搜索

[10420] 2016-08-23_威胁分析TurlaAPT所用的多个IP隶属多家卫星服务运营商

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-08-23_威胁分析TurlaAPT所用的多个IP隶属多家卫星服务运营商 威 胁 分 析   |   T u r l a   A P T 所 用 的 多 个 I P 隶 属 多 家 卫 星 服 务 运 营 商 c l o u d s   F r e e B u f   2 0 1 6 - 0 8 - 2 3 近 期 ， 近 期 ， P a s s i v e T o t a l 针 对 针 对 T u r l a   A P T 所 用 所 用 I P 的 自 签 名 证 书 进 行 了 关 联 分 析 ， 最 终 发 现 的 自 签 名 证 书 进 行 了 关 联 分 析 ， 最 终 发 现 T u r l a   A P T 的 多 个 攻 击 的 多 个 攻 击 I P 隶 属 于 多 家 卫 星 隶 属 于 多 家 卫 星 服 务 运 营 商 ， 并 且 攻 击 者 还 通 过 这 些 服 务 运 营 商 ， 并 且 攻 击 者 还 通 过 这 些 I P 注 册 了 大 量 新 的 注 册 了 大 量 新 的 C & C 域 名 。 域 名 。 F r e e B u f 百 科 百 科 T u r l a   A P T 组 织 ， 也 被 称 为 S n a k e 或 者 U r o b o r o s ， 是 迄 今 为 止 高 级 别 的 A P T 组 织 之 一 ， 卡 巴 斯 基 于 2 0 1 5 年 9 月 发 现 T u r l a 活 跃 时 间 长 达 8 年 ， 其 利 用 卫 星 通 信 固 有 的 安 全 缺 陷 隐 藏 C & C 服 务 器 位 置 和 控 制 中 心 。 自 签 名 证 书 ： 是 一 种 由 签 名 实 体 颁 发 给 自 身 的 证 书 ， 即 发 布 者 和 证 书 主 体 相 同 。 对 客 户 端 来 说 ， 是 一 种 非 权 威 、 不 信 任 的 证 书 ， 而 对 于 服 务 端 的 主 要 目 的 为 数 据 加 密 和 保 证 完 整 性 和 不 可 抵 赖 性 。 1   攻 击 架 构 分 析 攻 击 架 构 分 析 以 I P 地 址 和 对 应 域 名 关 系 链 为 分 析 途 径 ， 以 S S L 证 书 数 据 为 分 析 重 点 ：
P a s s i v e T o t a l 通 过 对 相 关 S S L 证 书 哈 希 值 进 行 对 比 关 联 ， 发 现 T u r l a   A P T 的 某 些 连 接 特 征 可 以 追 溯 至 2 0 1 3 年 ， 且 大 量 攻 击 I P 对 应 的 S S L 证 书 与 I P   8 3 . 2 2 9 . 7 5 . 1 4 1 有 关 ， 且 为 同 一 证 书 。 以 下 为 证 书 信 息 ： 证 书 为 有 效 期 1 0 年 的 自 签 名 证 书 ， 无 认 证 链 和 详 细 信 息 ， 只 有 名 为 U b u n t u 的 通 用 名 称 。 该 证 书 在 2 0 1 5 年 8 月 出 现 ， 且 2 0 1 6 年 1 月 与 一 起 攻 击 事 件 的 I P 结 点 相 关 ：
通 过 与 T u r l a 攻 击 架 构 对 比 发 现 ， T u r l a 攻 击 中 存 在 与 此 证 书 相 关 的 大 量 I P 和 域 名 ： 以 S S L 证 书 S H A - 1 哈 希 值 f 4 1 5 8 4 4 6 8 0 e d 9 1 1 8 e a 7 4 e 0 c 7 7 1 2 b 3 5 0 4 4 f 0 c c 2 0 d 为 对 比 ， 我 们 发 现 了 与 6 家 卫 星 服 务 运 营 商 相 关 的 另 外 2 6 个 I P 地 址 ， 这 6 家 卫 星 服 务 运 营 商 为 ： 2   证 书 变 化 证 书 变 化 T u r l a   A P T   涉 及 的 4 2 个 相 关 I P 地 址 都 基 于 同 一 自 签 名 S S L 证 书 ： 当 P a s s i v e T o t a l 发 布 了 上 述 攻 击 架 构 的 分 析 报 告 之 后 ， 该 自 签 名 证 书 发 生 了 改 变 ： S k y v i s i o n （ 英 国 卫 星 服 务 运 营 商 ， 卡 巴 斯 基 报 告 中 曾 提 及 ） S i d u s （ 美 国 卫 星 广 播 服 务 供 应 商 ） T e l e s a t （ 澳 门 宇 宙 卫 星 服 务 运 营 商 ， 卡 巴 斯 基 报 告 中 曾 提 及 ） A s t r i u m （ 欧 洲 阿 斯 特 里 姆 卫 星 服 务 运 营 商 ） I m p u l s   H e l l a s （ 希 腊 卫 星 服 务 运 营 商 ） A s i a   B r o a d c a s t   N e t w o r k s （ 亚 洲 广 播 卫 星 公 司 ）
以 上 变 化 表 明 ， T u r l a   A P T 并 没 有 放 弃 之 前 的 攻 击 架 构 ， 这 些 攻 击 架 构 对 其 可 能 还 存 在 利 用 价 值 。 通 过 对 I P 和 对 应 域 名 分 析 ， 结 合 M a l t e g o 的 关 联 结 果 ， 我 们 发 现 攻 击 者 基 于 该 自 签 名 证 书 注 册 了 一 些 新 的 攻 击 架 构 ：
下 图 为 T u r l a   A P T 新 注 册 的 I P 和 相 关 域 名 关 联 信 息 ： 3   结 论 结 论 T u r l a   A P T 所 利 用 的 攻 击 架 构 虽 然 已 不 作 为 主 要 的 C & C 服 务 ， 但 仍 然 处 于 活 跃 状 态 。 证 书 注 册 和 域 名 变 化 信 息 表 明 这 些 攻 击 架 构 可 能 被 攻 击 者 运 用 于 一 些 常 规 操 作 或 低 价 值 目 标 攻 击 活 动 。 4   I O C I P   地 址 ：
域 名 ： S H A - 1 : * 本 文 译 者 ： c l o u d s ， 编 译 来 源 ： P a s s i v e T o t a l ， 未 经 许 可 禁 止 转 载 2 0 9 . 2 3 9 . 7 9 . 6 9   8 2 . 1 4 6 . 1 7 4 . 2 4 0   8 2 . 1 4 6 . 1 6 6 . 6 1   1 9 3 . 2 2 0 . 5 5 . 6   8 3 . 2 2 9 . 6 2 . 2 1 2   1 6 9 . 2 5 5 . 1 0 0 . 1 5 2   1 1 3 . 2 0 8 . 8 1 . 3 3   8 2 . 1 4 6 . 1 7 4 . 4 0   8 2 . 1 4 6 . 1 7 5 . 5 2   1 1 3 . 2 0 8 . 8 1 . 4 8   8 3 . 2 2 9 . 7 5 . 1 4 1   7 7 . 2 4 6 . 7 6 . 1 9   2 0 9 . 2 3 9 . 7 9 . 1 2 1   2 0 9 . 2 3 9 . 7 9 . 1 2 5   2 1 7 . 1 9 4 . 1 5 0 . 3 1   8 2 . 1 4 6 . 1 6 6 . 5 8   2 1 7 . 1 9 4 . 1 4 9 . 1 1 1   1 6 9 . 2 5 5 . 1 0 0 . 1 2 2   1 6 9 . 2 5 5 . 1 0 1 . 6 5   1 1 3 . 2 0 8 . 8 1 . 5 5   2 1 7 . 8 . 3 6 . 2 3 9   8 3 . 2 2 9 . 6 2 . 2 1 0   8 2 . 1 4 6 . 1 7 5 . 4 8   8 2 . 1 4 6 . 1 7 5 . 6 9   4 1 . 2 0 3 . 7 9 . 7 4   7 7 . 7 3 . 1 8 7 . 2 2 3   2 1 7 . 1 9 4 . 1 5 0 . 2 2 t r y t o w i n [ . ] i g n o r e l i s t [ . ] c o m   t r e e s o f t e r [ . ] m o o o [ . ] c o m   s p o r t i n f o [ . ] y o u r t r a p [ . ] c o m   p r o f o u n d [ . ] z z u x [ . ] c o m   b a d g e t [ . ] i g n o r e l i s t [ . ] c o m   n o r w a y n e w s [ . ] m o o o [ . ] c o m   d e l l s e r v i c e [ . ] p u b l i c v m [ . ] c o m   p r i c e l i n e [ . ] p u b l i c v m [ . ] c o m   f o r u m g e e k [ . ] z z u x [ . ] c o m   m o u s e s [ . ] s t r a n g l e d [ . ] n e t f 4 1 5 8 4 4 6 8 0 e d 9 1 1 8 e a 7 4 e 0 c 7 7 1 2 b 3 5 0 4 4 f 0 c c 2 0 d
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理