搜索

[11732] 2017-09-01_CIA新一波工具AngelFire：针对Windows系统的永久恶意框架

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-09-01_CIA新一波工具AngelFire：针对Windows系统的永久恶意框架 C I A   新 一 波 工 具 A n g e l F i r e ：   针 对 W i n d o w s 系 统 的 永 久 恶 意 框 架 A n g e l a Y   F r e e B u f   2 0 1 7 - 0 9 - 0 1 本 周 ， 维 基 解 密 发 布 了 新 一 款 本 周 ， 维 基 解 密 发 布 了 新 一 款   C I A   工 具 工 具   A n g e l F i r e 。 。 A n g e l F i r e   是 一 款 框 架 植 入 工 具 ， 可 以 作 为 永 久 后 门 留 存 是 一 款 框 架 植 入 工 具 ， 可 以 作 为 永 久 后 门 留 存 在 被 感 染 系 统 的 分 区 引 导 扇 区 中 ， 对 目 标 系 统 进 行 永 久 远 程 控 制 。 泄 露 的 用 户 手 册 显 示 ， 在 被 感 染 系 统 的 分 区 引 导 扇 区 中 ， 对 目 标 系 统 进 行 永 久 远 程 控 制 。 泄 露 的 用 户 手 册 显 示 ， A n g e l F i r e   需 要 获 得 需 要 获 得 管 理 员 权 限 才 能 成 功 入 侵 目 标 系 统 。 管 理 员 权 限 才 能 成 功 入 侵 目 标 系 统 。   与 此 前 的   G r a s s h o p p e r 、 E L S A 、   A f t e r   M i d n i g h t   类 似 ， A n g e l F i r e   也 是 一 款 永 久 性 框 架 ， 可 以 在 目 标 系 统 （ W i n d o w s   X P   与   W i n d o w s   7 ） 中 加 载 并 执 行 定 制 的 注 入 程 序 。 A n g e l F i r e   有 五 个 组 成 部 分 ： 1 .   S o l a r t i m e   —   修 改 分 区 引 导 扇 区 ， 让 系 统 每 次 加 载 引 导 设 备 驱 动 时 ， 能 加 载 并 执 行   W o l f c r e e k   （ 内 核 代 码 ） ； 2 .   W o l f c r e e k   —   自 动 加 载 驱 动 （ 即   S o l a r t i m e   执 行 的 内 核 代 码 ） ， 可 以 加 载 其 他 驱 动 和 用 户 模 式 的 应 用 ； 加 载 其 他 驱 动 和 应 用 时 ， 就 能 创 建 可 以 在 被 感 染 机 器 上 检 测 到 的 内 存 泄 漏 ； 3 .   K e y s t o n e   —   W o l f c r e e k   的 一 部 分 ， 利 用   D L L   注 入 功 能 ， 直 接 在 系 统 内 存 中 执 行 恶 意 用 户 应 用 ， 无 需 将 恶 意 程 序 存 储 进 文 件 系 统 。 创 建 的 进 程 被 命 名 为   s v c h o s t . e x e ， 且 所 有 的 内 容 都 是 连 续 的 ， 包 含   s v c h o s t . e x e 实 例 （ 如 图 片 路 径 和 父 进 程 等 ） 。 4 .   B a d M F S   —   在 活 动 分 区 结 尾 （ 新 版 本 B a d M F S 中 会 使 用 硬 盘 中 的 某 个 文 件 ） 创 建 隐 藏 的 文 件 系 统 ， 存 储 W o l f c r e e k   启 动 的 所 有 驱 动 程 序 和 植 入 程 序 ； 所 有 这 些 文 件 都 经 过 了 混 淆 和 加 密 避 免 通 过 字 符 串 和 P E 头 扫 描 特 征 ； 5 .   W i n d o w s   T r a n s i t o r y   F i l e   s y s t e m   —   用 于 安 装   A n g e l F i r e ， 可 作 为   B a d M F S   的 替 代 方 法 。 C I A   特 工 可 利 用 这 个 方 法 创 建 一 些 临 时 文 件 ， 而 不 用 像 B a d M F S 一 样 把 他 们 存 在 隐 蔽 的 文 件 系 统 中 。 这 些 文 件 可 能 是 执 行 各 种 操 作 需 要 的 文 件 ， 比 如 安 装 、 向   A n g e l F i r e   添 加 文 件 、 从   A n g e l F i r e   移 除 文 件 等 。 这 些 临 时 文 件 存 在 “ U s e r I n s t a l l A p p ” 中 。 文 档 显 示 ，   A n g e l F i r e   可 以 入 侵   3 2   位 的   W i n d o w s   X P   和   W i n d o w s   7 ， 以 及   6 4   位 的   W i n d o w s   S e r v e r   2 0 0 8   R 2   和 W i n d o w s   7 。 A n g e l F i r e   有 两 个 安 装 版 本 ： 可 执 行 的 安 装 版 本 和   f i r e - a n d - c o l l e c t   . d l l   安 装 版 本 。
事 实 上 ， 与 事 实 上 ， 与   C I A   其 他 入 侵 其 他 入 侵   W i n d o w s   系 统 的 工 具 相 比 ， 系 统 的 工 具 相 比 ， A n g e l F i r e   有 一 些 不 足 有 一 些 不 足 。 例 如 ， 一 些 安 全 产 品 可 以 通 过 名 为   “ z f ” 的 文 件 检 测 到   B a d M F S B   文 件 系 统 ； 在   A n g e l F i r e   其 中 一 个 组 件 崩 溃 时 ， 用 户 也 能 看 到 弹 框 警 告 。 此 外 ，   K e y s t o n e   组 件 利 用 “ C : W i n d o w s s y s t e m 3 2 s v c h o s t . e x e ”   进 程 作 为 伪 装 ， 但 是 ， 如 果   W i n d o w s   系 统 路 径 存 在 于 D   盘 等 其 他 分 区 ， 这 个 伪 装 进 程 就 无 法 进 行 对 应 调 整 ； 此 外   W i n d o w s   X P   系 统 并 不 支 持 永 久   D L L   注 入 。 其 他 其 他 V a u l t   7   C I A 工 具 工 具 自 今 年 3 月 7 日 开 始 ， 维 基 解 密 开 始 使 用 一 个 新 的 代 号   V a u l t   7   作 为 美 国 中 情 局 （ C I A ） 的 敏 感 信 息 披 露 计 划 。 根 据 维 基 解 密 的 阐 述 ， 这 些 泄 露 的 文 件 中 包 含 了 大 量   0 d a y ， 恶 意 软 件 ， 病 毒 ， 木 马 以 及 相 关 文 档 的 高 度 机 密 资 料 ， 在 美 国 政 府 黑 客 和 承 包 商 之 间 传 播 ， 其 中 有 人 向 维 基 解 密 提 交 了 这 份 绝 密 档 案 的 部 分 内 容 。 自 项 目 开 始 以 来 ， 维 基 解 密 已 经 共 计 公 布 了   2 4   批   V a u l t   7   系 列 文 件 ， 详 情 可 点 击 阅 读 原 文 查 看 ： A n g e l F i r e   –   框 架 植 入 工 具 ， 对 目 标 系 统 进 行 永 久 远 程 控 制 （ 2 0 1 7 . 0 8 . 3 1 ） E x p r e s s L a n e   –   监 控 包 括   F B I 、 D H S   和   N S A   等 在 内 的 情 报 联 络 机 构 并 搜 集 数 据 的 工 具 （ 2 0 1 7 . 0 8 . 2 5 ） C o u c h P o t a t o   –   窃 取 R T S P / H . 2 6 4 视 频 流 工 具 （ 2 0 1 7 . 8 . 1 0 ） D u m b o   –   用 来 关 闭 摄 像 头 监 控 的 工 具 （ 2 0 1 7 . 8 . 3 ） I m p e r i a l   –   三 款 后 门 工 具 （ 2 0 1 7 . 7 . 2 8 ） U M B R A G E   /   R a y t h e o n   B l a c k b i r d   –   C I A   承 包 商   R a y t h e o n   B l a c k b i r d   T e c h n o l o g i e s   为   U M B R A G E   项 目 提 供 的 恶 意 程 序 详 细 解 析 文 档   （ 2 0 1 7 . 7 . 1 9 ） H i g h R i s e   –   拦 截   S M S   消 息 并 重 定 向 至 远 程   C I A   服 务 器 的 安 卓 恶 意 程 序 （ 2 0 1 7 . 7 . 1 3 ） B o t h a n S p y   &   G y r f a l c o n   –   窃 取   S S H   登 录 凭 证 的 工 具 （ 2 0 1 7 . 7 . 6 ） O u t l a w C o u n t r y   –   入 侵   L i n u x   系 统 的 工 具 （ 2 0 1 7 . 6 . 3 0 ） E L S A   -   可 以 对   W i n d o w s   用 户 实 施 定 位 的 恶 意 软 件 （ 2 0 1 7 . 6 . 2 8 ） B r u t a l   K a n g a r o o   –   针 对 企 业 或 组 织 中 网 络 隔 离 W i n d o w s 主 机 的 C I A 工 具 。 （ 2 0 1 7 . 6 . 2 2 ） C h e r r y   B l o s s o m   –   一 款 能 够 远 程 控 制 的 基 于 固 件 的 植 入 工 具 ， 利 用 W i f i 设 备 中 的 漏 洞 监 控 目 标 系 统 的 网 络 活 动 （ 2 0 1 7 . 6 . 1 5 ） P a n d e m i c   –   C I A 用 它 吧 W i n d o w s 文 件 服 务 器 变 成 攻 击 主 机 ， 从 而 感 染 局 域 网 内 的 其 他 主 机 （ 2 0 1 7 . 6 . 1 ） A t h e n a   –   一 个 间 谍 软 件 框 架 ， 能 够 远 程 控 制 感 染 W i n d o w s 主 机 ， 并 且 支 持 所 有 W i n d o w s 操 作 系 统 ， 从 W i n d o w s   X P 到 W i n d o w s   1 0 。 （ 2 0 1 7 . 5 . 1 9 ）
A f t e r M i d n i g h t 和 A s s a s s i n   –   C I A 的 两 个 恶 意 软 件 框 架 ， 针 对 W i n d o w s 平 台 ， 能 够 监 控 、 回 传 感 染 主 机 的 操 作 并 且 执 行 恶 意 代 码 （ 2 0 1 7 . 5 . 1 2 ） A r c h i m e d e s   –   局 域 网 内 进 行 中 间 人 攻 击 的 工 具 （ 2 0 1 7 . 5 . 5 ） S c r i b b l e s   –   一 款 将 w e b   b e a c o n s 加 入 加 密 文 档 的 工 具 ， 以 便 C I A 黑 客 追 踪 泄 密 者 （ 2 0 1 7 . 4 . 2 8 ） W e e p i n g   A n g e l   –   将 智 能 电 视 的 麦 克 风 转 变 为 监 控 工 具 。 利 用 此 工 具 ， C I A 黑 客 能 够 将 打 开 居 民 家 中 的 智 能 电 视 （ 而 且 是 在 用 户 以 为 电 视 关 闭 的 情 况 下 ） ， 并 窃 听 人 们 的 对 话 。 （ 2 0 1 7 . 4 . 2 1 ） H I V E — —   多 平 台 入 侵 植 入 和 管 理 控 制 工 具 （ 2 0 1 7 . 4 . 1 4 ） G r a s s h o p p e r   –   一 款 框 架 ， C I A 用 它 来 创 建 针 对 W i n d o w s 的 恶 意 软 件 并 且 绕 过 杀 毒 软 件 ( 2 0 1 7 . 4 . 7 ) M a r b l e   –   一 款 秘 密 反 取 证 的 框 架 ， 对 恶 意 软 件 的 真 实 来 源 进 行 混 淆 （ 2 0 1 7 . 3 . 3 1 ） D a r k   M a t t e r   –   针 对 i P h o n e 和 M a c 电 脑 的 入 侵 工 具 （ 2 0 1 7 . 3 . 2 3 ） Y e a r   Z e r o   –   C I A 针 对 硬 件 和 软 件 的 漏 洞 利 用 工 具 * 参 考 来 源 ： S e c u r i t y W e e k ， b l e e p i n g c o m p u t e r ， A n g e l a Y   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理