 用 O f f i c e 漏 洞 的 文 档 ） 即 可 运 行 I n s t a l l e r （ 恶 意 安 装 程 序 ） ， I n s t a l l e r 则 会 释 放 并 加 载 R o o t k i t 内 核 驱 动 ， 之 后 R o o t k i t 使 用 A P C 线 程 注 入 系 统 关 键 进 程 s v c h o s t . e x e （ 注 入 体 m a i n . d l l ） ， m a i n . d l l 会 开 启 本 地 网 络 端 口 ， 使 用 H T T P S 协 议 主 动 连 接 外 网 主 控 服 务 器 ， 一 旦 连 接 成 功 ， 开 始 等 待 黑 客 下 发 指 令 就 可 以 下 载 其 他 黑 客 工 具 或 插 件 。 相 关 样 本 分 析 此 次 袭 击 事 件 发 生 后 ， 金 山 安 全 反 病 毒 实 验 室 第 一 时 间 从 各 个 渠 道 采 集 到 在 乌 克 兰 爆 发 的 B l a c k E n e r g y 样 本 。 从 样 本 中 分 析 得 到 样 本 连 接 恶 意 I P 如 下 ： 5 . 9 . 3 2 . 2 3 0 3 1 . 2 1 0 . 1 1 1 . 1 5 4 8 8 . 1 9 8 . 2 5 . 9 2 事 件 发 生 之 后 ， 这 3 台 服 务 器 已 经 无 法 正 常 连 接 ， 其 中 截 获 的 H T T P S   P O S T 请 求 U R L ： h t t p s : / / 5 . 9 . 3 2 . 2 3 0 / M i c r o s o f t / U p d a t e / K S 1 9 4 5 7 7 7 . p h p h t t p s : / / 3 1 . 2 1 0 . 1 1 1 . 1 5 4 / M i c r o s o f t / U p d a t e / K S 0 8 1 2 7 4 . p h p   h t t p s : / / 8 8 . 1 9 8 . 2 5 . 9 2 / f H K f v E h l e Q / m a i n c r a f t / d e r s t a t u s . p h p 同 时 ， 实 验 室 截 获 的 B l a c k   E n e r g y 样 本 经 过 验 证 ， 均 可 在 3 2 位 的 X P   –   8 . 1 系 统 上 正 常 运 行 。 恶 意 样 本 伪 装 为 微 软   U S B   M D M   D r i v e r   驱 动 文 件 ， 但 缺 乏 数 字 签 名 驱 动 被 I n s t a l l e r 加 载 后 ， 首 先 执 行 解 压 脱 壳 ， 然 后 创 建 设 备 驱 动 ， 名 字 为 ： / D o s D e v i c e / { C 9 0 5 9 F F F - 1 C 4 9 - 8 3 E 8 - 4 F 1 6 3 8 7 C 7 2 0 } ， 用 来 与 用 户 端 （ m a i n . d l l ） 通 信 。 随 后 ， 驱 动 开 始 向 s v c h o s t . e x e 申 请 内 存 空 间 并 写 入 s h e l l c o d e ， 再 通 过 A P C 线 程 注 入 方 式 注 入 s v c h o s t . e x e 。 A P C 注 入 的 原 理 是 利 用 当 线 程 被 唤 醒 时 A P C 中 的 注 册 函 数 会 被 执 行 的 机 制 ， 并 以 此 去 执 行 我 们 的 D L L 加 载 代 码 ， 进 而 完 成 D L L 注 入 的 目 的 。 的 s h e l l c o d e 与 R o o t k i t 代 码 ， 黑 客 统 一 使 用 了 通 过 压 栈 A P I 函 数 的 H A S H 值 ， 调 用 _ G e t F u n c A d d r 动 态 获 取 A P I 函 数 地 址 ， 用 来 干 扰 和 对 抗 逆 向 分 析 由 A P C 注 入 的 线 程 会 启 动 一 个 主 线 程 与 R o o t k i t 内 核 模 块 建 立 通 信
连 接 C & C 服 务 器 ， 不 知 是 不 是 事 件 发 生 之 后 ， 该 I P 就 再 也 连 不 上 了 上 图 是 与 C & C 服 务 器 通 信 的 控 制 指 令 至 此 ， B l a c k   E n e r g y 整 体 攻 击 架 构 已 经 呈 现 出 来 ， 一 旦 用 户 机 器 被 渗 透 攻 击 成 功 ， 黑 客 便 可 轻 易 控 制 并 实 施 具 体 攻 击 。 也 证 明 了 在 此 次 乌 克 兰 电 网 断 电 事 件 ， B l a c k   E n e r g y 完 全 有 能 力 实 施 精 确 打 击 。 防 御 B l a c k   E n e r g y 针 对 B l a c k   E n e r g y 的 攻 击 过 程 可 以 在 三 个 阶 段 进 行 有 效 拦 截 。 首 先 ， 用 户 接 收 到 邮 件 时 对 邮 件 内 包 含 的 所 有 文 件 进 行 动 态 行 为 鉴 定 ， 一 旦 判 定 文 件 具 有 恶 意 行 为 会 将 其 删 除 或 隔 离 。 第 二 ， 对 系 统 关 键 进 程 进 行 监 控 ， 一 旦 发 现 可 疑 操 作 立 即 阻 断 其 执 行 。 第 三 ， 阻 断 恶 意 代 码 对 外 连 接 ， 设 置 一 个 I P 黑 白 库 对 系 统 外 连 的 i p 地 址 进 行 过 滤 ， 拦 截 与 恶 意 服 务 器 交 互 的 所 有 网 络 数 据 包 。 总 结 ： 乌 克 兰 电 厂 遭 袭 事 件 是 第 一 次 经 证 实 的 计 算 机 恶 意 程 序 导 致 停 电 的 事 件 ， 证 明 了 通 过 网 络 攻 击 手 段 是 可 以 实 现 工 业 破 坏 的 。 虽 然 针 对 工 控 系 统 的 网 络 安 全 保 护 早 已 提 上 日 程 ， 目 前 国 内 也 没 有 发 生 类 似 攻 击 ， 但 此 次 事 件 再 次 给 相 关 部 门 敲 响 警 钟 。 未 来 安 全 形 势 必 将 越 来 越 严 峻 ， 需 要 相 关 各 方 严 格 部 署 网 络 安 全 措 施 ， 加 强 网 络 安 全 防 范 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理