搜索

[14768] 2019-11-02_APT35研究白皮书（二）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-11-02_APT35研究白皮书（二） A P T 3 5 研 究 白 皮 书 （ 二 ） K r i s t o n   F r e e B u f   2 0 1 9 - 1 1 - 0 2 A P T 3 5 又 被 成 为 又 被 成 为 ‘ C h a r m i n g   K i t t e n ’ ， 是 归 属 于 伊 朗 的 黑 客 组 织 。 该 组 织 自 ， 是 归 属 于 伊 朗 的 黑 客 组 织 。 该 组 织 自 2 0 1 4 年 活 动 以 来 ， 其 目 标 为 伊 朗 专 家 、 人 权 活 动 人 士 和 媒 体 人 员 。 大 多 数 受 害 年 活 动 以 来 ， 其 目 标 为 伊 朗 专 家 、 人 权 活 动 人 士 和 媒 体 人 员 。 大 多 数 受 害 者 在 中 东 、 美 国 和 英 国 。 者 在 中 东 、 美 国 和 英 国 。 2 0 1 9 年 1 0 月 4 日 微 软 宣 布 发 现 该 组 织 正 在 尝 试 攻 击 e m a i l 邮 箱 ， 其 目 标 为 美 国 总 统 竞 选 团 队 、 美 国 现 任 和 前 任 政 府 官 员 、 全 球 政 治 记 者 、 居 住 在 伊 朗 境 外 的 伊 朗 知 名 人 士 。 这 些 钓 鱼 邮 件 全 部 由 该 组 织 在 8 月 和 9 月 制 作 。 微 软 近 期 发 现 与 C l e a r s k y 研 究 人 员 之 前 研 究 报 告 ” A P T 3 5 研 究 白 皮 书 （ 一 ） “ 基 本 一 致 ： 1 、 目 标 相 同 、 目 标 相 同 在 两 起 攻 击 活 动 中 ， 目 标 都 是 对 伊 朗 感 兴 趣 的 组 织 和 个 人 ， 例 如 学 术 组 织 、 人 权 组 织 、 记 者 等 。 2 、 时 间 线 相 同 、 时 间 线 相 同 在 C l e a r s k y 最 新 的 报 告 中 已 经 提 到 发 生 在 2 0 1 9 年 7 - 8 月 的 攻 击 ， 在 微 软 发 现 的 报 告 中 同 样 提 到 攻 击 发 生 在 8 - 9 月 3 0 天 内 。 3 、 攻 击 面 相 同 、 攻 击 面 相 同 在 两 次 攻 击 中 该 组 织 使 用 的 相 似 的 攻 击 手 段 ： 1 ） 针 对 目 标 邮 箱 的 登 录 凭 证 获 取 2 ） 利 用 微 软 、 谷 歌 、 雅 虎 服 务 的 钓 鱼 邮 件 3 ） 通 过 短 信 的 鱼 叉 钓 鱼 攻 击 ， 表 明 该 组 织 正 在 收 集 目 标 雕 花 号 码 等 信 息 。 微 软 发 现 攻 击 者 利 用 手 机 号 和 密 码 凭 证 恢 复 两 种 认 证 因 素 来 获 得 邮 箱 账 户 的 控 制 权 。 本 文 将 分 析 新 发 现 的 四 种 鱼 叉 式 钓 鱼 方 法 ， 以 及 该 组 织 的 具 体 攻 击 方 式 。 攻 击 分 析 攻 击 分 析 ‘ C h a r m i n g   K i t t e n ’ 一 直 尝 试 在 用 钓 鱼 的 方 式 攻 击 目 标 ， 检 测 到 的 钓 鱼 数 量 一 直 增 加 ， 攻 击 可 以 分 为 三 个 方 式 ： 1 ） 利 用 社 会 工 程 学 发 送 电 子 邮 件 2 ） 假 冒 社 交 平 台 传 播 恶 意 链 接 3 ） 向 目 标 手 机 发 送 短 信 通 过 对 攻 击 活 动 的 分 析 ， 确 定 了 该 组 织 四 种 攻 击 方 式 。 1 、 、 G o o g l e   D r i v e 链 接 下 载 链 接 下 载 目 标 会 受 到 攻 击 者 发 送 的 带 有 G o o g l e   d r i v e 下 载 链 接 的 邮 件 ， 目 标 下 载 后 攻 击 者 可 利 用 恶 意 软 件 收 集 目 标 g o o g l e 凭 证 。 上 面 显 示 的 链 接 指 向 一 个 使 用 g o o g l e 平 台 构 建 的 站 点 ， 共 享 链 接 域 名 是 g m a i l . c o m ， 但 是 实 际 应 为 g o o g l e . c o m 。 一 个 正 确 的 g o o g l e 站 点 共 享 消 息 如 下 ： 另 一 起 钓 鱼 事 件 中 ， 目 标 受 到 从 未 知 用 户 发 来 的 g o o g l e   d r i v e 共 享 消 息 ， 攻 击 者 生 成 从 目 标 账 户 收 到 大 量 垃 圾 邮 件 ， 并 诱 导 目 标 点 击 链 接 。
第 三 起 事 件 中 ， 目 标 收 到 从 同 事 发 来 的 邮 件 ， 攻 击 者 假 冒 目 标 同 事 并 诱 导 其 点 击 链 接 。 链 接 会 指 向 攻 击 者 搭 建 的 网 站 ： 点 击 下 载 链 接 后 会 被 重 定 向 到 一 个 短 网 址 域 名 ， 不 会 显 示 实 际 网 址 。 当 特 定 攻 击 结 束 时 ， 攻 击 者 将 从 短 网 址 服 务 中 删 除 该 站 点 ， 或 将 地 址 重 定 向 到 真 正 的 邮 件 服 务 。 例 子 如 下 ： h x x p s : / / s i t e s . g o o g l e [ . ] c o m / v i e w / c u b q z p m u x r a 5 b j x u 7 q 2 j x c x n h k l d p a / d r i v e / h x x p s : / / s i t e s . g o o g l e [ . ] c o m / s c r e e n s h o t - s h a r i n g - s e r v i c e / d r i v e /
如 果 被 攻 击 者 打 开 了 上 述 链 接 ， 他 们 将 被 定 向 到 恶 意 站 点 。 在 目 前 的 攻 击 中 ， 我 们 已 经 确 定 了 一 个 “ . s i t e ” T L D   d o m i n a n c e 。 目 标 访 问 该 网 站 时 ， 攻 击 者 会 欺 骗 目 标 让 他 相 信 位 于 g o o g l e 服 务 中 ， 并 诱 骗 目 标 登 录 g o o g l e 账 户 下 载 文 件 。 2 、 、 S M S 短 信 消 息 短 信 消 息 在 该 方 法 总 ， 攻 击 者 将 会 以 i d 为 ‘ ' L i v e   R e c o v e r ’ 向 目 标 发 送 信 息 ， 并 警 告 目 标 有 人 正 在 攻 击 其 电 子 邮 件 账 户 ， 诱 骗 目 标 点 击 链 接 验 证 。 链 接 将 利 用 短 网 址 重 定 向 恶 意 网 站 ， 下 面 的 示 例 中 目 标 收 到 的 两 条 消 息 包 含 不 同 的 链 接 ：
3 、 登 录 警 告 信 息 、 登 录 警 告 信 息 攻 击 者 欺 骗 目 标 其 邮 箱 正 在 朝 鲜 登 录 ， 并 诱 骗 目 标 点 击 安 全 链 接 ： 攻 击 者 欺 骗 目 标 其 邮 箱 密 码 被 篡 改 ， 需 要 进 行 恢 复 设 置 ， 诱 骗 目 标 点 击 链 接 ：
但 是 在 攻 击 者 邮 件 中 存 在 许 多 问 题 ， 首 先 发 件 人 的 地 址 为 g m a i l 邮 箱 ， 但 是 警 告 信 息 为 雅 虎 邮 箱 ； 其 次 " C r i t i c a l   S e c u r i t y   A l e r t "   题 头 信 息 出 现 了 两 次 ； 前 后 两 种 界 面 中 虽 然 设 计 形 式 发 生 了 变 化 但 是 显 示 的 时 间 日 期 和 I P 相 同 。 点 击 链 接 后 会 跳 转 到 钓 鱼 界 面 ： h x x p s : / / b i t l i [ . ] p r o / B 7 Z I _ f 5 6 f 7 c 3 f   ， 其 中 一 些 网 站 已 经 被 封 锁 。 4 、 社 交 网 络 攻 击 、 社 交 网 络 攻 击 在 之 前 的 分 析 报 告 中 ， 研 究 人 员 发 现 该 组 织 假 冒 社 交 媒 体 获 得 目 标 的 登 录 凭 证 。 但 是 与 之 前 不 同 ， 本 次 攻 击 中 主 要 针 对 邮 箱 采 取 行 动 ， 在 攻 击 活 动 中 发 现 该 组 织 不 仅 冒 充 I n s t a g r a m ， 也 有 假 冒 的 F a c e b o o k 和 T w i t t e r 网 站 。 在 w 3 - s c h o o l s [ . ] o r g 域 名 下 发 现 了 不 同 假 冒 网 站 的 相 关 文 件 ： 根 据 图 片 所 示 ， 该 组 织 第 一 批 上 传 的 文 件 为 F a c e b o o k 和 T w i t t e r ， g o o g l e 、 N a t i o n a l   I r a n i a n - A m e r i c a n   C o u n c i l   和   I n s t a g r a m 为 第 二 批 上 传 文 件 。 每 一 个 假 冒 站 点 中 都 会 有 一 个 Z I P 文 件 :
从 压 缩 文 件 中 可 以 看 出 攻 击 者 使 用 W o r d P r e s s 和 C r u n c h P r e s s 来 搭 建 网 站 。 基 础 设 施 分 析 基 础 设 施 分 析 已 经 发 现 8 个 新 的 和 未 知 的 域 名 ： 每 一 个 域 名 都 有 各 自 的 I P ， 在 D N S 查 询 后 发 现 了 他 们 的 共 同 点 ： c u s t o m e r s - r e c o v e r y [ . ] s i t e c o m - v e r i f i c a t i o n s [ . ] s i t e c o m - s e s s i o n [ . ] s i t e
在 最 近 的 针 对 雅 虎 账 户 的 活 动 中 发 现 ， 该 组 织 在 2 0 1 7 年 曾 通 过 钓 鱼 获 取 雅 虎 账 户 的 用 户 名 和 密 码 ， 但 近 年 来 已 将 重 心 转 移 到 谷 歌 账 户 。 在 此 次 攻 击 活 动 中 ， 该 组 织 再 次 聚 焦 在 雅 虎 账 户 并 假 冒 雅 虎 服 务 。 下 面 是 该 组 织 的 一 个 钓 鱼 网 站 的 u r l 地 址 ， 该 网 站 对 y a h o o 服 务 （ 如 y m a i l ） 进 行 了 模 仿 。 在 上 一 个 报 告 中 ， 发 现 恶 意 服 务 器 将 客 户 从 仿 冒 网 站 重 定 向 到 原 始 网 站 。 此 次 攻 击 中 如 果 试 图 从 非 专 用 （ 即 特 别 授 权 ） 入 口 访 问 网 站 ， 它 也 会 将 服 务 器 设 置 为 重 定 向 到 原 始 雅 虎 网 站 。 此 次 分 析 中 在 网 站 重 定 向 前 发 现 了 其 真 实 的 地 址 及 数 字 签 名 ： I O C s h x x p s : / / m o b i l e s . c o m - i d e n t i f i e r [ . ] s i t e / y m a i l / s e c u r e L o g i n / c h a l l e n g e / u r l ? u c o d e = d 1 0 5 a d 2 b - 2 f 7 d - 4 1 9 3 - a 3 0 3 - 0 3 e b 3 2 9 6 7 1 3 3 & s e r v i c e = m a i l s e r v i c e & t y p e = p a s s w o r d m y [ . ] e n - g b [ . ] h o m e - a c c e s s [ . ] o n l i n e n o t i f i c a t i o n - a c c o u n t s e r v i c e [ . ] c o m r e c o v e r y - s e r v i c e s [ . ] i n f o
* 参 考 来 源 ： 参 考 来 源 ： c l e a r s k y s e c ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 r e c o v e r y s u p e r u s e r [ . ] i n f o s e e - u s [ . ] i n f o s e s s i o n s - i d e n t i f i e r - m e m b e r e m a i l i d [ . ] n e t w o r k s m a r t t r a d i n g f a s t [ . ] c o m s y s t e m - s e r v i c e s [ . ] s i t e t e l a g r a m [ . ] n e t u p l o a d d a t a [ . ] i n f o v e r i f i c a t i o n - s e r v i c e s [ . ] i n f o 4 0 [ . ] 1 1 2 [ . ] 2 5 3 [ . ] 1 8 5 9 1 [ . ] 1 0 9 [ . ] 2 2 [ . ] 5 3 1 3 6 [ . ] 2 4 3 [ . ] 1 9 5 [ . ] 2 2 9 1 7 8 [ . ] 3 2 [ . ] 5 8 [ . ] 1 8 2 1 8 5 [ . ] 1 7 7 [ . ] 5 9 [ . ] 2 4 0 4 6 [ . ] 1 6 6 [ . ] 1 5 1 [ . ] 2 0 9 5 1 [ . ] 6 8 [ . ] 2 0 0 [ . ] 1 2 6 5 1 [ . ] 8 9 [ . ] 2 2 9 [ . ] 2 1 5 5 1 [ . ] 2 5 5 [ . ] 1 5 7 [ . ] 1 1 0 1 8 1 [ . ] 1 7 7 [ . ] 5 9 [ . ] 2 4 0 b a h a i u s [ . ] i n f o b a i l m e n t [ . ] o r g c o m - a c t i v i t i e s [ . ] s i t e c o m - i d e n t i f i e r [ . ] s i t e c o m - s e s s i o n [ . ] s i t e c o m - v e r i f i c a t i o n s [ . ] s i t e c u s t o m e r s - a c t i v i t i e s [ . ] s i t e c u s t o m e r s - r e c o v e r y [ . ] s i t e c u s t o m e r s - r e m i n d e r [ . ] i n f o d o c u m e n t s f i l e s h a r i n g [ . ] c l o u d d o c u m e n t - s h a r i n g [ . ] o n l i n e g o m y f i l e s [ . ] i n f o i d e n t i f i e r - a c t i v i t i e s [ . ] i n f o i d e n t i f i e r - a c t i v i t i e s [ . ] o n l i n e i d e n t i t y - v e r i f i c a t i o n - s e r v i c e [ . ] i n f o i n b o x - d r i v e [ . ] i n f o i n b o x - s h a r i f [ . ] i n f o m a g i c - d e l i v e r y [ . ] i n f o m i c r o s o f t i n t e r n e t s a f e t y [ . ] n e t m o b i l e c o n t i n u e [ . ] n e t w o r k m o b i l e - m e s s e n g e r p l u s [ . ] n e t w o r k
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理