搜索

[7140] 2020-12-13_安全公司FireEye武器泄漏事件分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-17
2020-12-13_安全公司FireEye武器泄漏事件分析 安 全 公 司 F i r e E y e 武 器 泄 漏 事 件 分 析 E 安 全   2 0 2 0 - 1 2 - 1 3 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 实 验 室 1 2 月 8 日 ， 美 国 网 络 安 全 公 司   F i r e E y e   （ 中 文 名 ： 火 眼 ） 官 方 博 客 连 续 发 布 2 篇 博 文 ， 一 篇 坦 诚 最 近 受 到 了 一 次 高 度 复 杂 的 网 络 攻 击 ， 造 成 其 用 于 测 试 客 户 安 全 防 御 能 力 的 R e d   T e a m （ 红 队 ） 工 具 外 泄 ； 另 一 篇 是 报 道 F i r e E y e 担 心 自 己 的 客 户 被 其 红 队 工 具 所 影 响 ， 发 布 了 用 于 反 制 检 测 泄 漏 工 具 的 策 略 。 F i r e E y e 客 户 从 美 国 联 邦 、 州 、 地 方 政 府 ， 到 国 际 企 业 都 有 ， 甚 至 与 美 国 国 土 安 全 部 也 有 合 作 关 系 。 该 公 司 并 未 透 露 入 侵 在 什 么 时 间 发 生 ， 具 体 攻 击 者 是 谁 ， 仅 指 透 露 攻 击 团 队 由 一 个 拥 有 顶 尖 入 侵 能 力 的 国 家 所 资 助 。 据 网 络 安 全 公 司 R e n d i t i o n   I N f o s e c 总 裁 ， 前 N S A 黑 客 威 廉 斯 （ J a k e   W i l l i a m s ） 透 露 ， 这 次 事 件 与 过 往 俄 国 攻 击 者 行 动 相 当 一 致 ， 目 前 调 查 也 交 由 联 邦 调 查 局 （ F B I ） 专 家 主 导 ， 知 情 者 透 露 这 次 攻 击 是 俄 罗 斯 对 外 情 报 局 所 为 。 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
泄 漏 工 具 及 策 略 分 析 泄 漏 工 具 及 策 略 分 析 据 F i r e E y e 披 露 ， 其 被 盗 工 具 的 涉 及 范 围 ， 从 用 于 自 动 化 侦 察 的 简 单 脚 本 到 类 似 于 C o b a l t S t r i k e 和 M e t a s p l o i t 等 公 开 技 术 的 整 个 框 架 。 他 们 把 许 多 红 队 工 具 收 集 以 后 已 经 发 布 到 开 源 G i t h u b 社 区 ， 其 开 源 渗 透 攻 击 的 虚 拟 机 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / f i r e e y e / c o m m a n d o - v m 看 其 G i t h u b 介 绍 ， 里 面 覆 盖 了 信 息 收 集 、 漏 洞 扫 描 、 漏 洞 利 用 、 C 2 程 序 、 安 全 绕 过 、 凭 证 获 取 等 工 具 以 及 一 些 用 于 分 析 、 开 发 、 调 试 的 工 具 。
该 系 统 类 似 著 名 的 K a i l 渗 透 系 统 。 红 队 工 具 对 应 的 检 测 规 则 的 G i t h u b 项 目 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / f i r e e y e / r e d _ t e a m _ t o o l _ c o u n t e r m e a s u r e s 该 G i t h u b 项 目 才 发 布 到 现 在 ， 已 经 有 1 7 0 0 多 人 关 注 。
安 恒 信 息 威 胁 情 报 中 心 猎 影 实 验 室 安 恒 信 息 威 胁 情 报 中 心 猎 影 实 验 室 对 该 项 目 进 行 了 详 细 分 析 ， 发 现 其 主 要 是 检 测 在 渗 透 测 试 服 务 过 程 中 涉 及 的 工 具 ， 工 具 包 包 括 入 侵 的 持 久 化 、 程 序 的 权 限 提 升 、 防 御 的 绕 过 、 凭 证 的 获 取 、 横 向 的 移 动 等 各 个 阶 段 。 目 前 公 布 的 策 略 类 型 包 括 O p e n I O C 、 Y a r a 、 S n o r t   和   C l a m A V 规 则 4 类 ， 检 测 规 则 共 3 1 1 条 ， 规 则 分 布 如 下 ： 这 4 类 特 征 适 用 的 产 品 如 下 ： 恶 意 程 序 特 征 引 擎 Y a r a 和 C l a m A V 功 能 类 似 ， Y a r a 相 对 来 说 扩 展 性 更 强 ， 它 们 一 般 用 于 文 件 检 测 ， 常 见 文 件 类 查 杀 类 产 品 适 用 ， 如 某 些 杀 毒 软 件 、 A P T 、 E D R 等 产 品 ， 当 然 沙 盒 类 产 品 也 是 适 用 。 入 侵 检 测 工 具 S n o r t 一 般 用 于 流 量 检 测 ， 常 用 见 于 D P I 、 I P S 、 A P T 等 产 品 。 威 胁 情 报 共 享 框 架 O p e n I O C 用 于 情 报 共 享 ， 通 常 是 X M L 格 式 ， 方 便 转 化 到 其 他 产 品 赋 能 使 用 ， 如 S I E M 、 E D R 等 。 对 于 大 家 比 较 关 心 的 0 d a y 问 题 ， F i r e E y e 自 己 发 布 的 文 章 称 ， 这 些 工 具 模 仿 了 许 多 网 络 攻 击 者 的 行 为 ， 主 要 为 F i r e E y e 的 客 户 提 供 基 本 的 渗 透 测 试 服 务 ， 并 没 有 包 含 0 d a y 漏 洞 。 通 过 检 测 策 略 来 看 并 未 发 现 0 d a y ， 漏 洞 列 表 如 下 ：
目 前 ， 有 国 外 安 全 研 究 人 员 使 用 f i r e e y e 泄 漏 的 y a r a 策 略 在 系 统 中 捕 获 大 量 相 关 文 件 ， 并 将 其 公 布 在 网 上 ：
通 过 访 问 下 面 地 址 获 取 相 关 I O C 信 息 ： h t t p s : / / d o c s . g o o g l e . c o m / s p r e a d s h e e t s / d / 1 u R A T - k h T d p 7 f p 1 5 X w k i D X o 8 b D 0 F z b d k e v J 2 C e y X e O R s / e d i t # g i d = 3 6 1 0 2 6 6 3 我 们 发 现 部 分 样 本 存 在 所 有 杀 毒 软 件 无 法 检 测 的 情 况 。 事 件 思 考 事 件 思 考
国 内 重 要 活 动 保 障 期 间 ， 攻 击 方 使 用 各 种 O A 、 C M S 的 0 d a y 满 天 飞 ， 防 守 方 频 繁 失 分 。 F i r e E y e 作 为 高 水 平 的 红 队 选 手 ， 不 确 定 这 块 信 息 是 否 也 被 盗 取 。 依 稀 还 记 得 一 伙 叫 做 “ 影 子 经 纪 人 ” （ S h a d o w   B r o k e r s ） 的 神 秘 黑 客 组 织 窃 取 了 美 国 N S A 的 机 密 文 件 后 ， 陆 续 将 这 些 机 密 外 泄 ， 让 强 大 的 网 络 武 器 掌 握 在 任 何 人 手 中 ， 导 致 后 来 的 W a n n a C r y 勒 索 病 毒 爆 发 。 W a n n a C r y 勒 索 病 毒 攻 击 者 正 是 利 用 他 们 泄 露 的 漏 洞 利 用 才 掀 起 一 场 “ 血 雨 腥 风 ” 。 针 对 红 队 被 黑 的 情 况 也 让 我 们 想 到 了 防 守 方 溯 源 反 制 ， 溯 源 反 制 也 是 热 点 话 题 ， 存 在 不 少 成 功 案 例 。 攻 击 者 的 防 御 意 识 相 对 攻 击 能 力 来 说 薄 弱 一 些 ， 使 用 的 工 具 可 能 存 在 不 安 全 的 因 素 ， 如 著 名 的 A W V S 漏 洞 扫 描 工 具 在 低 于 9 . 5 版 本 存 在 远 程 漏 洞 ， 黑 客 扫 描 时 可 能 导 致 黑 客 自 己 的 电 脑 被 注 入 木 马 程 序 。 前 段 时 间 ， 红 蓝 对 抗 常 用 工 具 C o b a l t S t r i k e （ 简 称 C S ） 服 务 端 的 远 程 探 测 方 法 被 公 开 ， 也 说 明 防 御 者 也 在 进 步 。 解 决 方 案 解 决 方 案 目 前 ， 安 恒 信 息 已 经 支 持 相 关 维 度 （ 即 文 件 、 流 量 、 情 报 ） 的 检 测 产 品 ， 已 经 支 持 F i r e E y e   被 盗 红 队 工 具 的 检 测 防 御 ， 建 议 部 署 安 恒 相 关 产 品 ， 如 安 恒 A P T 攻 击 预 警 平 台 ， 检 测 截 图 如 下 ：
安 信 信 息 客 户 可 通 过 获 取 在 线 或 离 线 升 级 包 ， 更 新 平 台 相 关 检 测 规 则 。 安 恒 A P T 攻 击 预 警 平 台 能 够 发 现 已 知 或 未 知 威 胁 ， 平 台 能 实 时 监 控 、 捕 获 和 分 析 恶 意 文 件 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 、 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 关 联 的 木 马 等 恶 意 样 本 进 行 强 有 力 的 监 测 。 同 时 ， 平 台 根 据 双 向 流 量 分 析 、 智 能 的 机 器 学 习 、 高 效 的 沙 箱 动 态 分 析 、 丰 富 的 特 征 库 、 全 面 的 检 测 策 略 、 海 量 的 威 胁 情 报 等 ， 对 网 络 流 量 进 行 深 度 分 析 。 检 测 能 力 完 整 覆 盖 整 个 A P T 攻 击 链 ， 有 效 发 现 A P T 攻 击 、 未 知 威 胁 及 用 户 关 心 的 网 络 安 全 事 件 。 关 于 猎 影 实 验 室 关 于 猎 影 实 验 室 猎 影 实 验 室 是 一 支 关 注 A P T 攻 防 的 团 队 ， 主 要 的 研 究 方 向 包 括 ： 收 集 A P T 攻 击 组 织 & 情 报 、 A P T 攻 击 检 测 、 A P T 攻 击 分 析 、 A P T 攻 击 防 御 、 A P T 攻 击 溯 源 以 及 最 新 A P T 攻 击 手 段 的 研 究 。 围 观 人 才 战 略 2 . 0 ｜ 安 恒 信 息 发 布 2 0 2 1 届 校 招 “ 秋 季 才 报 ” 热 文 年 末 钜 惠 ｜ 安 恒 信 息 携 手 A W S   M a r k e t p l a c e   C h i n a ， 打 造 云 安 全 盛 宴 热 文 合 作 再 深 化 ｜ 公 安 部 第 三 研 究 所 与 安 恒 信 息 签 署 战 略 合 作 协 议 ， 共 建 联 合 实 验 室 往 期 精 选

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理