搜索

[9702] 2016-01-01_境外“暗黑客栈”组织对国内企业高管发起APT攻击

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-01-01_境外“暗黑客栈”组织对国内企业高管发起APT攻击 境 外 “ 暗 黑 客 栈 ” 组 织 对 国 内 企 业 高 管 发 起 A P T 攻 击 T h r e a t b o o k   F r e e B u f   2 0 1 6 - 0 1 - 0 1 当 你 启 程 前 往 伊 萨 卡 ， 但 愿 你 的 道 路 漫 长 ， 充 满 奇 迹 ， 充 满 发 现 当 你 启 程 前 往 伊 萨 卡 ， 但 愿 你 的 道 路 漫 长 ， 充 满 奇 迹 ， 充 满 发 现 — — 卡 瓦 菲 斯 （ 希 腊 ） 。 卡 瓦 菲 斯 （ 希 腊 ） 。 以 此 纪 念 以 此 纪 念 2 0 1 5 ， 即 将 逝 去 的 中 国 威 胁 情 报 元 年 。 ， 即 将 逝 去 的 中 国 威 胁 情 报 元 年 。 0 x 0 0 摘 要 摘 要 A d o b e 于 于 1 2 月 月 2 8 日 发 布 了 一 个 应 急 补 丁 用 于 修 复 日 发 布 了 一 个 应 急 补 丁 用 于 修 复 F l a s h 播 放 器 的 多 个 安 全 漏 洞 。 有 线 索 表 明 其 中 之 一 已 被 用 于 播 放 器 的 多 个 安 全 漏 洞 。 有 线 索 表 明 其 中 之 一 已 被 用 于 A P T ( 高 高 级 可 持 续 性 级 可 持 续 性 ) 攻 击 ， 国 外 有 媒 体 揣 测 其 攻 击 目 标 为 国 内 某 著 名 攻 击 ， 国 外 有 媒 体 揣 测 其 攻 击 目 标 为 国 内 某 著 名 I T 企 业 企 业 （ （ h t t p : / / w w w . t h e r e g i s t e r . c o . u k / 2 0 1 5 / 1 2 / 2 8 / a d o b e _ f l a s h _ s e c u r i t y _ u p d a t e / ） ， 微 步 在 线 尚 未 发 现 任 何 证 据 支 持 此 结 论 。 ） ， 微 步 在 线 尚 未 发 现 任 何 证 据 支 持 此 结 论 。 但 溯 源 分 析 表 明 确 有 境 外 黑 客 团 伙 利 用 此 漏 洞 针 对 中 国 及 亚 洲 企 业 的 高 管 发 起 A P T 攻 击 ， 此 团 伙 即 代 号 为 暗 黑 客 栈 （ D a r k H o t e l ） 的 A P T 攻 击 组 织 。 现 阶 段 尚 不 确 定 此 攻 击 是 否 有 更 复 杂 的 背 景 。 我 们 建 议 企 业 高 管 们 立 即 采 取 以 下 措 施 ： 1 . 立 即 升 级 F l a s h 播 放 器 ； 2 . 不 要 点 击 陌 生 邮 件 的 附 件 或 链 接 ； 3 . 连 接 酒 店 W I F I 请 慎 重 ， 收 发 敏 感 信 息 可 用 移 动 通 信 网 络 。 0 x 0 1   威 胁 事 件 分 析 威 胁 事 件 分 析 在 A d o b e 于 1 2 月 2 8 日 发 布 的 1 9 个 安 全 漏 洞 的 应 急 （ O O B ） 补 丁 中 ， C V E - 2 0 1 5 - 8 6 5 1 被 A d o b e 标 注 为 已 用 于 A P T 攻 击 。 微 步 在 线 通 过 对 多 宗 活 跃 A P T 威 胁 事 件 的 跟 踪 及 对 C V E - 2 0 1 5 - 8 6 5 1 攻 击 的 分 析 ， 确 定 了 攻 击 流 及 攻 击 者 身 份 。 通 过 对 捕 获 的 可 疑 S W F 文 件 进 行 分 析 ， 确 认 此 样 本 利 用 了 A d o b e   F l a s h 整 数 溢 出 漏 洞 ( 即 此 次 A d o b e 修 复 的 C V E - 2 0 1 5 - 8 6 5 1 漏 洞 ) 。 受 攻 击 者 访 问 此 S W F 文 件 后 ， 漏 洞 利 用 成 功 会 跳 转 到 下 面 这 段 s h e l l c o d e :
其 主 要 功 能 是 下 载 一 个 名 为 u p d a t e . e x e 的 文 件 到 系 统 的 % t e m p % 目 录 下 ， 通 过 R C 4 解 密 并 且 通 过 E C H O 加 可 执 行 文 件 的 “ M Z ” 头 来 构 建 有 效 的 P E 文 件 ， 然 后 运 行 。 U p d a t e . e x e 约 1 . 3 M b , 具 有 完 整 的 文 件 属 性 ， 伪 装 成 S S H 密 钥 生 成 工 具 ： 通 过 逆 向 分 析 发 现 ， 木 马 作 者 篡 改 和 裁 剪 了 正 常 的 O p e n S S L 文 件 ， 篡 改 后 的 版 本 只 提 供 一 个 参 数 ： - g e n k e y p a i r 。 无 论 是 否 传 递 此 参 数 ， 木 马 文 件 都 会 首 先 释 放 一 个 公 钥 在 当 前 目 录 用 于 干 扰 判 断 ， 同 时 进 入 真 正 的 恶 意 代 码 部 分 。 此 样 本 未 进 行 代 码 混 淆 ， 但 是 采 用 了 多 种 反 调 试 / 反 虚 拟 机 技 术 及 字 段 加 密 ， 通 过 检 测 各 种 系 统 环 境 来 判 断 是 否 有 反 病 毒 软 件 及 沙 箱 存 在 ， 比 如 ： U p d a t e . e x e 是 一 个 T r o j a n   D o w n l o a d e r ， 利 用 执 行 m s h t a . e x e 来 下 载 木 马 文 件 ， 木 马 文 件 服 务 器 位 于 冰 岛 。 形 式 如 下 ： C : W i n d o w s s y s t e m 3 2 m s h t a . e x e   h x x p : / / * * * * . c o m / i m a g e / r e a d . p h p … . . 0 x 0 2   攻 击 团 伙 分 析 攻 击 团 伙 分 析 随 着 对 此 攻 击 事 件 的 目 标 、 工 具 、 手 法 和 过 程 更 详 细 的 分 析 ， 我 们 发 现 其 特 点 和 暗 黑 客 栈 （ D a r k h o t e l ） 有 着 非 常 惊 人 的 一 致 。
暗 黑 客 栈 （ D a r k h o t e l ） A P T 攻 击 团 伙 的 踪 迹 最 早 可 以 追 溯 到 2 0 0 7 年 ， 其 从 2 0 1 0 年 开 始 更 多 的 利 用 企 业 高 管 在 商 业 旅 行 中 访 问 酒 店 网 络 的 时 机 ， 进 行 A P T 攻 击 来 窃 取 信 息 。 因 此 在 2 0 1 4 年 卡 巴 斯 基 发 布 针 对 此 团 队 的 研 究 报 告 时 ， 将 其 命 名 为 “ D a r k h o t e l ” 。 此 团 伙 攻 击 目 标 集 中 在 亚 太 地 区 开 展 业 务 和 投 资 的 企 业 高 管 （ 如 ： C E O 、 S V P 、 高 管 及 高 级 研 发 人 员 ） ， 攻 击 的 行 业 包 括 大 型 电 子 制 造 和 通 信 、 投 资 、 国 防 工 业 、 汽 车 等 。 此 团 队 使 用 零 日 漏 洞 （ 特 别 是 F l a s h 类 型 ） 来 进 行 攻 击 ， 并 规 避 最 新 的 防 御 措 施 ， 同 时 也 会 盗 窃 合 法 的 数 字 证 书 为 后 门 软 件 及 监 听 工 具 进 行 签 名 。 如 果 有 一 个 目 标 已 经 被 有 效 感 染 ， 往 往 就 会 从 作 案 点 删 除 他 们 的 工 具 ， 进 而 隐 藏 自 己 的 活 动 踪 迹 。 从 其 行 动 特 点 看 ， 具 有 极 高 的 技 术 能 力 及 充 沛 的 资 源 。 我 们 对 此 次 事 件 和 暗 黑 客 栈 （ D a r k h o t e l ） 的 特 点 进 行 了 对 比 ， 认 为 有 充 足 理 由 认 定 其 就 是 始 作 俑 者 。 0 x 0 3   小 结 小 结 通 过 此 事 件 ， 我 们 再 次 认 识 到 在 万 物 互 联 的 年 代 ， 单 纯 基 于 漏 洞 的 防 御 往 往 是 防 不 胜 防 。 只 要 有 足 够 的 价 值 ， 黑 客 就 有 足 够 的 投 入 和 机 会 攻 陷 目 标 。 我 们 需 要 及 时 的 调 整 防 御 思 路 ， 平 衡 安 全 投 入 ， 更 多 的 聚 焦 威 胁 ， 以 威 胁 情 报 驱 动 安 全 体 系 建 设 ， 建 立 防 御 、 检 测 、 响 应 及 预 防 一 套 完 整 的 安 全 自 适 应 过 程 。 * 本 文 作 者 ： T h r e a t b o o k ( 微 步 在 线 )   是 国 内 首 家 专 注 于 安 全 威 胁 情 报 的 创 业 公 司 ， 欢 迎 交 流 @ 安 全 威 胁 情 报
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理