搜索

[10930] 2017-01-15_FireEye发布报告《风暴中心的APT28》：揭秘俄罗斯政府操控的黑客组织APT28

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2017-01-15_FireEye发布报告《风暴中心的APT28》：揭秘俄罗斯政府操控的黑客组织APT28 F i r e E y e 发 布 报 告 《 风 暴 中 心 的 A P T 2 8 》 ： 揭 秘 俄 罗 斯 政 府 操 控 的 黑 客 组 织 A P T 2 8 欧 阳 洋 葱   &   c x t   F r e e B u f   2 0 1 7 - 0 1 - 1 5 实 际 上 ， 就 已 经 结 束 的 美 国 总 统 大 选 ， 美 国 政 府 认 定 俄 罗 斯 就 是 在 大 选 期 间 进 行 网 络 攻 击 、 干 涉 美 国 大 选 ， 甚 至 让 大 选 结 果 倾 向 于 川 普 的 幕 后 真 凶 — — 这 是 去 年 年 末 F B I 和 D H S 联 合 发 布 的 J A R 报 告 所 述 。 最 近 ， 这 件 事 的 发 展 可 谓 异 彩 纷 呈 。 F r e e B u f 的 安 全 快 讯 对 此 做 了 多 次 追 踪 报 道 ： 本 月 早 前 O D N I （ 美 国 国 家 情 报 主 任 办 公 室 ） 发 布 《 针 对 近 期 美 国 大 选 中 俄 罗 斯 活 动 与 意 图 的 评 估 》 报 告 ， 直 指 针 对 美 国 大 选 进 行 干 涉 的 黑 客 行 动 就 是 普 京 “ 下 令 ” 发 动 的 。 上 周 C N N 报 道 称 ， 美 国 一 份 机 密 报 告 再 曝 大 量 爆 炸 性 消 息 ： 俄 罗 斯 黑 客 手 持 有 相 关 川 普 的 敏 感 信 息 ， 包 括 川 普 的 个 人 财 务 甚 至 私
生 活 信 息 。 这 则 消 息 已 经 于 上 周 呈 给 川 普 ， 据 说 川 普 在 看 过 之 后 甚 至 转 变 态 度 ， 认 为 俄 罗 斯 的 确 可 能 在 美 国 大 选 期 间 的 网 络 攻 击 中 扮 演 了 重 要 角 色 。 就 在 上 周 ， 就 在 上 周 ， F i r e E y e 公 司 发 布 了 最 新 的 威 胁 情 报 报 告 《 公 司 发 布 了 最 新 的 威 胁 情 报 报 告 《 A P T 2 8 :   A t   T h e   C e n t e r   f o r   T h e   S t o r m （ （ A P T 2 8 ： 位 于 风 暴 中 心 ） 》 。 ： 位 于 风 暴 中 心 ） 》 。 F i r e E y e 在 报 告 中 认 定 著 名 的 在 报 告 中 认 定 著 名 的 A P T 2 8 组 织 就 是 俄 罗 斯 政 府 支 持 的 黑 客 组 织 ， 剖 析 以 俄 罗 斯 政 府 为 背 景 的 网 络 黑 客 行 动 。 组 织 就 是 俄 罗 斯 政 府 支 持 的 黑 客 组 织 ， 剖 析 以 俄 罗 斯 政 府 为 背 景 的 网 络 黑 客 行 动 。 有 关 《 有 关 《 A P T 2 8 ： 位 于 风 暴 中 心 》 报 告 ： 位 于 风 暴 中 心 》 报 告 2 0 1 7 年 1 月 6 日 ， 美 国 国 家 情 报 总 监 发 布 了 《 评 估 近 期 美 国 大 选 中 俄 罗 斯 的 活 动 与 意 图 》 报 告 。 问 题 围 绕 的 就 是 俄 罗 斯 在 美 国 大 选 期 间 扮 演 了 什 么 角 色 。 俄 罗 斯 政 府 是 否 直 接 支 持 了 导 致 数 据 泄 露 和 网 络 攻 击 的 黑 客 组 织 ？ 如 果 是 这 样 ， 那 么 这 次 行 动 是 否 仅 是 普 通 的 国 家 间 谍 行 动 ， 或 者 是 否 已 经 突 破 底 限 ？ 针 对 美 国 D N C （ 民 主 党 全 国 委 员 会 ） 的 网 络 攻 击 ， 是 否 就 是 俄 罗 斯 政 府 干 涉 美 国 总 统 大 选 的 一 部 分 ？ 最 重 要 的 问 题 仍 未 解 答 ： 俄 罗 斯 会 采 取 怎 样 的 一 系 列 方 法 （ 包 括 网 络 攻 击 和 数 据 泄 露 ） 来 隐 藏 俄 罗 斯 有 关 机 构 、 攻 击 者 的 攻 击 目 标 和 目 的 ？ F i r e E y e 针 对 A P T 2 8 组 织 的 行 动 进 行 了 深 入 研 究 。 在 F i r e E y e 看 来 ， A P T 2 8 就 是 俄 罗 斯 政 府 幕 后 支 持 的 黑 客 组 织 。 这 份 报 告 对 俄 罗 斯 政 府 的 部 分 目 标 、 行 动 目 的 和 持 续 扩 展 的 行 动 本 身 进 行 了 剖 析 。 F i r e E y e 通 过 多 重 调 查 、 针 对 端 点 和 网 络 的 侦 测 ， 以 及 持 续 的 监 控 ， 来 对 A P T 2 8 组 织 进 行 追 踪 和 画 像 。 F i r e E y e 认 为 A P T 2 8 的 行 动 可 以 至 少 追 溯 到 2 0 0 7 年 ， 这 有 助 于 了 解 这 家 组 织 所 用 的 恶 意 程 序 ， 及 其 行 动 变 化 和 动 机 。 欲 下 载 这 份 报 告 可 以 点 击 阅 读 原 文 ， 查 看 申 请 链 接 。 从 奥 林 匹 克 运 动 会 到 美 国 总 统 大 选 从 奥 林 匹 克 运 动 会 到 美 国 总 统 大 选 从 F i r e E y e 的 这 份 报 告 来 看 ， 在 过 去 两 年 中 ， 俄 罗 斯 都 在 持 续 利 用 A P T 2 8 进 行 各 种 活 动 — — 应 用 更 广 泛 的 军 事 政 策 。 在 入 侵 一 家 受 害 机 构 之 后 ， A P T 2 8 会 窃 取 其 内 部 数 据 ， 这 些 数 据 随 后 会 根 据 俄 罗 斯 利 益 用 于 进 一 步 的 政 治 用 途 。 到 目 前 为 止 ， A P T 掺 和 的 事 件 包 括 了 叙 利 亚 冲 突 、 北 约 - 乌 克 兰 相 关 事 件 、 欧 盟 难 民 与 移 民 危 机 ， 2 0 1 6 奥 林 匹 克 运 动 会 和 残 奥 会 俄
罗 斯 运 动 会 的 兴 奋 剂 丑 闻 等 等 。 当 然 最 著 名 的 自 然 就 是 2 0 1 6 年 的 美 国 总 统 大 选 了 。 报 告 对 A P T 2 8 组 织 的 目 标 进 行 了 详 述 ， 另 外 还 有 相 关 该 组 织 的 黑 客 工 具 开 发 和 使 用 ， 以 及 A P T 2 8 用 于 攻 击 的 策 略 等 等 。 比 如 说 A P T 2 8 的 攻 击 目 标 ， 如 上 图 所 示 。 A P T 2 8 对 于 国 外 政 府 和 军 队 尤 其 感 兴 趣 ， 主 要 包 括 西 欧 和 东 欧 的 一 些 国 家 ， 也 有 区 域 性 的 安 全 组 织 — — 如 北 约 、 欧 洲 安 全 与 合 作 组 织 等 。 上 面 这 张 表 列 出 的 是 其 近 期 活 动 的 部 分 目 标 。 此 外 ， A P T 2 8 的 网 络 活 动 也 倾 向 于 支 持 各 种 所 谓 的 “ 信 息 战 ” ， 用 于 干 涉 国 外 内 政 。 比 如 说 打 着 其 他 黑 客 角 色 的 虚 假 旗 号 来 搞 网 站 破 坏 和 数 据 窃 取 。 这 些 活 动 的 目 的 无 一 例 外 都 是 对 俄 罗 斯 的 “ 政 治 输 出 ” 产 生 利 益 。 下 面 这 张 表 列 举 了 下 面 这 张 表 列 举 了 F i r e E y e   i S I G H T 威 胁 情 报 观 察 威 胁 情 报 观 察 到 的 一 些 受 害 者 ， 追 本 溯 源 都 可 以 关 系 到 到 的 一 些 受 害 者 ， 追 本 溯 源 都 可 以 关 系 到 A P T 2 8 组 织 。 组 织 。
如 果 你 一 直 有 关 注 F r e e B u f 的 安 全 快 讯 应 该 会 对 其 中 的 很 多 事 件 有 所 了 解 。 比 如 说 去 年 9 月 份 ， W A D A （ 世 界 反 兴 奋 剂 组 织 ） 确 认 A P T 2 8 入 侵 其 网 络 ， 获 取 了 运 动 员 的 医 疗 数 据 。 而 实 际 上 在 W A D A 确 认 这 一 消 息 的 前 一 天 ， F a n c y   B e a r s 黑 客 团 队 宣 称 入 侵 W A D A ， 发 布 有 关 美 国 运 动 员 复 用 兴 奋 剂 的 证 据 医 疗 记 录 。 这 份 报 告 的 其 中 一 个 章 节 《 F r o m   O l y m p i c   S l i g h t   t o   D a t a   L e a k 》 详 述 了 F i r e E y e 对 于 A P T 2 8 在 W A D A 世 界 反 兴 奋 剂 组 织 数 据 泄 露 事 件 中 扮 演 的 角 色 调 查 。 从 2 0 1 5 年 W A D A 的 报 告 文 档 展 示 俄 罗 斯 运 动 员 广 泛 摄 入 兴 奋 剂 的 证 据 开 始 一 直 到 去 年 9 月 份 W A D A 数 据 泄 露 事 件 。 A P T 2 8 组 织 的 工 具 、 策 略 和 行 动 变 化 组 织 的 工 具 、 策 略 和 行 动 变 化 这 份 报 告 中 ， F i r e E y e 也 详 述 了 A P T 2 8 组 织 所 用 的 各 种 工 具 ， 比 如 说 用 于 持 续 作 战 的 恶 意 程 序 套 装 ， 还 有 其 对 掌 握 出 色 技 术 开 发 者 资 源 的 追 逐 。 A P T 2 8 所 用 工 具 集 的 关 键 词 包 括 了 ： -   具 弹 性 的 模 块 化 框 架 ， 可 让 A P T 2 8 黑 客 组 织 持 续 往 其 中 加 入 新 工 具 — — 而 且 是 至 少 从 2 0 0 7 年 就 开 始 的 ； -   正 规 编 码 环 境 的 采 用 ， 在 这 种 环 境 下 开 发 工 具 ， 可 让 组 织 在 后 门 中 构 建 部 署 定 制 化 模 块 ； -   反 向 分 析 能 力 的 融 合 ， 包 括 r u n t i m e 检 查 以 确 认 分 析 环 境 ， 运 行 时 解 压 混 淆 字 符 、 从 未 使 用 的 机 器 指 令 融 合 降 低 分 析 速 度 ； -   在 莫 斯 科 时 区 内 的 正 常 工 作 日 、 俄 语 编 译 环 境 下 编 译 的 代 码 。 下 面 这 张 图 就 是 A P T 2 8 所 用 的 一 些 恶 意 程 序 套 装 ：
如 上 所 述 ， 其 模 块 化 框 架 令 A P T 2 8 能 够 持 续 在 其 中 包 含 更 多 的 工 具 套 装 ， 重 新 定 义 攻 击 策 略 — — 让 自 身 不 会 暴 露 在 公 众 视 野 中 。 在 攻 击 策 略 的 变 更 方 面 ， A P T 2 8 的 行 为 包 括 了 ： -   采 用 0 d a y 漏 洞 ： 主 要 是 包 含 在 F l a s h 、 J a v a 和 W i n d o w s 中 的 0 d a y 漏 洞 ， 比 如 C V E - 2 0 1 5 - 1 7 0 1 ， C V E - 2 0 1 5 - 2 4 2 4 ， C V E - 2 0 1 5 - 2 5 9 0 、 C V E - 2 0 1 5 - 3 0 4 3 等 等 ； -   采 用 分 析 脚 本 ， 有 选 择 性 地 部 署 0 d a y 和 其 他 工 具 ， 减 少 安 全 研 究 人 员 了 解 其 工 具 的 机 会 ； -   增 加 对 公 共 代 码 库 的 依 赖 ， 比 如 说 C a r b e r p 、 P o w e r S h e l l   E m p i r e 、 P . A . S   w e b s h e l l 、 M e t e a s p l o i t 模 块 等 ， 以 期 加 速 开 发 周 期 ； -   通 过 构 建 的 谷 歌 A p p 身 份 认 证 和 O a u t h 访 问 来 获 取 身 份 凭 证 ， 可 让 A P T 2 8 绕 过 双 重 身 份 认 证 和 其 他 安 全 策 略 。 而 在 安 全 策 略 方 面 ， F i r e E y e 提 到 A P T 2 8 在 对 目 标 进 行 攻 击 的 时 候 依 赖 于 4 个 关 键 策 略 ， 包 括 发 送 鱼 叉 式 钓 鱼 邮 件 ， 部 署 恶 意 程 序 等 （ 或 包 含 恶 意 U R L 来 获 取 收 件 者 的 邮 件 凭 证 ） 。 A P T 2 8 还 会 对 合 法 网 站 投 放 恶 意 程 序 ， 感 染 网 站 访 问 者 。 其 主 要 策 略 如 下 图 所 示 ：
不 过 不 知 你 是 否 也 能 够 从 不 过 不 知 你 是 否 也 能 够 从 F i r e E y e 的 这 份 报 告 中 看 出 那 么 一 丝 政 治 意 向 ， 以 及 考 虑 的 这 份 报 告 中 看 出 那 么 一 丝 政 治 意 向 ， 以 及 考 虑 F i r e E y e 的 投 资 背 景 。 尤 其 关 于 其 中 的 投 资 背 景 。 尤 其 关 于 其 中 W A D A 的 分 析 ， 或 许 比 我 们 这 些 常 人 想 象 得 更 为 复 杂 。 的 分 析 ， 或 许 比 我 们 这 些 常 人 想 象 得 更 为 复 杂 。 点 击 阅 读 原 文 ， 点 击 阅 读 原 文 ， 申 请 阅 读 完 整 报 告 申 请 阅 读 完 整 报 告 。 。 *   参 考 来 源 ： F i r e E y e ， 本 文 作 者 ： 欧 阳 洋 葱   &   c x t ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理