搜索

[10437] 2016-08-27_中东网络暗战：针对叙利亚反对派的网络攻击Group5

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-08-27_中东网络暗战：针对叙利亚反对派的网络攻击Group5 中 东 网 络 暗 战 ： 针 对 叙 利 亚 反 对 派 的 网 络 攻 击 G r o u p 5 c l o u d s   F r e e B u f   2 0 1 6 - 0 8 - 2 7 1   概 要 概 要 1   概 要 概 要 本 报 告 描 述 了 以 叙 利 亚 反 对 派 为 目 标 ， 精 心 策 划 的 恶 意 软 件 攻 击 ， 攻 击 者 使 用 了 一 系 列 黑 客 工 具 和 技 术 ， 针 对 叙 利 亚 反 对 本 报 告 描 述 了 以 叙 利 亚 反 对 派 为 目 标 ， 精 心 策 划 的 恶 意 软 件 攻 击 ， 攻 击 者 使 用 了 一 系 列 黑 客 工 具 和 技 术 ， 针 对 叙 利 亚 反 对 派 重 要 人 士 的 电 脑 和 手 机 系 统 进 行 渗 透 攻 击 。 我 们 于 派 重 要 人 士 的 电 脑 和 手 机 系 统 进 行 渗 透 攻 击 。 我 们 于 2 0 1 5 年 底 由 一 位 叙 利 亚 反 对 派 人 士 曝 料 的 年 底 由 一 位 叙 利 亚 反 对 派 人 士 曝 料 的 P P T 文 件 发 现 了 该 网 络 攻 文 件 发 现 了 该 网 络 攻 击 。 击 。 在 调 查 初 期 ， 我 们 发 现 了 水 坑 攻 击 网 站 、 恶 意 在 调 查 初 期 ， 我 们 发 现 了 水 坑 攻 击 网 站 、 恶 意 P P T 文 件 和 文 件 和 A n d r i o d 恶 意 程 序 等 明 显 针 对 叙 反 对 派 的 线 索 。 恶 意 程 序 等 明 显 针 对 叙 反 对 派 的 线 索 。 自 叙 爆 发 冲 突 以 来 ， 被 发 现 对 叙 反 对 派 发 起 网 络 攻 击 的 组 织 有 ： 以 政 权 为 目 的 某 恶 意 软 件 攻 击 组 织 、 F i r e e y e 发 现 的 叙 利 亚 电 子 军 、 I S I S 以 及 某 黎 巴 嫩 组 织 ， 为 了 区 分 ， 我 们 把 该 报 告 中 涉 及 的 攻 击 组 织 命 名 为 ： G r o u p 5 ( 第 5 类 组 织 ） 。
G r o u p 5 与 其 它 攻 击 组 织 不 同 ， 使 用 了 未 曾 发 现 的 技 术 工 具 ， 攻 击 者 熟 悉 伊 朗 波 斯 方 言 软 件 和 伊 朗 主 机 托 管 公 司 ， 而 且 攻 击 中 某 些 操 作 似 乎 发 起 于 伊 朗 I P 地 址 。 我 们 确 信 G r o u p 5 目 前 还 处 于 攻 击 早 期 ， 后 续 还 可 能 扩 大 攻 击 面 。 最 终 分 析 表 明 ， G r o u p 5 是 针 对 叙 利 亚 且 与 伊 朗 有 关 的 一 个 新 型 网 络 攻 击 组 织 。   2   发 现 发 现 G r o u p 5 2   发 现 发 现 G r o u p 5 2 0 1 5 年 1 0 月 ， G r o u p 5 针 对 叙 反 对 派 的 恶 意 电 子 邮 件 首 次 被 发 现 。 1 0 月 3 日 ， 叙 利 亚 反 对 党 全 国 委 员 会 （ S N C ) 前 副 主 席 N o u r a   A l - A m e e r ， 收 到 了 一 封 伪 装 为 某 人 权 组 织 的 恶 意 电 子 邮 件 ， 邮 件 以 “ A s s a d   C r i m e s ” （ 阿 萨 德 的 罪 行 ） 为 主 题 ， 发 件 人 为 o f f i c e @ a s s a d c r i m e s [ . ] i n f o ， 恶 意 邮 件 附 件 中 包 含 有 P P S X 的 幻 灯 片 文 档 。
图 ： 叙 利 亚 反 对 党 全 国 委 员 会 （ S N C ) 前 副 主 席 N o u r a   A l - A m e e r   恶 意 邮 件 恶 意 邮 件 翻 译 为 ： F r o m :   o f f i c e @ a s s a d c r i m e s [ . ] i n f o T o : S u b j e c t :   I r a n   i s   k i l l i n g   t h e   P i l g r i m s   i n   M i n a B o d y :   I r a n ’ s   C r i m e s   i n   t h e   K i n g d o m   o f   S a u d i   A r a b i a 包 含 附 件 ： A s s a d c r i m e s . p p s x M D 5   :   7 6 F 8 1 4 2 B 4 E 5 2 C 6 7 1 8 7 1 B 3 D F 8 7 F 1 0 C 3 0 C 分 析 发 现 ， 邮 件 通 过 I P   8 8 . 1 9 8 . 2 2 2 [ . ] 1 6 3 发 送 ， 并 且 文 件 释 放 的 恶 意 软 件 C & C 地 址 也 为 8 8 . 1 9 8 . 2 2 2 [ . ] 1 6 3 。 诱 饵 附 件 内 容 诱 饵 附 件 内 容
A s s a d c r i m e s . p p s x 文 档 中 包 含 很 多 图 片 和 阿 拉 伯 文 字 ， 并 以 一 系 列 照 片 和 卡 通 形 象 描 述 当 前 的 敏 感 政 治 事 件 ， 一 旦 文 档 被 打 开 ， 受 害 者 电 脑 将 会 自 动 下 载 并 执 行 恶 意 程 序 。 图 ： 附 件 幻 灯 片 截 图   翻 译 为 ： O n   1 4 0 4   A . H   –   1 9 8 4   A . D   I r a n i a n   w a r s h i p   a t t a c k e d   S a u d i   A r a b i a O n   1 4 0 4   A . H ,   t w o   I r a n i a n   w a r   p l a n e s   h e a d e d   t o   J u b a i l   i n d u s t r i a l   c i t y ,   t o   b o m b   a n d   h i t   c r i t i c a l   f a c t o r i e s   ( P e t r o c h e m i c a l   f a c t o r y )   a n d   b y   g o d ’ s w e l l ,   t h e   S a u d i ’ s   a i r   f o r c e s   w a s   a b l e   t o   h i t   o n e   p l a n e ,   w h i l e   t h e   o t h e r   m a n a g e d   t o   e s c a p e . 3   网 站 网 站 a s s a d c r i m e s [ . ] i n f o 3   网 站 网 站 a s s a d c r i m e s [ . ] i n f o 在 邮 件 发 送 地 址 中 ， 我 们 注 意 到 了 a s s a d c r i m e s [ . ]   i n f o   ， 一 个 由 攻 击 者 操 控 并 被 用 来 执 行 水 坑 攻 击 的 网 站 ， 网 站 在 首 页 位 置 显 示 了 标 题 为 “   B a s h a r   A s s a d   C r i m e s ” 的 文 章 ， 文 章 内 容 来 源 为 叙 利 亚 年 轻 政 治 犯   T a l   a l - M a l l o h i 的 博 客 。 后 来 ， 网 站 a s s a d c r i m e s [ . ]   i n f o   一 度 处 于 “ 过 期 ” 停 用 状 态 。
图 ： 水 坑 攻 击 网 站 a s s a d c r i m e s [ . ]   i n f o 截 图   G r o u p 5 通 过 a s s a d c r i m e s [ . ]   i n f o 网 站 进 行 的 目 标 攻 击 和 演 化 ：
图 ： G r o u p 5 的 目 标 关 系 利 用 网 站 传 播 的 恶 意 文 件 利 用 网 站 传 播 的 恶 意 文 件 通 过 监 测 ， 我 们 发 现 a s s a d c r i m e s [ . ]   i n f o 网 站 目 录 下 还 存 在 着 一 个 可 被 下 载 的 恶 意 文 件 a s s a d c r i m e s . i n f o . p p s x ， 文 件 以 图 片 和 卡 通 形 象 方 式 描 述 叙 利 亚 冲 突 问 题 ， 该 文 件 可 能 被 用 于 其 它 方 式 的 社 工 攻 击 。
图 ： A s s a d c r i m e s . i n f o . p p s x 文 件 截 图 被 杀 害 的 儿 童 被 杀 害 的 儿 童 在 网 站 上 我 们 还 发 现 了 一 些 执 行 恶 意 软 件 下 载 的 H T M L 页 面 ， 这 些 页 面 在 访 问 之 后 会 自 动 下 载 与 “ m a r t y r e d   c h i l d r e n ”   （ 被 杀 害 儿 童 ） 相 关 的 程 序 a l s h o h a d a a   a l a t f a l . e x e ， 该 程 序 执 行 后 以 古 塔 （   G h o u t a ） 化 学 袭 击 的 悲 惨 图 片 为 掩 盖 达 到 感 染 目 标 电 脑 目 的 。 图 ： ‘ a l s h o h a d a a a l a t f a l . e x e ’ 文 件 执 行 后 截 图  
A n d r i o d 恶 意 程 序 恶 意 程 序 我 们 在 a s s a d c r i m e s [ . ] i n f o 网 站 上 还 发 现 了 假 冒 A d o b e   F l a s h   P l a y e r 更 新 程 序 的 安 卓 恶 意 程 序 ， 在 第 4 部 分 我 们 将 详 细 描 述 。 a d o b e _ f l a s h _ p l a y e r . a p k M D 5 :   8 E B E B 3 F 9 1 C D A 8 E 9 8 5 A 9 C 6 1 B E B 8 C D D E 9 D 4   W i n d o w s 恶 意 程 序 恶 意 程 序 4   W i n d o w s 恶 意 程 序 恶 意 程 序 G r o u p 5 使 用 了 一 系 列 恶 意 软 件 ， 包 括 利 用 漏 洞 的 P P T 文 件 和 下 载 恶 意 软 件 的 可 执 行 程 序 。 恶 意 恶 意 P P T 文 件 文 件 从 对 A l - A m e e r 的 攻 击 中 ， 我 们 发 现 G r o u p 5 早 期 使 用 的 p p t 恶 意 文 件 使 用 了 两 步 技 术 ： 1 . 使 用 幻 灯 片 动 画 和 自 定 义 操 作 嵌 入 O L E   对 象 ， 2 . 进 入 放 映 视 图 后 触 发 C V E - 2 0 1 4 - 4 1 1 4 漏 洞 下 载 并 执 行 恶 意 代 码 。 F r e e b u f 百 科 ： 利 用 P o w e r P o i n t   自 定 义 操 作 上 传 恶 意 p a y l o a d 1 .   攻 击 者 创 建 一 个 新 的   P o w e r P o i n t   文 档 并 插 入 恶 意 脚 本 或 可 执 行 文 件 。 插 入 文 件 会 被 嵌 入 为 一 个   O L E   对 象 中 。 2 .   自 定 义 操 作 设 置 为 进 行 “ 上 一 张 ” 操 作 并 自 动 触 发 “ 活 动 内 容 ” 来 执 行 嵌 入 的   O L E   对 象 。 攻 击 者 使 用 幻 灯 片 动 画 和 自 定 义 操 作 代 替 宏 来 触 发 嵌 入 的   P a y l o a d 。 此 外 ， 不 同 于 传 统 的 使 用 宏 ， 用 户 不 需 要 进 行 操 作 允 许 执 行 脚 本 语 言 ， 取 而 代 之 是 让 用 户 确 认 他 们 想 运 行   P a y l o a d 。   图 ： 利 用 P P T 自 定 义 操 作 执 行 恶 意 p a y l o a d  
以 A s s a d c r i m e s . p p s x 为 例 ， 文 件 执 行 之 后 ， 下 载 生 成 目 录 文 件 % T E M P % p u t t y . e x e （ 一 个 . n e t 下 载 程 序 ） ， 之 后 ， P a y l o a d 还 将 继 续 执 行 下 载   h t t p : / / a s s a d c r i m e s [ . ] i n f o / 1 / d v m . e x e   ， 生 成 目 录 文 件   % t e m p % d w m . e x e ， 以 待 后 续 入 侵 。 图 ： p u t t y . e x e   d v m . e x e 文 件 下 载 代 码 文 件 最 终 目 的 是 向 受 害 者 电 脑 值 入 远 控 木 马 n j R A T 或 N a n o C o r e   R A T 。 远 控 木 马 远 控 木 马 为 了 规 避 杀 毒 软 件 查 杀 检 测 ， G r o u p 5 使 用 了 加 密 和 加 壳 技 术 对 植 入 受 害 者 系 统 的 木 马 客 户 端 进 行 混 淆 ， n j R A T 和 N a n o C o r e   R A T 功 能 多 样 ， 包 含 文 件 窃 取 、 截 屏 、 获 取 密 码 和 键 盘 记 录 、 远 程 操 控 麦 克 风 和 摄 像 头 等 。 图 ： n j R A T 针 对 目 标 系 统 的 操 作 执 行 界 面  
脱 壳 ： 攻 击 者 对 木 马 客 户 端 进 行 了 b a s e 6 4 的 加 壳 处 理 图 ： 加 壳 程 序 中 发 现 的 b a s e 6 4 字 符 串   加 密 ： 木 马 客 户 端 运 行 时 ， 在 内 存 中 被 以 b a s e 6 4 字 符 串 和 A E S 方 式 进 行 加 密 ， 以 下 为 N a n o C o r e   R A T 客 户 端 的 A E S 加 密 程 序 代 码 ： 图 ： A E S 加 密 程 序 代 码   5   A n d r i o d 恶 意 程 序 恶 意 程 序 5   A n d r i o d 恶 意 程 序 恶 意 程 序 在 网 站 a s s a d c r i m e s [ . ] i n f o 子 域 名 a n d r i o d . a s s a d c r i m e s . i n f o 下 ， 点 击 U P D A T E ， 将 会 执 行 下 载 假 冒 A d o b e   F l a s h   P l a y e r 更 新 程 序 的 安 卓 恶 意 程 序 a d o b e _ f l a s h _ p l a y e r . a p k
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理