搜索

[10460] 2016-09-02_关于近期曝光的针对银行SWIFT系统攻击事件综合分析

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2016-09-02_关于近期曝光的针对银行SWIFT系统攻击事件综合分析 关 于 近 期 曝 光 的 针 对 银 行 S W I F T 系 统 攻 击 事 件 综 合 分 析 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 6 - 0 9 - 0 2 一 、 一 、   概 述 概 述 2 0 1 6   年   2   月 孟 加 拉 国 央 行 被 黑 客 攻 击 导 致   8 1 0 0   万 美 元 被 窃 取 的 事 件 被 曝 光 后 ， 如 越 南 先 锋 银 行 、 厄 瓜 多 尔 银 行 等 ， 针 对 银 行   S W I F T   系 统 的 其 他 网 络 攻 击 事 件 逐 一 被 公 开 。 在 相 关 事 件 曝 光 后 ， 我 们 立 即 对 相 关 攻 击 事 件 的 展 示 溯 源 分 析 ， 就 越 南 先 锋 银 行 相 关 攻 击 样 本 ， 我 们 形 成 了 技 术 报 告 《 S W I F T   之 殇 — — 针 对 越 南 先 锋 银 行 的 黑 客 攻 击 技 术 初 探 》 在 分 析 孟 加 拉 国 央 行 和 越 南 先 锋 银 行 攻 击 事 件 期 间 ， 我 们 发 现 近 期 曝 光 的 这   4   起 针 对 银   行 的 攻 击 事 件 并 非 孤 立 的 ， 而 很 有 可 能 是 由 一 个 组 织 或 多 个 组 织 协 同 发 动 的 不 同 攻 击 行 动 。   另 外 通 过 对 恶 意 代 码 同 源 性 分 析 ， 我 们 可 以 确 定 本 次 针 对 孟 加 拉 国 央 行 和 越 南 先 锋 银 行 的 相   关 恶 意 代 码 与   L a z a r u s   组 织 （ A P T - C - 2 6 ） 有 关 联 ， 但 我 们 不 确 定 幕 后 的 攻 击 组 织 是   L a z a r u s   组   织 （ A P T - C - 2 6 ） 。   另 外 攻 击 组 织 对 目 标 银 行 作 业 流 程 极 为 熟 悉 ， 也 就 并 非 短 期 内 所 能 达 到 的 ， 我 们 推 测 在   侦 查 跟 踪 环 节 ， 攻 击 者 应 该 针 对 目 标 进 行 了 长 时 间 且 非 常 专 注 的 持 续 性 分 析 。   在 对 相 关 攻 击 事 件 的 分 析 和 剖 析 过 程 中 ， 也 暴 露 出 诸 多 银 行 等 金 融 行 业 本 身 的 安 全 问 题 。   如 这 一 系 列 攻 击 事 件 要 想 达 到 金 钱 窃 取 ， 前 提 就 需 要 获 得 银 行 本 身   S W I F T   操 作 权 限 ， 而 要 获 得 相 关 权 限 则 首 先 需 要 将 银 行 自 身 网 络 攻 陷 。   近 年 来 ， 针 对 银 行 、 证 券 等 金 融 行 业 的   A P T   攻 击 不 断 出 现 ， 尽 管 目 前 披 露 的 还 只 是 以   境 外 银 行 业 发 生 的 安 全 事 件 为 主 ， 但 是 网 络 攻 击 本 就 是 跨 国 界 的 ， 这 对 于 国 内 银 行 业 的 安 全   防 护 也 敲 响 了 警 钟 。 在 过 去 的 安 全 实 践 中 ， 我 们 不 止 一 次 发 现 了 国 内 金 融 行 业 曾 遭 受 到 了   A P T   攻 击 ， 安 全 态 势 并 不 是 天 下 太 平 。 再 结 合 之 前 安 天 移 动 发 布 的 《 针 对 移 动 银 行 和 金 融 支 付 的 持 续 黑 产 行 动 披 露 — — D a r k M o b i l e B a n k   跟 踪 分 析 报 告 》 中 所 披 露 的 地 下 黑 产 针 对 金 融   行 业 最 终 用 户 的 攻 击 现 状 ， 我 们 确 实 有 必 要 重 新 审 视 国 内 金 融 行 业 所 面 临 的 安 全 风 险 ， 以 及 在 过 去 的 安 全 规 划 与 建 设 基 础 上 创 新 思 路 ， 以 应 对 不 断 出 现 的 新 兴 威 胁 。
二 、 二 、   孟 加 拉 央 行 攻 击 事 件 回 顾 孟 加 拉 央 行 攻 击 事 件 回 顾   1 .   背 景 背 景   2 0 1 6   年   2   月   5   日 ， 孟 加 拉 国 央 行 （ B a n g l a d e s h   C e n t r a l   B a n k ） 被 黑 客 攻 击 导 致   8 1 0 0   万 美   元 被 窃 取 ， 攻 击 者 通 过 网 络 攻 击 或 者 其 他 方 式 获 得 了 孟 加 拉 国 央 行   S W I F T   系 统 操 作 权 限 ， 进 一 步 攻 击 者 向 纽 约 联 邦 储 备 银 行 （ F e d e r a l   R e s e r v e   B a n k   o f   N e w   Y o r k ） 发 送 虚 假 的   S W I F T   转 账 指 令 ， 孟 加 拉 国 央 行 在 纽 约 联 邦 储 备 银 行 上 设 有 代 理 帐 户 。 纽 约 联 邦 储 备 银 行 总 共 收 到   3 5   笔 ， 总 价 值   9 . 5 1   亿 美 元 的 转 账 要 求 ， 其 中   3 0   笔 被 拒 绝 ， 另 外   5   笔 总 价 值   1 . 0 1   亿 美 元 的 交   易 被 通 过 。 进 一 步 其 中   2 0 0 0   万 美 元 因 为 拼 写 错 误 （ F o u n d a t i o n   误 写 为   f a n d a t i o n ） 被 中 间 行 发 觉 而 被 找 回 ， 而 另 外   8 1 0 0   万 美 元 则 被 成 功 转 走 盗 取 。 而 我 们 捕 获 到 的 这 次 网 络 攻 击 中 所 使 用 的 恶 意 代 码 ， 其 功 能 是 篡 改   S W I F T   报 文 和 删 除 相   关 数 据 信 息 以 掩 饰 其 非 法 转 账 的 痕 迹 ， 其 中 攻 击 者 通 过 修 改   S W I F T   的   A l l i a n c e   A c c e s s   客 户 端   软 件 的 数 据 有 效 性 验 证 指 令 ， 绕 过 相 关 验 证 。   2 .   攻 击 流 程 攻 击 流 程    
3 .   篡 改 篡 改   M T 9 0 0   报 文 报 文   《 S W I F T   之 殇 — — 针 对 越 南 先 锋 银 行 的 黑 客 攻 击 技 术 初 探 》 3 中 “ 二 、   关 于   S W I F T ” ， 详 细 介 绍 了   S W I F T 。 M T 9 0 0   是 S W I F T   M T 十 大 类 报 文 中 其 中 第   9   类 的 一 种 ， 关 于 M T 9 0 0   报 文 的   格 式 ， 下 面 有 详 细 介 绍 ， 这 样 有 助 于 理 解 后 门 具 体 篡 改 细 节 。   1 )   M T 9 0 0   借 记 证 实 借 记 证 实  
M T 9 0 0   范 围   这 是 由 帐 户 行 发 给 开 户 行 ， 用 来 通 知 开 户 行 某 笔 款 项 已 借 记 其 所 开 帐 户 的 报 文 格 式 。 该 借 记 将 在 对 帐 单 中 被 进 一 步 证 实 。 如 果 帐 户 行 经 常 发 送 该 帐 户 的 对 帐 单 ， 那 么 就 不 会 定 期 发   送 此 报 文 。     该 报 文 不 能 用 于 记 帐 ， 它 只 是 向 收 报 行 ( 即 开 户 行 ) 证 实 这 一 笔 借 记 。     2 )   具 体 篡 改 流 程 具 体 篡 改 流 程
获 取 n f z p / n f z f   下 所 有 ” % d _ % d ” 报 文 ， 并 且 根 据   M S G _ T R N _ R E F   是 否 已 经 在 配 置 纪 录 当 中 进 行 分 类 ， 同 时 获 取 ” % d _ 1 ″ 中 的 ” 6 0 F ” 和 ” S e n d e r ” 。     注 ： 以 下 表 注 ： 以 下 表   3   和 表 和 表   4   是 是   M T 9 0 0   报 文 中 具 体 需 要 修 改 的 项 ， 具 体 修 改 操 作 细 节 暂 不 公 开 报 文 中 具 体 需 要 修 改 的 项 ， 具 体 修 改 操 作 细 节 暂 不 公 开   此 处 操 作 的 执 行 条 件 为 ： 上 张 报 文 中 的 ” S e n d e r ” 为 ” F E D E R A L   R E S E R V E   B A N K ” 。 f o f f   下 会 更 新 数 据 库 ， f o f p   时 不 会 跟 新 数 据 库 。 打 开   f o f f / f o f p 目 录 下 的 第 一 个 含 有 ” - ” 的 报 文 。 更 该 账 单 中 的   1 9 A   和   9 0 B ， 在 账 单 中 ， 1 9 A   和   9 0 B   应 该 只 有 一 项 。  
4 .   l i b o r a d b . d l l   分 析 分 析   本 次 事 件 中 攻 击 者 通 过 修 改   S W I F T   的   A l l i a n c e   A c c e s s   客 户 端 软 件 中 数 据 有 效 性 验 证 指 令 ，   绕 过 相 关 验 证 ， 而 导 致 相 关 问 题 的 文 件 就 是   l i b o r a d b . d l l 。   l i b o r a d b . d l l   基 于   O C I   编 程 开 发 ， 作 为   S W I F T   a l l i a n c e   核 心 组 件 ， 为 程 序 提 供   O r a c l e   数 据 库 交 互 操 作 接 口 ， 其 中 包 含 权 限 验 证 功 能 。 此   d l l   被   S W I F T   数 据 库 服 务 进 程 调 用 , 作 为 连 接   O r a c l e   数 据 库 的 接 口 。   O C I   介 绍 ： O C I （ O r a c l e   C a l l   I n t e r f a c e ， 即   0 r a c l e   调 用 层 接 口 ） 是   O r a c l e   公 司 提 供 的 由 头 文 件 和 库 函 数 等 组 成 的 一 个 访 问   O r a c l e   数 据 库 的 应 用 程 序 编 程 接 口 （ a p p l i c a t i o n   p r o g r a m m i n g   i n t e r f a c e   A P I ） 。 它 允 许 开 发 人 员 在 第 三 代 编 程 语 言 （ 包 括   C ,   C + + ,   C O B O L   与   F O R T R A N ） 中 通 过   S Q L （ S t r u c t u r e   Q u e r y   L a n g u a g e ） 来 操 纵   O r a c l e   数 据 库 ， 而 且   O C I   在 一 定 程 度 上 支 持 第 三 代 编 程 语 言 （ 诸 如   C ,   C + + ,   C O B O L   与   F O R T R A N ） 的 数 据 类 型 、 语 法 等 等 。   三 、 三 、   相 关 攻 击 事 件 综 合 分 析 相 关 攻 击 事 件 综 合 分 析   1 .   S W I F T   官 方 预 警 或 申 明 官 方 预 警 或 申 明   2 0 1 6   年   5   月   9   日 ， 环 球 银 行 金 融 电 信 协 会 （ S W I F T ） 发 表 声 明 表 示 5 ， S W I F T   拒 绝 由 孟 加   拉 国 银 行 和 孟 加 拉 国 警 方 的 刑 事 调 查 部 门 ( C I D ) 官 员 提 出 的 虚 假 指 控 ， S W I F T   对 孟 加 拉 银 行 劫 案 不 负 有 任 何 责 任 ， 孟 加 拉 银 行 有 责 任 维 护 其 银 行 系 统 环 境 的 安 全 。   2 0 1 6   年   5   月   1 0   日 ， 孟 加 拉 国 央 行 的 新 掌 门 人 、 纽 约 联 邦 储 备 银 行 和   S W I F T   官 员 在 瑞 士   巴 塞 尔 会 晤 讨 论 。 在 一 份 简 短 的 联 合 声 明 中 ， 双 方 表 示 ， 他 们 致 力 于 追 回 被 窃 资 金 ， 将 肇 事   者 绳 之 以 法 ， 并 协 同 工 作 来 “ 标 准 化 操 作 ” 。 2 0 1 6   年   5   月   1 3   日 ， S W I F T   协 会 发 布 的 一 份 报 告 中 称 ， 已 有 第 二 家 银 行 报 告 遭 到 网 络 攻   击 ， 这 起 攻 击 与 孟 加 拉 国 央 行 在 纽 约 联 邦 储 备 银 行 的 账 户 被 窃   8 1 0 0   万 美 元 的 网 络 攻 击 类 似 ，   具 体 损 失 情 况 未 知 。 并 强 调 称 ， 针 对 孟 加 拉 国 央 行 的 恶 意 软 件 ， 对   S W I F T   的 网 络 或 核 心 信 息   交 互 系 统 没 有 影 响 ， 该 恶 意 软 件 只 能 在 黑 客 已 经 成 功 发 现 并 利 用 当 地 （ 银 行 ） 系 统 网 络 安 全   隐 患 之 后 才 能 被 植 入 。 就 此 ， S W I F T 已 经 研 发 出 相 应 设 备 ， 帮 助 客 户 提 升 网 络 安 全 、 找 准 当 地 数 据 库 记 录 有 出 入 之 处 。   2 0 1 6   年   5   月   2 4   日 ， 在 布 鲁 塞 尔 欧 洲 金 融 服 务 第 十 四 届 年 度 会 议 上 ， S W I F T   首 席 执 行 官   G o t t f r i e d   L e i b b r a n d t   表 示 ， S W I F T   将 提 升 其 网 络 系 统 安 全 性 ， 采 取 包 括 对 银 行 管 理 软 件 提 出 更 严 格 的 安 全 要 求 ， 管 控 支 付 方 式 和 第 三 方 机 构 认 证 等 措 施 。 他 重 申 ， 攻 击 并 未 对   S W I F T   的 网 络 或 核 心 信 息 交 互 系 统 造 成 影 响 ， 并 透 露 将 会 启 动 一 个 新 项 目 ， 旨 在 维 护 全 球 金 融 体 系 安 全 。   2 0 1 6   年   5   月   2 7   日 ， S W I F T   协 会 宣 称 启 动 新 的 客 户 项 目 ， 针 对 日 益 猖 獗 的 网 络 威 胁 ， 保 护 全 球 金 融 体 系 的 财 产 安 全 。 该 项 目 分 为   5   个 战 略 举 措 ， 包 括 提 高 国 际 机 构 之 间 信 息 共 享 、   增 强 客 户 的   S W I F T   相 关 工 具 、 加 强 指 导 ， 提 供 审 计 的 框 架 、 支 持 增 加 事 务 模 式 检 测 、 加 强 支   持 第 三 方 提 供 者 。   2 .   战 术 ： 瞄 准 战 术 ： 瞄 准   S W I F T   系 统 系 统   1 )   针 对 银 行 系 统 的 一 系 列 攻 击 事 件 针 对 银 行 系 统 的 一 系 列 攻 击 事 件   2 0 1 6   年 - 孟 加 拉 国 央 行 （ B a n g l a d e s h   C e n t r a l   B a n k ）   在 本 报 告 第 二 部 分 内 容 详 细 介 绍 了 攻 击 流 程 和 篡 改   M T 9 0 0   报 文 的 细 节 ， 在 这 里 不 进 一   步 占 据 ， 具 体 内 容 请 参 看 ： “ 二 、 孟 加 拉 央 行 攻 击 事 件 回 顾 ” 。  
2 0 1 5   年 - 越 南 先 锋 银 行 （ T i e n   P h o n g   B a n k ）   针 对 越 南 先 锋 银 行 的 攻 击 中 ， 相 关 恶 意 代 码 内 置 了   8   家 银 行 的   S W I F T   C O D E ， 越 南 银 行   均 在 这 些 银 行 中 设 有 代 理 帐 户 。 目 前 看 到 的   F a k e   P D F   R e a d e r   样 本 目 的 不 是 攻 击 列 表 中 的 这   些 银 行 ， 而 是 用 来 删 除 越 南 银 行 与 其 他 家 银 行 间 的 转 帐 确 认 （ 篡 改   M T 9 5 0   对 帐 单 ） 。 这 样 银 行 的 监 测 系 统 就 不 会 发 现 这 种 不 当 交 易 了 。 关 于 针 对 越 南 先 锋 银 行 的 攻 击 ， 可 以 参 看 我 们 之 前 发 布 的 报 告 ： 《 S W I F T   之 殇 — — 针 对   越 南 先 锋 银 行 的 黑 客 攻 击 技 术 初 探 》 。   2 0 1 5   年 - 厄 瓜 多 尔 银 行 （ B a n c o   d e l   A u s t r o ） 据 路 透 社 报 道 ， 2 0 1 5   年   1   月   1 2   号 ， 在 一 条 来 自 厄 瓜 多 尔   B a n c o   d e l   A u s t r o ( D B A ) 银 行 系   统 信 息 的 指 引 下 ， 位 于 旧 金 山 的   W e l l s   F o r g a   向 香 港 的 银 行 账 户 进 行 了 转 账 。 并 且 在 接 连   1 0   天 内 ， 至 少 有   1 2   笔 的   B D A   银 行 资 金 通 过   S W I F T   系 统 被 转 走 ， 总 金 额 高 达   1 2 0 0   万 美 金 。 B D A 已 就 该 事 件 将   W e l l s   F r a g o   向 纽 约 法 庭 提 起 了 诉 讼 ， 理 由 是   W e l l s   F o r g o   美 国 银 行 本 应 该 将 这 些 交 易 标 记 为 可 疑 交 易 ， 然 而 从 诉 讼 资 料 看 ， 双 方 银 行 都 相 信 这 些 资 金 是 被 匿 名 黑 客 盗 走 的 。   另 外 ， S W I F T   方 面 的 负 责 人 在 案 件 被 报 道 之 前 却 对 此 毫 不 知 情 。 相 关 人 士 称 ， S W I F T   确   实 会 核 验 系 统 发 送 信 息 中 的 密 码 来 确 保 信 息 来 自 银 行 用 户 的 终 端 设 备 。 但 是 一 旦 网 络 盗 窃 者 获 取 了 密 码 和 证 书 ， S W I F T 就 无 法 判 断 操 作 者 是 不 是 真 正 的 账 户 持 有 人 了 。 而 黑 客 正 式 钻 了 这 个 空 子 ， 盗 取 了 一 名 银 行 雇 员 的   S W I F T   证 书 ， 金 额 盗 走 了 巨 额 资 金 。   2 0 1 3   年 - 索 纳 莉 银 行 （ S o n a l i   B a n k ） 据 路 透 社 报 道 ， 2 0 1 3   年 孟 加 拉 国 的 索 纳 莉 银 行 （ S o n a l i   B a n k ） 也 发 生 了 类 似 孟 加 拉 央 行   的 攻 击 事 件 ， 在 索 纳 莉 事 件 中 ， 攻 击 者 盗 取 了   2 5   万 美 金 的 银 行 资 金 。 银 行   I T   运 营 部 的 高 级 官 员 称 ， 在 索 纳 莉 银 行 劫 案 中 ， 黑 客 们 在 一 台 电 脑 上 安 装   k e y l o g g e r   来 窃 取 其 他 系 统 的 密 码 ，   然 后 使 用   S W I F
T   系 统 发 送 伪 造 的 转 账 申 请 。     2 )   相 似 的 攻 击 战 术 相 似 的 攻 击 战 术   通 过 分 析 从   2 0 1 3   年 的 索 纳 莉 到   2 0 1 6   年 的 孟 加 拉 国 央 行 这   4   个 攻 击 银 行 的 事 件 ， 结 合   上 图 ， 不 难 看 出 相 关 攻 击 事 件 之 间 有 很 多 的 相 似 性 。   从 攻 击 战 术 或 攻 击 流 程 进 行 分 析 ， 其 中 主 要 环 节 是 获 得   S W I F T 、 利 用   S W I F T   发 送 转 账 指 令 和 最 终 清 除 证 据 掩 盖 事 实 这 三 个 部 分 。 第 一 ， 获 得 目 标 银 行   S W I F T   权 限 ： 首 先 需 要 获 得 目 标 银 行 的   S W I F T   系 统 操 作 权 限 ， 索 纳 莉 银 行 和 厄 瓜 多 尔 银 行 从 相 关 报 道 来 看 ， 均 是 通 过 网 络 攻 击 来 获 得 了 相 关 权 限 。 据 有 关 报 道 称 索 纳 莉 银 行   S W I F T   相 关 登 录 帐 号 和 密 码 是 被 植 入 的 恶 意 代 码 所 监 控 窃 取 ， 而 厄 瓜 多 尔 也 是 类 似 登 录 验 证 凭 证 被 窃 取 ， 由 此 我 们 可 以 得 到 一 个 信 息 ， 就 是 攻 击 者 要 获 得   S W I F T   操 作 权 限 ， 并 不 需 要 进 行 物 理 接 触 ， 完 全 通 过 网 络 即 可 完 成 。 而 目 前 尚 未 有 报 道 明 确 指 出 孟 加 拉 国   央 行 的   S W I F T   系 统 权 限 是 通 过 网 络 攻 击 获 得 ， 但 相 关 调 查 孟 加 拉 央 行 事 件 的 研 究 人 员 表 示 应   该 是 黑 客 利 用 网 络 攻 击 获 得 了 相 关 登 录 凭 证 。 而 越 南 先 锋 银 行 本 身 没 有 被 攻 击 ， 问 题 出 在 其 第 三 方 服 务 商 （ 提 供   S W I F T   服 务 ） ， 但 目 前 不 清 楚 是 否 是 通 过 网 络 进 行 攻 击 获 得 相 关   S W I F T   操 作 权 限 的 ， 先 锋 银 行 之 后 表 示 要 改 为 直 接 连 接   S W I F T   系 统 。   第 二 ， 向 其 他 银 行 发 送 转 账 指 令 （ 代 理 帐 户 ） ： 攻 击 者 在 获 得   S W I F T   权 限 之 后 ， 最 核 心   的 目 的 就 是 要 利 用   S W I F T   发 送 转 账 指 令 ， 我 们 推 测 应 该 是   S W I F T   M T   报 文 中 第 一 类 报 文 ， 如   M T 1 0 3 （ 单 笔 客 户 汇 款 ） 。 除 索 纳 莉 银 行 以 外 ， 我 们 发 现 攻 击 者 均 向 存 在 目 标 银 行 代 理 帐 户   的 银 行 发 送 转 账 指 令 ， 如 美 国 国 富 银 行 设 有 厄 瓜 多 尔 银 行 的 代 理 帐 户 、 大 华 银 行 等 其 他   7   家 银 行 设 有 越 南 先 锋 银 行 的 代 理 帐 户 和 纽 约 联 邦 储 备 银 行 设 有 孟 加 拉 国 央 行 的 代 理 帐 户 。 通 俗 来 讲 也 就 是 孟 加 拉 国 央 行 等 这 几 个 目 标 银 行 存 在 其 他 银 行 上 的 钱 被 冒 名 转 走 了 。   第 三 ， 篡 改   M T 9 X X   报 文 清 除 证 据 ： 由 于 暂 未 捕 获 到 针 对 索 纳 莉 和 厄 瓜 多 尔 银 行 进 行 攻   击 的 恶 意 代 码 ， 所 以 我 们 无 法 知 道 是 否 有 该 环 节 。 我 们 主 要 来 看 越 南 先 锋 银 行 和 孟 加 拉 国 央 行 ， 首 先 攻 击 者 都 是 对   M T 9 X X   报 文 进 行 了 劫 持 ， 在 对 越 南 先 锋 银 行 是 劫 持   M T 9 5 0   对 帐 单 ，   在 针 对 孟 加 拉 国 央 行 是 劫 持 了   M T 9 0 0   借 记 证 实 ， 进 一 步 都 是 对 相 关 报 文 进 行 了 篡 改 。 目 的 是 删 除 相 关 转 帐 记 录 ， 进 行 平 帐 。 有 区 别 是 孟 加 拉 国 央 行 是 对 相 关 报 文 篡 改 后 直 接 发 送 给 打 印 机 ， 打 印 出 来 ， 而 越 南 先 锋 银 行 是 对   M T 9 5 0   的 电 子 版   P D F   进 行 篡 改 后 ， 然 后 打 印 机 打 印   篡 改 后 的   P D F 。 攻 击 者 最 终 目 的 就 是 篡 改 报 告 ， 另 外 删 除 其 他 一 些 数 据 信 息 ， 目 的 是 抹 去 相 关 证 据 线 索 。
另 外 我 们 发 现 越 南 先 锋 银 行 和 孟 加 拉 国 央 行 中 攻 击 者 所 使 用 的 恶 意 代 码 ， 从 代 码 同 源 性 上 ， 都 存 在 一 个 特 殊 的 安 全 删 除 函 数 ， 这 也 更 进 一 步 证 明 的 这 两 次 攻 击 事 件 并 不 是   孤 立 的 ， 两 者 之 间 必 然 有 一 定 联 系 。   总 体 而 言 ， 这 类 攻 击 战 术 就 是 针 对 具 备   S W I F T   系 统 的 银 行 进 行 攻 击 ， 首 先 需 要 依 托 网 络 攻 击 或 其 他 手 段 获 得   S W I F T   权 限 ， 进 一 步 向 其 他 银 行 上 的 代 理 帐 户 发 送 转 帐 指 令 来 达 到 金 钱 窃 取 的 目 的 ， 最 终 使 用 恶 意 代 码 进 行 相 关 证 据 清 除 掩 盖 事 实 的 过 程 。     3 .   技 术 ： 恶 意 代 码 同 源 性 分 析 技 术 ： 恶 意 代 码 同 源 性 分 析   安 全 删 除 函 数   我 们 发 现 孟 加 拉 国 央 行 、 越 南 先 锋 银 行 攻 击 中 使 用 的 恶 意 代 码 内 的 安 全 删 除 函 数 是 复 用   了 相 同 的 代 码 ， 进 一 步   L a z a r u s   组 织 在   2 0 1 4 年 针 对 索 尼 的 攻 击 中 的 恶 意 代 码 和 赛 门 铁 克 安 全   公 司 在 近 期 发 布 的 安 全 报 告 1 3 中 提 到 ， 针 对 东 南 亚 金 融 业 的 有 限 目 标 性 攻 击 中 出 现 的   B a c k d o o r . F i m l i s   恶 意 代 码 ， 都 复 用 了 同 样 的 代 码 。   安 全 删 除 函 数 有   2   个 参 数 ： 文 件 名 和 迭 代 次 数 。 首 先 使 用   5 F   覆 盖 文 件 的 末 尾 字 节 ， 然   后 根 据   6   个 控 制 字 节 决 定 使 用 什 么 数 据 覆 盖 原 文 件 内 容 。 四 、 四 、   总 结 总 结   1 .   攻 击 由 一 个 组 织 或 多 个 组 织 协 同 发 起 攻 击 由 一 个 组 织 或 多 个 组 织 协 同 发 起   从 对 相 关 攻 击 事 件 的 战 术 层 面 和 技 术 层 面 的 深 入 分 析 ， 我 们 认 为 近 期 曝 光 的 这   4   起 针 对   银 行 的 攻 击 事 件 并 非 孤 立 的 ， 而 很 有 可 能 是 由 一 个 组 织 或 多 个 组 织 协 同 发 动 的 不 同 攻 击 行 动 。   2 .   攻 击 组 织 极 为 熟 悉 目 标 银 行 的 作 业 流 程 攻 击 组 织 极 为 熟 悉 目 标 银 行 的 作 业 流 程   如 越 南 先 锋 银 行 中 ， 从 将 恶 意 程 序 构 造 伪 装 成 F o x i t   r e a d e r （ 福 昕 P D F 阅 读 器 ） 到 对 M T 9 5 0   对 帐 单   P D F   文 件 的 解 析 和 精 确 的 篡 改 等 攻 击 手 法 ， 都 反 映 出 攻 击 者 对 银 行 内 部 交 易 系 统 和   作 业 流 程 非 常 熟 悉 。 攻 击 者 的 攻 击 意 图 明 确 ， 而 且 攻 击 者 要 如 此 了 解 和 展 开 相 关 攻 击 行 动 ，   事 前 进 行 了 大 量 侦 查 情 报 收 集 的 工 作 。   3 .   与 与   L a z a r u s   组 织 （ 组 织 （ A P T - C - 2 6 ） 存 在 关 联 ） 存 在 关 联   针 对   S W I F T   攻 击 事 件 中 与   L a z a r u s   组 织 所 使 用 的 相 关 恶 意 代 码 ， 我 们 从 样 本 代 码 层 面 进   行 同 源 性 分 析 ， 发 现 其 中 一 个 特 殊 的 安 全 删 除 函 数 基 本 是 进 行 了 代 码 复 用 。 从 这 一 点 来 看 ，   针 对 越 南 先 锋 银 行 和 孟 加 拉 国 央 行 的 攻 击 应 该 是 与   L a z a r u s   组 织 有 一 定 的 联 系 。   安 全 删 除 函 数 这 部 分 代 码 能 关 联 到   L a z a r u s   组 织 曾 今 在   2 0 1 3   年 发 动 的   d a r k s e o u l   攻 击 行   动 和   2 0 1 4   年 针 对 索 尼 影 视 娱 乐 公 司 的 攻 击 行 动 ， 相 关 攻 击 行 动 的   I O C （ M D 5 C & C   等 ） 在 当 时 已 经 被 安 全 机 构 公 开 了 ， 也 可 以 理 解 为 安 全 删 除 函 数 这 个 本 身 特 殊 的 代 码 在 当 时 就 已 经 公 开 了 。 也 就 是 在 此 之 后 ， 比 如   2 0 1 5   年 、 2 0 1 6   年 非   L a z a r u s   组 织 的 攻 击 者 ， 也 可 以 轻 松 的 获   得 安 全 删 除 函 数 的 代 码 并 在 进 行 开 发 其 他 恶 意 代 码 的 时 候 拿 来 使 用 。 简 而 言 之 ， 如 果 我 们 依   靠 这 处 安 全 删 除 函 数 ， 来 判 定 某 个 恶 意 代 码 是 否 属 于   L a z a r u s   组 织 ， 是 不 具 备 强 关 联 性 的 。   正 如 我 们 之 前 发 布 的 洋 葱 狗 报 告 （ A P T - C - 0 3 ）   1 4   “ 第   5   章   I C E F O G ‘ 重 生 ’ ： 误 导 ？ 嫁 祸 ？ ”   中 提 到 的 观 点 ， 我 们 不 排 除 这 有 可 能 是 其 他 组 织 刻 意 加 入 的 干 扰 项 。   4 .   银 行 业 本 身 暴 露 出 诸 多 安 全 问 题 银 行 业 本 身 暴 露 出 诸 多 安 全 问 题   近 期 曝 光 的   4   起 针 对 银 行 的 攻 击 事 件 中 ， 其 中   2 0 1 3   年 的 索 纳 莉 银 行 、 2 0 1 5   厄 瓜 多 尔 银 行 确 定 是 由 网 络 进 行 攻 击 获 得 相 关 转 账 权 限 ， 另 外 越 南 先 锋 银 行 和 孟 加 拉 国 央 行 也 是 自 身 环   节 发 生 了 问 题 ， 导 致 攻 击 者 具 备 发 送   S W I F T   转 账 指 令 的 权 限 。   这 明 显 暴 露 出 银 行 自 身 的 安 全 防 护 薄 弱 ， 另 外 攻 击 者 通 过 网 络 攻 击 就 可 以 获 得   S W I F T   权 限 ， 并 加 以 操 作 ， 以 及 攻 击 者 对   S W I F T   的 A l l i a n c e   A c c e s s   客 户 端 软 件 的 数 据 有 效 性 验 证 指 令 ， 绕 过 相 关 验 证 等 等 。 这 些 都 暴 露 出   S W I F T   本 身 也 存 在 一 定 问 题 ， 如 是 否 在 普 通 的 帐 号 密 码 验 证 机 制 基 础 上 ， 可 以 加 一 些 需 要 依 赖 物 理 设 备 或 环 境 才 能 进 行 验 证 的 步 骤 ， 这 样 能 大 大 隔 离 纯 粹 来 自 网 络 的 攻 击 。   * 企 业 账 号 ： 3 6 0 安 全 卫 士 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理