搜索

[11362] 2017-05-18_看我如何伪装成APT28进行假冒攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-05-18_看我如何伪装成APT28进行假冒攻击 创 建 虚 假 - 元 数 据 标 识 看 我 如 何 伪 装 成 A P T 2 8 进 行 假 冒 攻 击 c l o u d s   F r e e B u f   2 0 1 7 - 0 5 - 1 8 近 期 ， 法 国 大 选 遭 受 俄 罗 斯 黑 客 攻 击 的 报 道 甚 嚣 尘 上 ， 各 路 安 全 专 家 和 威 胁 情 报 公 司 纷 纷 聚 焦 ， 晒 分 析 找 证 据 ， 马 克 龙 团 队 9 G 资 料 被 窃 取 、 A P T 2 8   M e t a d a t a 分 析 … … ， 使 得 去 年 涉 嫌 干 扰 美 国 大 选 ， 具 有 俄 罗 斯 军 情 机 构 背 景 的 A P T 2 8 再 次 处 于 风 口 浪 尖 之 上 。 从 趋 势 科 技 到 T h r e a t C o n n e c t 都 调 查 认 为 证 据 充 分 ， A P T 2 8 真 的 攻 击 了 马 克 龙 竞 选 团 队 了 吗 ？ 我 看 未 必 ， 在 此 ， 我 就 来 演 示 一 下 如 何 伪 装 A P T 2 8 进 行 假 冒 攻 击 。 作 者 作 者   |   c l o u d s 只 需 要 安 装 一 个 俄 语 版 的 W i n d o w s 系 统 ， 然 后 添 加 一 个 名 为 Д м и т р и й （ 德 米 特 里 ） 的 俄 语 账 户 ， 安 装 M i c r o s o f t   O f f i c e 程 序 ， 打 开 一 个 新 文 档 ， 好 吧 ， 接 下 来 你 编 辑 或 创 建 的 任 何 文 档 ， 看 似 都 出 自 莫 斯 科 且 用 户 名 为 德 米 特 里 的 系 统 ， 而 在 该 系 统 中 用 V i s u a l   S t u d i o 进 行 程 序 或 恶 意 软 件 编 写 都 会 带 有 与 此 相 同 的 属 性 特 征 。 接 下 来 ， 我 们 就 对 原 始 钓 鱼 文 档 中 的 元 数 据 进 行 修 改 。 以 r a n d o m . d o c x 文 档 为 例 ， 把 其 后 缀 更 改 为 . z i p 后 成 为 r a n d o m . z i p ， 解 压 该 文
模 仿 攻 击 攻 击 架 构 重 用 和 伪 造 虚 假 D N S 数 据 件 ， 其 d o c P r o p s 目 录 下 的 文 件 c o r e . x m l 中 就 包 含 了 时 间 、 作 者 等 元 数 据 信 息 ， 好 吧 ， 随 你 所 想 ， 改 成 你 所 希 望 伪 装 的 信 息 吧 ！ 对 于 当 前 的 一 些 高 级 A P T 技 术 ， 病 毒 分 析 人 员 和 安 全 厂 商 都 会 在 报 告 里 或 多 或 少 给 出 了 相 关 的 T T P s 特 征 。 所 以 ， 利 用 这 些 T T P s 特 征 形 成 的 攻 击 方 法 去 冒 充 一 个 已 知 的 A P T 组 织 是 完 全 可 行 的 ， 而 且 ， 在 这 之 前 ， 我 们 也 观 察 到 了 类 似 的 假 冒 攻 击 行 为 。 各 个 A P T 组 织 在 攻 击 活 动 中 都 有 自 己 的 一 系 列 惯 用 域 名 ， 这 些 域 名 信 息 可 以 从 一 些 安 全 公 司 发 布 的 分 析 报 告 中 找 到 。 而 有 些 安 全 分 析 人 员 甚 至 会 通 过 域 名 抢 注 方 式 ， 接 管 控 制 一 些 A P T 组 织 使 用 的 域 名 ， 以 追 踪 A P T 组 织 的 动 向 。 通 过 这 种 方 式 ， 我 发 现 了 A P T 2 8 在 2 0 1 4 年 使 用 过 的 域 名 a s i s o n l l i n e [ . ] o r g 、 b o s t o n d y n [ . ] c o m 、 c u b l c [ . ] c o m ， 当 前 是 可 注 册 状 态 ， 任 何 人 都 可 以 通 过 注 册 它 们 来 假 冒 攻 击 或 迷 惑 分 析 。 T h r e a t C o n n e c t 近 期 对 A P T 2 8 攻 击 干 扰 法 国 大 选 的 取 证 分 析 中 ， 认 为 攻 击 者 使 用 了 邮 箱 j o h n p i n c h @ m a i l [ . ] c o m 注 册 了 用 来 进 行 钓 鱼 攻 击 的 域 名 o n e d r i v e - e n - m a r c h e [ . ] f r ， 另 外 ， 还 披 露 了 其 它 详 细 的 注 册 信 息 ， 包 括 地 址 、 联 系 电 话 、 姓 名 等 线 索 。 如 下 所 示 ： 在 此 ， 为 了 伪 装 得 更 像 一 点 ， 我 使 用 了 这 些 相 同 的 注 册 信 息 注 册 了 我 自 己 设 置 的 域 名 ： t o t a l l y - l e g i t - c l o u d . e m a i l ， 因 为 在 域 名 注 册 过 程 中 ， 所 有 注 册 信 息 都 不 会 被 要 求 验 证 ， 因 此 ， 任 何 人 都 可 以 据 此 进 行 假 冒 ， 伪 装 利 用 他 人 信 息 。 看 看 是 不 是 很 像 啊 ：
到 底 是 谁 击 入 侵 攻 击 了 法 国 大 选 按 照 某 些 开 源 威 胁 情 报 分 析 工 具 （ O S I N T ） 的 关 联 分 析 结 论 来 看 ， 现 在 ， 我 的 域 名 已 经 正 式 和 A P T 2 8 的 攻 击 架 构 关 联 在 一 起 了 。 现 在 ， 我 就 是 A P T 2 8 组 织 成 员 了 ， 可 以 发 起 攻 击 了 ！ 到 目 前 为 止 我 们 也 只 能 做 出 假 设 。 现 在 ， 大 家 都 知 道 存 在 虚 假 信 标 攻 击 了 ， A P T 2 8 的 策 略 专 家 可 能 会 继 续 进 行 攻 击 ， 但 肯 定 不 会 利 用 这 么 一 个 明 显 的 ， 连 白 痴 都 知 道 的 指 纹 信 息 。 因 为 任 何 人 都 能 利 用 这 些 指 纹 信 息 进 行 假 冒 攻 击 ， 而 一 些 安 全 公 司 为 什 么 还 这 么 肯 定 呢 ？ 为 什 么 就 不 能 改 改 你 们 的 T T P s 分 析 结 果 呢 ？ 因 此 ， 也 有 一 些 安 全 分 析 师 可 能 会 说 “ 这 也 太 明 显 了 ， 不 可 能 是 俄 罗 斯 人 干 的 吧 ” 。 可 能 是 ， 也 或 不 是 。 但 到 底 是 或 不 是 ， 我 想 只 有 那 些 情 报 机 构 才 真 正 知 晓 ， 当 然 了 ， 俄 罗 斯 人 的 网 络 攻 击 技 术 能 力 也 是 不 可 否 认 的 。 在 威 胁 情 报 分 析 中 ， 所 有 的 元 数 据 信 息 （ M e t a d a t a ） 都 只 能 反 映 一 种 线 索 可 能 性 ， 必 须 要 与 其 它 来 源 信 息 进 行 共 同 映 证 才 能 形 成 可 靠 证 据 ， 否 则 ， 这 种 片 面 的 分 析 结 果 将 会 南 辕 北 辙 。
外 交 因 素 总 结 只 凭 只 凭 M e t a d a t a 信 息 是 得 不 到 准 确 溯 源 调 查 （ 信 息 是 得 不 到 准 确 溯 源 调 查 （ A t t r i b u t i o n ） 结 果 的 ） 结 果 的 相 较 于 以 往 ， 现 在 任 何 字 节 的 代 码 都 能 被 假 冒 或 进 行 伪 装 ， 众 所 周 知 ， 从 最 近 泄 露 的 机 密 文 档 可 知 ， 就 连 C I A 和 N S A 都 采 用 这 种 方 法 ， 使 用 特 定 工 具 来 进 行 隐 匿 自 身 ， 假 冒 攻 击 ， 从 而 嫁 祸 他 国 。 比 如 在 方 程 式 组 织 （ E q u a t i o n G r o u p ） 被 曝 光 的 N S A 武 器 库 中 ， 就 有 一 款 名 为 E L E C T R I C S L I D E 的 工 具 ， 通 过 伪 装 成 中 国 用 户 浏 览 器 发 出 H T T P 请 求 ： 在 未 来 的 网 络 攻 击 活 动 中 ， 根 本 不 可 能 进 行 准 确 的 网 络 溯 源 追 踪 ， 因 为 那 些 精 明 的 A P T 组 织 都 会 有 训 练 有 素 的 支 持 团 队 对 一 些 别 国 的 网 络 利 用 工 具 （ C N E ） 进 行 二 次 开 发 利 用 。 另 外 ， 有 些 人 也 可 能 会 意 识 到 ， 大 多 数 国 家 间 的 A P T 对 抗 组 织 ， 其 I o C 威 胁 指 标 都 是 机 密 信 息 或 只 保 存 于 限 制 性 报 告 中 ， 仅 限 政 府 C E R T 应 急 响 应 组 织 和 相 关 机 构 才 能 合 法 获 取 到 这 些 信 息 。 就 像 英 国 G C H Q 在 招 募 网 络 工 程 师 进 行 网 络 防 防 御 和 攻 击 时 ， 必 须 要 求 工 程 师 同 时 具 备 网 络 攻 防 技 能 ， 因 为 ， 一 些 隐 蔽 的 网 络 利 用 工 具 （ C N E ） 将 会 被 广 泛 应 用 于 未 来 的 网 络 战 中 ， 未 知 攻 ， 焉 知 防 ， 只 有 知 己 知 彼 ， 方 能 百 战 不 殆 。 除 此 之 外 ， 我 们 必 须 承 认 现 代 黑 客 技 术 也 是 一 种 释 放 信 息 的 手 段 。 我 们 大 胆 地 Y Y 或 假 设 一 下 ， 也 或 许 这 就 是 俄 罗 斯 向 下 届 法 国 总 统 的 一 种 侧 面 表 态 ， “ 看 看 吧 ， 我 们 能 轻 轻 松 松 地 入 侵 攻 击 你 ， 你 不 喜 欢 普 京 可 以 ， 但 千 万 别 惹 我 们 ” ， 呵 呵 ， 这 在 军 事 上 叫 耀 武 扬 威 。 新 上 任 的 马 克 龙 肯 定 会 记 得 ， 他 和 他 的 竞 选 团 队 曾 被 黑 客 成 功 入 侵 过 ， 就 像 有 人 在 暗 中 时 刻 用 狙 击 步 枪 的 激 光 瞄 准 器 指 着 你 ， 永 远 都 是 一 种 威 胁 。 这 也 是 网 络 攻 击 可 以 作 为 震 慑 手 段 的 一 种 体 现 。 作 为 网 络 世 界 的 个 体 ， 我 们 不 要 被 那 些 表 面 的 报 道 或 技 术 证 据 所 蒙 蔽 所 误 导 。 因 为 网 络 攻 击 溯 源 调 查 并 不 是 那 么 简 单 容 易 的 事 ， 攻 击 事 件 的 意 义 是 什 么 ， 攻 击 者 的 意 图 又 是 什 么 ， 我 们 或 许 都 并 不 清 楚 。 只 有 那 些 真 正 高 度 可 信 并 且 可 以 相 互 映 证 的 信 息 线 索 ， 才 能 拨 开 网 络 攻 击 的 迷 雾 ， 揭 露 网 络 攻 击 的 真 凶 。 那 些 站 不 住 脚 ， 经 不 起 推 敲 的 分 析 、 假 设 或 线 索 都 是 苍 白 且 毫 无 根 据 的 。 * 参 考 来 源 ： x 0 r z ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理