搜索

[11253] 2017-04-19_CIAVault7泄露文档第五波：多平台入侵植入和管理控制工具HIVE

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-19_CIAVault7泄露文档第五波：多平台入侵植入和管理控制工具HIVE C I A   V a u l t 7 泄 露 文 档 第 五 波 ： 多 平 台 入 侵 植 入 和 管 理 控 制 工 具 H I V E C Y l a r   F r e e B u f   2 0 1 7 - 0 4 - 1 9 最 近 ， N S A 和 C I A 的 网 络 武 器 都 被 捅 娄 子 了 ， 4 月 1 4 日 ， 就 在 S h a d o w B r o k e r 公 布 第 二 批 N S A 网 络 大 杀 器 的 同 一 天 ， 维 基 解 密 继 续 公 布 了 V a u l t 7 系 列 名 为 H I V E （ 蜂 巢 ） 的 C I A 网 络 工 具 相 关 文 档 。 文 档 共 6 份 ， 包 括 了 H I V E 的 开 发 使 用 和 配 置 工 作 文 档 等 ， 最 早 版 本 记 录 可 追 溯 到 2 0 1 5 年 1 0 月 。 H I V E 是 C I A 计 算 机 网 络 行 动 小 组 （ C O G ） 在 执 行 远 程 目 标 任 务 时 使 用 的 一 个 协 助 平 台 ， 由 C I A 嵌 入 式 研 发 部 门 （ E D B ） 开 发 ， 可 以 提 供 针 对 W i n d o w s 、 S o l a r i s 、 M i k r o T i k （ 路 由 器 O S ） 、 L i n u x 和 A V T e c h 网 络 视 频 监 控 等 系 统 的 定 制 植 入 程 序 ， 并 能 实 现 多 种 平 台 植 入 任 务 的 后 台 控 制 工 作 ， 协 助 C I A 从 植 入 恶 意 软 件 的 目 标 机 器 中 以 H T T P S 协 议 和 数 据 加 密 方 式 执 行 命 令 和 窃 取 数 据 。 其 自 身 具 备 的 H T T P S 协 议 接 口 为 网 络 入 侵 行 为 增 添 了 隐 蔽 掩 护 性 。 曾 有 一 些 杀 软 公 司 和 安 全 专 家 通 过 网 络 入 侵 行 为 ， 侦 测 到 了 一 些 国 家 级 别 的 网 络 攻 击 活 动 使 用 了 类 似 H I V E 的 攻 击 架 构 ， 但 之 前 却 一 直 无 法 准 确 溯 源 。 而 就 在 最 近 ， 赛 门 铁 克 研 究 人 员 通 过 对 v a u l t 7 文 档 的 调 查 后 发 现 ， C I A 可 能 就 是 操 控 运 行 黑 客 组 织 L o n g h o r n 的 幕 后 黑 手 ， L o n g h o r n 曾 对 至 少 1 6 个 国 家 的 4 0 个 目 标 系 统 发 起 过 攻 击 。 赛 门 铁 克 报 告 中 对 L o n g h o r n 的 网 络 攻 击 架 构 是 这 样 描 述 的 ： 在 网 络 入 侵 活 动 中 ， 对 远 程 控 制 C & C 端 来 说 ， L o n g h o r n 会 单 独 为 每 个 目 标 分 配 一 个 特 定 的 I P 和 域 名 组 合 。 有 些 奇 怪 的 是 ， 为 了 隐 匿 身 份 和 行 为 ， 这 些 域 名 看 似 是 由 攻 击 者 自 己 注 册 的 ， 但 这 些 I P 地 址 都 指 向 正 规 V P S 和 网 站 托 管 商 。 这 些 入 侵 活 动 中 涉 及 的 恶 意 软 件 ， 在 与 远 端 C & C 服 务 器 之 间 的 交 流 通 信 却 是 H T T P S 方 式 ， 而 且 使 用 了 自 定 义 的 底 层 加 密 协 议 来 进 行 伪 装 。 此 次 H I V E 工 具 相 关 文 档 的 曝 光 更 为 之 前 杀 软 公 司 和 安 全 专 家 的 分 析 提 供 了 佐 证 。 H I V E 工 作 原 理 工 作 原 理 H I V E 的 攻 击 原 理 为 在 T C P / U D P 协 议 通 信 中 ， 执 行 X O R 和 其 它 加 密 算 法 ， 通 过 军 工 商 诺 斯 · 格 鲁 曼 （ N o r t h r o p   G r u m m a n ） 研 发 的 代 理 架 构 B L O T 和 一 个 名 为 S w i t c h b l a d e 的 中 间 架 构 ， 在 入 侵 目 标 与 C I A 远 程 控 制 端 进 行 隐 蔽 通 信 和 管 理 控 制 。 其 中 ， 所 有 的 C & C 通 信 又
通 过 B L O T 架 构 配 置 的 A p a c h e 服 务 器 和 域 名 中 转 脚 本 进 行 回 连 控 制 ， 而 且 为 了 增 强 隐 蔽 性 ， 所 有 H I V E 使 用 的 I P 地 址 都 可 以 在 V P S 系 统 内 完 成 重 定 向 动 作 。       B L O T 架 构 描 述 架 构 描 述 每 一 个 被 植 入 恶 意 软 件 的 入 侵 目 标 ， 在 与 C & C 端 进 行 反 弹 连 接 时 ， 在 V P S 系 统 内 由 其 自 身 携 带 的 反 弹 信 息 被 指 定 适 配 域 名 和 重 定 向 更 改 ， 之 后 ， 这 些 域 名 流 量 信 息 又 会 到 达 B L O T 的 代 理 通 道 。 由 于 在 V P S 系 统 内 经 过 重 定 向 更 改 ， 端 口 等 信 标 信 息 都 会 被 重 新 更 改 之 后 发 送 给 B L O T 架 构 ， 如 之 前 通 过 8 0 端 口 连 接 某 域 名 ， 那 么 重 定 向 更 改 发 送 给 B L O T 时 ， 可 能 就 是 8 0 0 1 端 口 。 B L O T 架 构 看 似 就 像 一 个 流 量 中 转 处 理 器 ， 当 它 接 收 到 有 效 且 重 要 信 标 后 ， 就 会 发 送 给 H o n e y c o m b 进 行 后 端 处 理 ， 并 且 ， 所 有 流 量 最 终 都 会 镜 像 发 送 至 隐 蔽 的 A p a c h e 服 务 器 （ C o v e r         s e r v e r ） 。       S w i t c h b l a d e 架 构 描 述 架 构 描 述 S w i t c h b l a d e 是 一 个 能 与 其 它 代 理 服 务 进 行 交 流 通 信 的 认 证 代 理 ， 它 使 用 自 签 名 证 书 ， 还 能 与 N g i n x 和 L i n u x 服 务 器 的 流 量 数 据 进 行 交
互 处 理 ， 在 入 侵 目 标 和 C & C 端 服 务 器 （ C o v e r   s e r v e r ） 之 间 增 加 隐 蔽 性 。 H I V E 工 具 相 关 文 档 下 载 ： P A N ， 提 取 码 ： q w 1 t * 本 文 作 者 ： C Y l a r   &   c l o u d s ， 参 考 来 源 ： w i k i l e a k s ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理