搜索

[11046] 2017-02-20_美国DHS发布《“灰熊草原”网络攻击活动深入分析报告》

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-18
2017-02-20_美国DHS发布《“灰熊草原”网络攻击活动深入分析报告》 美 国 D H S 发 布 《 “ 灰 熊 草 原 ” 网 络 攻 击 活 动 深 入 分 析 报 告 》 c l o u d s   F r e e B u f   2 0 1 7 - 0 2 - 2 0 近 期 ， 美 国 近 期 ， 美 国 D H S 继 续 公 布 了 一 份 《 继 续 公 布 了 一 份 《 ” 灰 熊 草 原 灰 熊 草 原 ” 网 络 攻 击 活 动 的 深 入 分 析 网 络 攻 击 活 动 的 深 入 分 析 》 报 告 （ 》 报 告 （ E n h a n c e d   A n a l y s i s   o f   G R I Z Z L Y   S T E P P E   A c t i v i t y ） ， 与 上 次 的 联 合 分 析 报 告 （ ） ， 与 上 次 的 联 合 分 析 报 告 （ J A R - 1 6 - 2 0 2 9 6 ） 不 同 ， 此 次 报 告 中 给 出 了 更 多 关 于 俄 罗 斯 黑 客 活 动 的 检 测 响 应 技 术 性 证 ） 不 同 ， 此 次 报 告 中 给 出 了 更 多 关 于 俄 罗 斯 黑 客 活 动 的 检 测 响 应 技 术 性 证 据 。 据 。 这 些 证 据 涉 及 攻 击 活 动 的 前 期 踩 点 侦 查 、 攻 击 程 序 武 器 化 、 恶 意 文 件 传 播 、 漏 洞 利 用 、 驻 留 程 序 安 装 、 C & C 控 制 、 目 标 攻 击 行 为 和 检 测 响 应 等 方 面 ， 通 过 入 侵 指 纹 、 恶 意 代 码 、 网 络 行 为 等 特 征 ， 全 方 位 描 述 和 刻 画 了 整 个 “ 灰 熊 草 原 ” （ G R I Z Z L Y   S T E P P E ） 网 络 攻 击 活 动 ， 值 得 参 考 研 究 。 该 报 告 所 呈 现 证 据 ， 由 美 国 D H S 下 属 的 国 家 网 络 安 全 和 通 信 整 合 中 心 （ N C C I C ） 联 合 跨 部 门 合 作 机 构 和 其 它 监 测 “ 灰 熊 草 原 ” 活 动 的 第 三 方 私 营 公 司 综 合 而 成 。 报 告 概 要 报 告 概 要 在 J A R - 1 6 - 2 0 2 9 6 和 本 报 告 之 前 ， 一 些 网 络 安 全 和 威 胁 研 究 公 司 已 经 发 布 了 大 量 关 于 “ 灰 熊 草 原 ” （ G R I Z Z L Y   S T E P P E ） 攻 击 活 动 的 分 析 报 告 。 在 此 ， 为 了 更 好 地 了 解 A P T 2 8 和 A P T 2 9 的 网 络 攻 击 行 为 ， D H S 鼓 励 广 大 网 络 安 全 专 家 、 威 胁 分 析 研 究 者 或 普 通 民 众 积 极 获 取 这 些 公 开 报 告 ， 从 中 发 现 攻 击 的 T T P s 属 性 ， 进 一 步 防 御 “ 灰 熊 草 原 ” 攻 击 活 动 。 以 下 是 部 分 关 于 “ 灰 熊 草 原 ” 攻 击 活 动 的 公 开 报 告 清 单 ， 仅 供 参 考 ， 不 代 表 美 国 政 府 支 持 或 认 可 特 定 产 品 或 供 应 商 ：
技 术 证 据 分 析 技 术 证 据 分 析 D H S 分 析 师 采 用 网 络 攻 击 链 （   C y b e r   K i l l   C h a i n   ） 模 式 对 攻 击 活 动 进 行 分 析 、 讨 论 和 识 别 ， 通 过 C y b e r   K i l l   C h a i n 的 7 个 判 断 步 骤 ， 利 用 技 术 性 证 据 ， 详 细 描 述 了 整 个 “ 灰 熊 草 原 ” 攻 击 活 动 。 前 期 踩 点 侦 查 前 期 踩 点 侦 查 攻 击 者 采 用 多 种 侦 测 方 法 确 定 了 最 佳 入 侵 目 标 ， 这 些 方 法 包 括 网 络 漏 洞 扫 描 、 用 户 凭 据 窃 取 、 注 册 与 目 标 组 织 机 构 网 站 相 似 域 名 等 ， 其 中 注 册 的 相 似 域 名 （ 又 称 t y p o - s q u a t t i n g 攻 击 ） 又 以 钓 鱼 邮 件 链 接 的 方 式 发 送 给 了 目 标 受 害 者 ， 实 现 引 诱 欺 骗 ， 进 而 达 到 窃 取 受 害 者 相 关 账 号 密 码 目 的 。 D H S 在 此 警 告 相 关 机 构 组 织 应 重 视 此 类 攻 击 。 而 且 ， 在 2 0 1 6 年 大 选 前 期 ， D H S 发 现 了 一 些 可 疑 的 网 络 扫 描 活 动 ， 这 些 扫 描 活 动 着 重 判 断 目 标 网 站 系 统 的 X S S 和 S Q L 漏 洞 情 况 。 一 旦 识 别 到 漏 洞 存 在 ， 攻 击 者 就 会 利 用 这 些 漏 洞 进 一 步 入 侵 目 标 网 络 。 网 络 边 界 扫 描 是 攻 击 活 动 的 前 兆 。 “ 灰 熊 草 原 ” 攻 击 者 使 用 的 另 外 一 种 方 法 是 ， 通 过 公 开 的 网 络 基 础 设 施 架 构 临 时 、 中 转 或 钓 鱼 网 站 页 面 ， 进 行 目 标 用 户 的 密 码 凭 据 信
息 收 集 和 存 储 。 攻 击 程 序 武 器 化 攻 击 程 序 武 器 化 据 报 道 ， 2 0 1 4 年 攻 击 者 首 先 利 用 了 名 为 O n i o n D u k e 的 恶 意 软 件 开 始 了 网 络 攻 击 行 为 ， 从 这 个 阶 段 开 始 ， 一 些 安 全 分 析 研 究 者 就 有 所 察 觉 。 “ 灰 熊 草 原 ” 攻 击 程 序 的 武 器 化 方 法 主 要 为 ： 对 某 些 网 站 进 行 代 码 注 入 实 行 “ 水 坑 攻 击 ” 制 作 包 含 恶 意 宏 程 序 的 O f f i c e 文 件 制 作 包 含 恶 意 f l a s h 代 码 的 富 文 本 格 式 （ R T F ） 文 档 恶 意 文 件 传 播 恶 意 文 件 传 播 主 要 使 用 钓 鱼 邮 件 附 件 或 链 接 进 行 恶 意 文 件 传 播 ， 如 以 下 附 件 格 式 、 邮 件 主 题 、 文 件 标 题 等 ： e f a x ,   e - F a x ,   e f a x   # 1 0 0 3 4 5 （ 随 机 序 列 数 组 合 ） P D F ,   P F D ,   S e c u r e   P D F 时 事 主 题 ， 如 “ 欧 洲 议 会 声 明 … . ” 等 M i c r o s o f t   O u t l o o k   W e b   A c c e s s （ O W A ） 的 钓 鱼 登 录 页 面 网 络 威 胁 事 件 会 议 邀 请 入 侵 合 法 站 点 设 置 包 含 恶 意 程 序 的 软 件 下 载 在 种 子 站 点 提 供 被 感 染 的 盗 版 软 件 下 载 利 用 T O R 出 口 节 点 传 播 恶 意 文 件 漏 洞 利 用 漏 洞 利 用 “ 灰 熊 草 原 ” 攻 击 者 利 用 了 一 系 列 C V E 漏 洞 组 合 开 发 具 有 特 定 功 能 的 恶 意 软 件 ， 这 些 C V E 包 括 ： C V E - 2 0 1 6 - 7 8 5 5 :   A d o b e   F l a s h   P l a y e r   U A F 漏 洞 C V E - 2 0 1 6 - 7 2 5 5 :   M i c r o s o f t   W i n d o w s   提 权 漏 洞 C V E - 2 0 1 6 - 4 1 1 7 :   A d o b e   F l a s h   P l a y e r   远 程 攻 击 漏 洞 C V E - 2 0 1 5 - 1 6 4 1 :   M i c r o s o f t   O f f i c e   内 存 破 坏 漏 洞 C V E - 2 0 1 5 - 2 4 2 4 :   M i c r o s o f t   P o w e r P o i n t   内 存 破 坏 漏 洞 C V E - 2 0 1 4 - 1 7 6 1 :   M i c r o s o f t   O f f i c e   D o S （ 内 存 破 坏 ） 漏 洞 C V E - 2 0 1 3 - 2 7 2 9 :   A d o b e   R e a d e r   和 A c r o b a t   溢 出 漏 洞 C V E - 2 0 1 2 - 0 1 5 8 :   M i c r o s o f t   O f f i c e 的 A c t i v e X   控 件 破 坏 漏 洞 C V E - 2 0 1 0 - 3 3 3 3 :   M i c r o s o f t   O f f i c e   R T F 文 档 栈 溢 出 漏 洞 C V E - 2 0 0 9 - 3 1 2 9 :   M i c r o s o f t   O f f i c e   兼 容 包 远 程 攻 击 漏 洞 驻 留 程 序 安 装 驻 留 程 序 安 装 攻 击 者 使 用 了 多 种 方 式 植 入 恶 意 驻 留 程 序 ， 可 以 通 过 一 些 公 开 报 告 和 对 S o f a c y 和 O n i o n   D u k e 的 研 究 发 现 。 近 期 ， D H S 分 析 了 “ 灰 熊 草 原 ” 相 关 的 1 7 个 P H P 文 件 、 3 个 执 行 程 序 和 1 个 R T F 文 档 ， 其 中 P H P 文 件 是 攻 击 者 用 来 进 行 远 程 管 理 被 入 侵 网 站 的 w e b s h e l l ， R T F 文 档 则 内 置 了 恶 意 可 执 行 程 序 。 （ 分 析 结 果 标 记 为 M I F R - 1 0 1 0 5 0 4 9 ） C & C 控 制 控 制
攻 击 者 利 用 C & C 方 式 进 一 步 安 装 特 定 恶 意 程 序 和 控 制 管 理 ， 这 些 C & C 方 式 一 般 通 过 被 入 侵 网 站 或 公 开 的 网 络 基 础 设 施 来 进 行 中 转 ， 如 短 链 接 网 站 服 务 、 T O R 隐 蔽 服 务 等 ， 但 大 多 为 通 过 I P 或 域 名 反 弹 方 式 连 接 管 理 植 入 程 序 。 目 标 攻 击 行 为 目 标 攻 击 行 为 攻 击 者 在 不 同 的 攻 击 目 标 和 活 动 中 使 用 了 多 种 恶 意 植 入 程 序 ， 通 过 这 些 程 序 实 现 敏 感 数 据 、 邮 件 和 用 户 凭 据 窃 取 等 目 的 。 检 测 响 应 检 测 响 应 D H S 依 据 被 攻 击 主 机 和 网 络 检 测 响 应 机 制 发 现 的 技 术 性 证 据 ， 这 些 证 据 包 括 攻 击 者 使 用 的 恶 意 代 码 、 程 序 指 纹 和 网 络 行 为 等 信 息 ， 在 报 告 附 录 中 分 析 并 列 出 了 详 细 的 ， 与 A P T 2 8 和 A P T 2 9 相 关 的 入 侵 指 标 和 Y A R A 恶 意 软 件 匹 配 规 则 。 报 告 最 后 对 相 应 的 攻 击 给 出 了 防 御 和 缓 解 措 施 。 A P T 2 8 和 和 A P T 2 9 技 术 性 证 据 技 术 性 证 据 包 括 一 些 S N O R T 规 则 、 Y A R A 规 则 和 恶 意 代 码 指 纹 ， 如 ：
详 细 证 据 请 参 考 原 报 告 ： A R - 1 7 - 2 0 0 4 5 * 参 考 来 源 ： U S - C E R T ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理