搜索

[20409] 2020-12-15_FireEye发现Solarwinds供应链攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-12-15_FireEye发现Solarwinds供应链攻击 F i r e E y e 发 现 S o l a r w i n d s 供 应 链 攻 击 安 全 告 知   K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 2 - 1 5 概 要 F i r e E y e 发 现 了 一 个 广 泛 的 战 役 ， 我 们 正 在 追 踪 它 为 U N C 2 4 5 2 。 这 场 运 动 的 幕 后 参 与 者 获 得 了 世 界 各 地 众 多 公 共 和 私 人 组 织 的 参 与 。 他 们 通 过 对 S o l a r W i n d 的 O r i o n   I T 监 视 和 管 理 软 件 进 行 了 木 马 化 更 新 来 接 触 受 害 者 。 这 项 运 动 可 能 最 早 在 2 0 2 0 年 春 季 开 始 ， 目 前 正 在 进 行 中 。 在 此 供 应 链 妥 协 后 的 妥 协 后 活 动 包 括 横 向 移 动 和 数 据 盗 窃 。 该 活 动 是 一 名 高 技 能 演 员 的 工 作 ， 并 且 在 进 行 操 作 时 具 有 很 高 的 操 作 安 全 性 。 S U N B U R S T 后 门 S o l a r W i n d s . O r i o n . C o r e . B u s i n e s s L a y e r . d l l 是 O r i o n 软 件 框 架 的 S o l a r W i n d s 数 字 签 名 组 件 ， 其 中 包 含 一 个 后 门 ， 该 后 门 通 过 H T T P 与 第 三 方 服 务 器 进 行 通 信 。 我 们 正 在 跟 踪 此 S o l a r W i n d s   O r i o n 插 件 的 木 马 版 本 ， 即 S U N B U R S T 。 经 过 长 达 两 个 星 期 的 初 始 休 眠 期 后 ， 它 会 检 索 并 执 行 称 为 “ 作 业 ” 的 命 令 ， 这 些 命 令 包 括 传 输 文 件 ， 执 行 文 件 ， 对 系 统 进 行 配 置 文 件 ， 重 新 引 导 计 算 机 以 及 禁 用 系 统 服 务 的 功 能 。 该 恶 意 软 件 伪 装 成 O r i o n 改 进 程 序 （ O I P ） 协 议 的 网 络 流 量 ， 并 将 侦 察 结 果 存 储 在 合 法 的 插 件 配 置 文 件 中 ， 从 而 使 其 能 够 与 合 法 的 S o l a r W i n d s 活 动 融 合 。 后 门 使 用 多 个 混 淆 的 阻 止 列 表 来 识 别 作 为 进 程 ， 服 务 和 驱 动 程 序 运 行 的 取 证 和 防 病 毒 工 具 。
                                        图 1 ： 带 有 后 门 的 软 件 上 的 S o l a r W i n d s 数 字 签 名                 从 2 0 2 0 年 3 月 至 2 0 2 0 年 5 月 ， 对 多 个 木 马 更 新 进 行 了 数 字 签 名 ， 并 发 布 到 S o l a r W i n d s 更 新 网 站 ， 其 中 包 括 ： h x x p s : / / d o w n l o a d s . s o l a r w i n d s [ . ] c o m / s o l a r w i n d s / C a t a l o g R e s o u r c e s / C o r e / 2 0 1 9 . 4 / 2 0 1 9 . 4 . 5 2 2 0 . 2 0 5 7 4 / S o l a r W i n d s - C o r e - v 2 0 1 9 . 4 . 5 2 2 0 - H o t f i x 5 . m s p                 木 马 更 新 文 件 是 标 准 的 W i n d o w s   I n s t a l l e r 补 丁 文 件 ， 其 中 包 括 与 更 新 相 关 联 的 压 缩 资 源 ， 其 中 包 括 木 马 S o l a r W i n d s . O r i o n . C o r e . B u s i n e s s L a y e r . d l l 组 件 。 一 旦 安 装 了 更 新 ， 恶 意 D L L 将 由 合 法 的 S o l a r W i n d s . B u s i n e s s L a y e r H o s t . e x e 或 S o l a r W i n d s . B u s i n e s s L a y e r H o s t x 6 4 . e x e 加 载 （ 取 决 于 系 统 配 置 ） 。 经 过 长 达 两 周 的 休 眠 期 后 ， 该 恶 意 软 件 将 尝 试 解 析 a v s v m c l o u d [ 。 ]   c o m 的 子 域 。 D N S 响 应 将 返 回 指 向 命 令 和 控 制 （ C 2 ） 域 的 C N A M E 记 录 。 到 恶 意 域 的 C 2 流 量 旨 在 模 拟 正 常 的 S o l a r W i n d s A P I 通 信 。 已 知 恶 意 基 础 结 构 的 列 表 可 在 F i r e E y e 的 G i t H u b 页 面 上 找 到 。 请 参 考 ： h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 2 0 / 1 2 / e v a s i v e - a t t a c k e r - l e v e r a g e s - s o l a r w i n d s - s u p p l y - c h a i n - c o m p r o m i s e s - w i t h - s u n b u r s t - b a c k d o o r . h t m l ? 1

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理