搜索

[13757] 2019-02-14_某疑似针对中东地区的APT攻击事件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-02-14_某疑似针对中东地区的APT攻击事件分析 某 疑 似 针 对 中 东 地 区 的 A P T 攻 击 事 件 分 析 小 河 西 村 安 全 研 究   F r e e B u f   2 0 1 9 - 0 2 - 1 4 前 言 前 言 在 疑 似 在 疑 似 A P T 攻 击 事 件 的 跟 踪 过 程 中 ， 遇 到 过 很 多 难 题 。 多 数 情 况 是 ， 这 次 ， 它 不 是 你 的 显 在 对 手 ， 我 们 不 会 获 攻 击 事 件 的 跟 踪 过 程 中 ， 遇 到 过 很 多 难 题 。 多 数 情 况 是 ， 这 次 ， 它 不 是 你 的 显 在 对 手 ， 我 们 不 会 获 得 足 够 多 的 线 索 ， 却 偏 偏 想 要 满 足 好 奇 的 欲 望 ， 经 典 的 人 生 三 问 ， 用 来 描 述 你 的 对 方 再 恰 当 不 过 。 我 在 《 阿 善 得 足 够 多 的 线 索 ， 却 偏 偏 想 要 满 足 好 奇 的 欲 望 ， 经 典 的 人 生 三 问 ， 用 来 描 述 你 的 对 方 再 恰 当 不 过 。 我 在 《 阿 善 师 的 告 白 》 中 听 到 一 句 话 ： 凡 走 过 必 留 下 痕 迹 。 这 里 ， 我 将 整 理 一 起 疑 似 师 的 告 白 》 中 听 到 一 句 话 ： 凡 走 过 必 留 下 痕 迹 。 这 里 ， 我 将 整 理 一 起 疑 似 A P T 攻 击 的 事 件 的 探 讨 ， 期 待 真 相 一 攻 击 的 事 件 的 探 讨 ， 期 待 真 相 一 步 步 浮 出 水 面 。 步 步 浮 出 水 面 。 北 京 时 间 2 0 1 8 年 1 2 月 1 2 日 ， 我 们 看 到 野 外 出 现 一 份 名 为 的 样 本 使 用 了 最 新 披 露 的 A d o b e   F l a s h   P l a y e r 漏 洞 ： C V E - 2 0 1 8 - 1 5 9 8 2 ， 该 漏 洞 影 响 F l a s h   P l a y e r   3 2 . 0 . 0 . 1 0 1 之 前 的 多 个 版 本 。 由 于 披 露 时 间 不 到 一 周 ， 所 有 一 手 样 本 都 值 得 引 起 警 觉 。 该 样 本 文 档 显 示 的 内 容 是 一 份 海 事 卫 星 设 备 ( I n m a r s a t   I s a t P h o n e ) 清 单 。 样 本 触 发 漏 洞 后 ， 连 接 远 程 服 务 器 获 取 下 发 指 令 。 静 态 分 析 静 态 分 析 样 本 内 容 列 举 了 多 个 模 块 、 价 格 和 数 量 信 息 。 海 事 卫 星 电 话 常 用 于 船 舶 与 船 舶 之 间 、 船 舶 与 陆 地 之 间 的 通 信 ， 包 括 语 言 通 话 、 数 据 传 输 和 文 件 传 真 。 样 本 内 嵌 F l a s h 文 件 ， F l a s h 文 件 中 以 明 文 的 形 式 嵌 入 恶 意 指 令 。
后 门 程 序 将 自 己 设 置 持 久 化 之 后 立 即 连 接 C 2 接 收 下 一 阶 段 指 令 执 行 。 整 理 样 本 中 存 在 的 潜 在 信 息 ： 溯 源 追 踪 溯 源 追 踪 1 .   根 据 根 据 C 2 追 溯 追 溯 根 据 C 2 服 务 器 I P 地 址 1 9 0 . 2 . 1 4 5 . 1 4 9 ， 小 编 并 未 关 联 到 其 它 恶 意 样 本 。 在 获 取 到 样 本 的 第 一 时 间 ， 该 I P 地 址 上 还 存 在 另 一 个 可 执 行 文 件 ： p u t t y . e x e ( M D 5 : 5 4 C B 9 1 3 9 5 C D A A D 9 D 4 7 8 8 2 5 3 3 C 2 1 F C 0 E 9 ) ， 归 属 远 程 登 录 工 具 。 P a t h ：   C : U s e r s U s e r A p p D a t a L o c a l T e m p E x c e l 8 . 0 S h o c k w a v e F l a s h O b j e c t s . e x d P a t h ：   C : P r o g r a m   F i l e s M i c r o s o f t   O f f i c e O f f i c e 1 6 E X C E L . E X E P a t h ：   c : C V E - 2 0 1 8 - 1 5 9 8 2 _ P o C . s w f U R L ：   h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / p u t t y 2 . e x e P E - C o m p i l e r - S t a m p ： T u e   D e c   1 1   1 3 : 0 6 : 2 0   2 0 1 8   ( U T C + 8 ) X L S - S a v e d ：   1 2 / 1 0 / 2 0 1 8   5 : 1 3   P M   ( U T C + 8 )
根 据 w h o i s 信 息 显 示 ， I P 地 址 归 属 一 家 荷 兰 的 I S P 服 务 提 供 商 。 该 I S P 服 务 提 供 商 W o r l d S t r e a m 公 司 主 页 显 示 其 提 供 可 靠 的 托 管 服 务 。 从 I P 的 历 史 记 录 中 ， 小 编 找 到 一 条 非 常 重 要 的 线 索 。 t e a m k e l v i n s e c t e a m 于 2 0 1 8 年 1 1 月 2 5 日 在 R a i d F o r u m s 论 坛 于 「 L e a k s 」 、 「 D a t a b a s e s 」 板 块 公 布 了 该 I P 存 在 允 许 列 目 录 。 该 用 户 截 图 上 传 了 详 细 的 文 件 列 表 并 备 注 文 件 包 含 ： 可 疑 的 恶 意 软 件 、 E m a i l 备 份 和 p s t 文 件 等 等 。 I P 在 7 月 份 搭 建 了 W e b 集 成 环 境 ， 从 9 月 开 始 存 在 压 缩 文 件 陆 续 上 传 ， 直 至 1 1 月 2 2 日 ， 文 件 汇 总 约 逾 百 G 。 许 多 文 件 直
指 阿 联 酋 国 家 石 油 公 司 ( E N O C ) 的 职 员 邮 件 备 份 。 在 这 份 漏 洞 文 档 公 开 之 后 ， R a i d F o r u m s 论 坛 的 t e a m k e l v i n s e c t e a m 很 快 删 除 了 <   [ E m a i l s ]   E m i r a t e s   N a t i o n a l   O i l C o m p a n y > 这 篇 帖 子 。 在 删 除 前 ， 小 编 翻 阅 了 所 有 评 论 ， 大 致 的 留 言 有 ： 需 要 联 系 方 式 、 索 取 解 压 密 码 、 期 望 获 得 邮 件 备 份 以 及 允 许 列 目 录 已 失 效 等 等 。 从 缓 存 中 小 编 截 取 了 两 份 评 论 ， 包 含 t e a m k e l v i n s e c t e a m 留 下 自 己 的 联 系 邮 箱 ：
v i p s u s c r i p t i o n k e l v i n s e c u r i t y v 1 @ p r o t o n m a i l . c o m 。 2 .   根 据 代 码 特 征 追 溯 根 据 代 码 特 征 追 溯 从 获 得 样 本 伊 始 ， 小 编 很 快 提 取 样 本 关 键 特 征 和 历 史 样 本 进 行 比 对 。 很 遗 憾 的 是 ， 小 编 对 历 史 样 本 进 行 比 对 ， 对 新 增 样 本 进 行 监 控 ， 以 及 多 次 使 用 I n t e z e r 进 行 分 析 ， 均 未 能 匹 配 到 关 联 样 本 。 p s . 图 中 最 下 方 ， 使 用 I n t e z e r 获 得 与 唯 一 的 关 联 样 本 ， 经 过 小 编 确 认 ， 是 某 位 安 全 研 究 人 员 上 传 的 的 内 存 d u m p ( M D 5 : 2 4 F 7 E 3 4 2 2 B 1 D B 6 9 2 8 9 D 4 7 F 1 0 2 5 D B 1 5 9 8 ) 。 小 编 对 文 档 提 取 特 征 比 对 历 史 样 本 ， 匹 配 到 十 多 个 疑 似 样 本 ， 分 析 之 后 ， 没 有 得 到 有 效 证 据 和 此 次 事 件 所 属 组 织 产 生 强 关 联 。 他 们 是 谁 他 们 是 谁 由 于 小 编 在 访 问 I P 的 时 候 ， 只 能 查 看 到 X A M P P 的 初 始 配 置 页 面 。 首 先 需 要 怀 疑 文 件 列 表 的 真 实 性 。 此 处 小 编 并 不 打 算 对 「 L e a k s 」 和 「 D a t a b a s e s 」 主 题 做 过 多 探 讨 ， 但 是 从 t e a m k e l v i n s e c t e a m 的 行 为 记 录 来 看 ， 这 些 邮 件 备 份 文 件 是 存 在 的 。 1 .   受 害 者 信 息 受 害 者 信 息
从 公 开 信 息 确 认 其 中 一 名 疑 似 受 害 者 F a r d i n   M a l a h i 的 职 务 为 阿 联 酋 国 家 石 油 公 司 人 力 资 源 部 主 管 。 2 .   攻 击 者 身 份 攻 击 者 身 份 老 实 说 ， 到 目 前 为 止 关 于 攻 击 者 身 份 或 者 隶 属 组 织 小 编 并 没 有 指 向 性 的 结 论 。 我 们 看 看 安 全 社 区 的 讨 论 ： 威 胁 情 报 分 析 师 D r u n k   B i n a r y 认 为 是 A P T 3 4 ( 也 称 ： O i l R i g ) 组 织 的 钓 鱼 文 档 。 但 是 根 据 之 后 的 讨 论 ， F i r e E y e 的 研 究 人 员 A n d r e w 认 为 暂 不 能 定 性 。

根 据 德 国 N e x t r o n   S y s t e m s 公 司 的 A P T 检 测 产 品 T H O R 检 测 显 示 后 门 程 序 归 属 A P T 3 4 、 A P T 3 3 组 织 。 从 它 的 规 则 编 写 时 间 来 看 ， 除 非 有 内 部 未 公 开 披 露 的 详 实 证 据 命 中 目 标 ， 否 者 小 编 认 为 可 以 参 考 ， 暂 不 可 信 。 安 全 报 告 呢 ？ 在 近 期 C l e a r S k y 公 司 发 布 的 一 份 安 全 报 告 中 ， 约 存 在 2 - 3 页 对 该 事 件 的 详 尽 描 述 。 在 报 告 中 C l e a r S k y 认 为 存 在 迹 象 表 明 ， O i l r i g 组 织 最 有 可 能 在 9 月 或 1 0 月 渗 透 进 入 E N O C 网 络 并 部 署 了 横 向 移 动 工 具 。 在 其 公 开 报 告 中 ， 整 个 关 于 这 一 事 件 的 描 述 都 被 涂 抹 覆 盖 。
回 到 样 本 本 身 ， 关 于 该 组 织 为 什 么 要 在 深 度 渗 透 E N O C 网 络 之 后 ， 还 要 重 启 如 此 重 要 的 网 络 基 础 设 施 ， 利 用 最 新 的 F l a s h 漏 洞 疑 似 发 起 鱼 叉 攻 击 。 是 他 们 最 想 要 的 没 有 得 手 还 是 更 换 攻 击 目 标 ？ 当 然 可 以 猜 想 的 故 事 有 很 多 。 但 是 确 定 的 是 ， 本 次 利 用 钓 鱼 文 档 发 起 的 攻 击 时 段 很 短 ， 无 论 P E 编 译 时 间 还 是 文 档 最 后 保 存 时 间 是 否 可 信 ， 它 们 都 是 在 最 近 几 天 得 以 准 备 ， 迅 速 发 起 攻 击 ， 然 后 迅 速 失 效 。 尾 声 尾 声 还 有 更 多 资 料 吗 ？ 在 小 编 思 考 等 待 这 些 日 子 中 似 乎 就 这 么 多 了 。 有 的 资 料 由 于 最 开 始 没 有 备 份 下 来 以 至 在 此 漏 掉 许 多 。 至 于 新 的 样 本 ， 近 日 野 外 出 现 一 份 和 具 有 相 同 内 容 相 同 特 征 ， 但 是 仅 仅 利 用 漏 洞 弹 出 计 算 器 的 样 本 ( M D 5 : 9 5 4 C A 4 1 B 7 3 6 7 1 9 1 1 8 0 A 4 4 C 7 2 2 1 B B 4 6 2 A ) ， 小 编 对 样 本 分 析 之 后 决 定 不 作 过 多 参 考 ， 因 为 只 需 对   修 改 几 个 明 文 字 符 便 能 完 成 。 其 实 无 论 弹 计 算 器 的 是 谁 ， 我 们 总 会 知 道 ， 在 一 个 半 月 之 后 ， 原 始 样 本 并 没 有 被 忘 记 。 根 据 对 话 和 安 全 报 告 ， 大 厂 早 已 关 注 这 次 事 件 。 从 内 容 显 示 的 相 关 行 业 和 泄 漏 文 件 直 指 目 标 ， 或 多 或 少 我 们 可 以 总 结 出 攻 击 组 织 的 兴 趣 点 在 于 中 东 地 区 能 源 行 业 。 其 攻 击 手 法 似 乎 包 含 网 络 渗 透 和 鱼 叉 钓 鱼 ， 具 备 反 追 查 意 识 ， 使 用 新 款 木 马 后 门 ， 具 有 一 定 技 术 实 力 背 景 和 多 人 员 分 工 协 作 构 成 犯 罪 组 织 特 征 。 从 公 开 历 史 网 络 攻 击 拓 扑 图 看 ， 中 东 地 区 事 务 牵 涉 众 多 。 唯 愿 早 日 结 束 纷 争 。
I O C s M D 5 A 5 1 A 8 6 A 7 7 3 B 7 1 3 4 C 2 D 4 3 B A F C 2 9 3 1 E 6 A 4 9 4 7 1 5 E D 2 A 0 9 A 8 8 B E 0 2 6 E 8 B 2 B A 7 C 0 F 9 B 0 2 4 F 7 E 3 4 2 2 B 1 D B 6 9 2 8 9 D 4 7 F 1 0 2 5 D B 1 5 9 8 9 5 4 C A 4 1 B 7 3 6 7 1 9 1 1 8 0 A 4 4 C 7 2 2 1 B B 4 6 2 A 2 8 1 4 5 C E 3 3 2 7 1 8 3 3 7 A F 5 9 A C A 2 4 6 9 7 8 4 A 9 9 4 2 9 6 C C D D 8 3 1 6 1 D 7 F B 8 7 6 4 5 5 9 1 B 3 D 3 A F I P 1 9 0 . 2 . 1 4 5 . 1 4 9 附 录 附 录 h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / a b d u l . k h a l i q . r a r h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / a h m e d . s a l e m . r a r h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / a m m a r y @ e n o c . c o m . p s t h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / a n i s h k a m @ e n o c . c o m . p s t h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / a n v a r . h e l a l . r a r h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / a n w a r . h u s s a i n . r a r h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / b a d i r @ e n o c . c o m . p s t h t t p : / / 1 9 0 . 2 . 1 4 5 . 1 4 9 / c s t o r a d m i n . r a r
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理