搜索

[15485] 2020-06-12_以威胁情报视角看最近超算系统受攻击事件

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-12_以威胁情报视角看最近超算系统受攻击事件 以 威 胁 情 报 视 角 看 最 近 超 算 系 统 受 攻 击 事 件 c l o u d s   F r e e B u f   2 0 2 0 - 0 6 - 1 2 最 近 ， 有 报 道 称 英 国 爱 丁 堡 大 学 （ 最 近 ， 有 报 道 称 英 国 爱 丁 堡 大 学 （ T h e   U n i v e r s i t y   o f   E d i n b u r g h ） 用 来 进 行 新 冠 病 毒 研 究 的 超 算 系 统 ） 用 来 进 行 新 冠 病 毒 研 究 的 超 算 系 统 A r c h e r ， ， 由 于 遭 受 网 络 攻 击 ， 被 迫 下 线 停 止 工 作 。 出 于 好 奇 ， 我 以 关 联 方 式 整 理 了 一 些 网 络 上 公 开 的 攻 击 线 索 信 息 ， 对 由 于 遭 受 网 络 攻 击 ， 被 迫 下 线 停 止 工 作 。 出 于 好 奇 ， 我 以 关 联 方 式 整 理 了 一 些 网 络 上 公 开 的 攻 击 线 索 信 息 ， 对 它 们 做 个 简 单 的 分 析 归 纳 。 它 们 做 个 简 单 的 分 析 归 纳 。 公 开 的 技 术 指 标 公 开 的 技 术 指 标 5 月 1 5 日 ， 网 络 上 出 现 了 一 些 公 开 的 技 术 分 析 报 告 ： 1 、 首 先 是 欧 洲 网 格 基 础 设 施 中 心 ( E u r o p e a n   G r i d   I n f r a s t r u c t u r e ， E G I   )   安 全 团 队 发 布 了 它 们 监 测 到 对 超 算 系 统 的 两 起 攻 击 事 件 报 告 ， 报 告 中 分 析 了 攻 击 团 队 利 用 恶 意 软 件 感 染 超 算 系 统 进 行 挖 矿 的 行 为 ； 2 、 安 全 专 家 T i l l m a n n   W e r n e r 针 对 近 期 超 算 系 统 遭 受 攻 击 事 件 ， 分 享 了 攻 击 者 使 用 的 恶 意 程 序 l o a d e r 和 日 志 清 除 工 具 C l e a n e r 的 Y a r a 规 则 ； 3 、 同 样 ， 安 全 专 家 M a r k u s   N e i s 也 分 享 了 攻 击 者 使 用 的 恶 意 程 序 l o a d e r 和 日 志 清 除 工 具 C l e a n e r 的 相 关 H a s h 标 识 ； 在 欧 洲 网 格 基 础 设 施 中 心 （ E G I ） 发 布 报 告 的 “ 事 件 2 ” 中 ， 似 乎 都 用 到 了 安 全 专 家 T i l l m a n n   W e r n e r 和 M a r k u s   N e i s 的 分 析 观 点 ， 攻 击 团 队 使 用 了 一 个 名 为 “ f o n t s ” 的 文 件 作 为 感 染 l o a d e r ， 然 后 用 到 了 名 为 “ l o w ” 的 文 件 来 删 除 感 染 痕 迹 并 实 现 攻 击 手 法 隐 蔽 。 事 件 事 件 2 以 及 对 英 国 超 算 系 统 的 攻 击 以 及 对 英 国 超 算 系 统 的 攻 击 在 E G I 发 布 的 报 告 中 提 到 ， 攻 击 者 从 以 下 三 个 受 控 的 网 络 系 统 中 登 录 超 算 系 统 ， 并 实 施 密 码 凭 据 窃 取 ： 波 兰 克 拉 科 夫 大 学 （ T h e   U n i v e r s i t y   o f   K r a k o w ）
中 国 上 海 交 通 大 学 （ S h a n g h a i   J i a o t o n g   U n i v e r s i t y ,   C h i n a ） 中 国 科 学 技 术 网 （ C h i n a   S c i e n c e   a n d   T e c h n o l o g y   N e t w o r k ,   C h i n a ） 据 报 道 称 ， 不 同 高 性 能 计 算 机 构 （ H P C ） 之 间 的 一 些 用 户 在 学 术 研 究 交 流 条 件 下 可 以 相 互 登 录 ， 因 此 ， 这 就 为 攻 击 者 留 下 了 破 坏 入 侵 的 门 窗 。 尽 管 E G I 的 报 告 是 1 6 号 发 布 的 ， 但 事 实 上 ， 在 1 4 号 周 三 的 时 候 一 名 工 作 于 英 国 H P C 机 构 的 用 户 就 在 S l a s h d o t 上 发 布 了 针 对 英 国 超 算 系 统 的 攻 击 分 析 ： “ 我 工 作 于 英 国 的 某 高 性 能 计 算 机 构 （ H P C ） ， 昨 天 我 撤 销 了 系 统 中 的 所 有 S S H 证 书 ， 因 为 一 些 愚 蠢 的 用 户 （ 攻 击 者 ） 正 一 直 尝 试 使 用 没 有 密 码 的 私 钥 证 书 登 录 ， 由 于 很 多 高 性 能 计 算 用 户 在 不 同 的 系 统 上 拥 有 不 同 的 帐 户 ， 因 此 这 些 无 密 码 的 S S H 证 书 登 录 ， 已 经 被 攻 击 者 用 来 在 不 同 系 统 中 进 行 了 跳 跃 登 录 。 攻 击 者 通 过 C V E - 2 0 1 9 - 1 5 6 6 6 等 漏 洞 方 式 实 现 对 某 些 系 统 的 本 地 权 限 提 升 ， 然 后 利 用 不 安 全 的 S S H 登 录 途 径 进 行 横 向 移 动 渗 透 。 当 前 ， 英 国 国 家 超 算 系 统 A R C H E R 正 是 存 在 一 个 系 统 级 漏 洞 ， 面 临 攻 击 风 险 而 被 停 工 下 线 。 ” 恶 意 软 件 分 析 恶 意 软 件 分 析 攻 击 者 使 用 的 恶 意 程 序 l o a d e r 和 日 志 清 除 工 具 C l e a n e r 都 被 用 户 取 样 并 上 传 到 了 V i r u s T o t a l 平 台 ， 上 传 样 本 的 受 害 用 户 来 自 以 下 四 个 国 家 ： 德 国 英 国 西 班 牙 瑞 士 安 全 专 家 T i l l m a n n 指 出 攻 击 者 在 受 害 者 系 统 中 对 恶 意 程 序 进 行 了 定 制 化 编 译 ， 因 此 ， 我 们 在 V i r u s T o t a l 上 看 到 的 是 同 一 类 恶 意 程 序 的 不 同 样 本 ， 通 常 来 说 ， 这 种 密 码 劫 持 类 攻 击 一 般 都 会 看 到 不 同 受 害 者 上 传 的 同 一 种 样 本 。 另 一 安 全 专 家 R o b e r t   H e l l i n g 已 经 对 恶 意 程 序 l o a d e r 和 日 志 清 除 工 具 C l e a n e r 进 行 了 分 析 ， 因 此 我 也 就 在 这 里 再 补 充 一 些 简 单 的 细 节 。 R o b e r t   H e l l i n g 是 一 名 德 国 莱 布 尼 茨 超 级 计 算 中 心 的 物 理 学 家 ， 他 向 单 位 报 告 了 他 所 做 工 作 受 网 络 攻 击 影 响 ， 因 此 他 决 定 进 一 步 调 查 。 对 于 那 些 熟 悉 T h e   C u c k o o ’ s   E g g 《 杜 鹃 蛋 》 故 事 的 人 来 说 ， 这 貌 似 又 是 一 个 熟 悉 的 故 事 ！ T h e   C u c k o o ’ s   E g g 《 杜 鹃 蛋 》 ： 克 利 福 德 · 斯 托 尔 （ C l i f f o r d   S t o l l ） 于 1 9 8 9 年 写 的 书 ， 这 是 他 追 踪 溯 源 入 侵 劳 伦 斯 伯 克 利 国 家 实 验 室 （ L a w r e n c e   B e r k e l e y   N a t i o n a l   L a b o r a t o r y ） 计 算 机 系 统 黑 客 的 书 籍 。 恶 意 程 序 l o a d e r 是 一 个 非 常 简 单 的 调 用 脚 本 ， 可 以 从 s e t u i d 命 令 以 r o o t 权 限 运 行 任 意 命 令 。 日 志 清 除 工 具 C l e a n e r 有 点 隐 蔽 ， 它 负 责 删 除 入 侵 相 关 的 痕 迹 和 日 志 线 索 ， 其 一 个 样 本 ( 5 5 2 2 4 5 6 4 5 c c 4 9 0 8 7 d f b c 8 2 7 d 0 6 9 f a 6 7 8 6 2 6 b 9 4 6 f 4 b 7 1 c b 3 5 f a 4 a 4 9 b e c d 9 7 1 3 6 3 ) 经 反 编 译 后 清 晰 地 显 示 了 其 主 要 功 能 特 性 ： 其 中 还 包 含 了 一 些 异 或 编 码 字 符 串 ：
在 R o b e r t   H e l l i n g 的 报 告 中 ， 还 分 析 了 攻 击 者 主 要 清 除 的 日 志 文 件 列 表 ： E G I 报 告 中 的 事 件 报 告 中 的 事 件 1 在 E G I 报 告 的 两 起 超 算 攻 击 事 件 中 ， 攻 击 者 都 利 用 了 波 兰 克 拉 科 夫 大 学 服 务 器 a n d r o m e d a . u p . k r a k o w [ . ] p l 作 为 攻 击 跳 板 。 其 中 事 件 1 提 到 攻 击 者 入 侵 了 9 1 . 1 9 6 . 7 0 [ . ] 1 0 9 服 务 器 并 把 它 作 为 门 罗 币 （ X M R ） 的 挖 矿 矿 池 ， 但 当 前 该 服 务 器 还 仍 然 在 线 ， 有 可 能 还 继 续 被 攻 击 者 控 制 。 攻 击 者 用 来 挖 矿 的 矿 池 服 务 器 具 备 一 个 自 签 名 证 书 ， 据 分 析 互 联 网 上 有 8 个 其 它 服 务 器 都 被 部 署 了 该 证 书 ， 这 表 明 它 们 的 系 统 配 置 和 功 能 似 乎 都 大 致 相 同 。 在 两 起 攻 击 事 件 中 都 用 到 的 跳 板 I P 为 ： 1 4 9 . 1 5 6 . 2 6 . 2 2 7 1 5 9 . 2 2 6 . 2 3 4 . 2 9 另 外 ， 我 们 还 发 现 美 国 一 所 著 名 大 学 的 超 算 集 群 也 受 到 类 似 攻 击 ， 我 们 正 在 进 行 协 调 接 洽 ， 准 备 进 行 后 续 分 析 。 针 对 近 期 的 超 算 攻 击 事 件 ， 我 们 积 极 构 建 了 一 个 基 于 云 的 取 证 分 析 和 响 应 平 台 。 I O C 指 标 指 标 L o a d e r
M D 5   f e 9 a 4 6 2 5 4 c f 2 3 3 f c a f e a d a 0 1 3 d 0 e c 0 5 6 S H A - 1   7 2 6 9 0 c 6 4 4 f 7 c 7 9 7 0 b 9 c e 9 c 2 c 9 b 9 d a 3 1 4 6 3 e a 0 9 1 6 S H A - 2 5 6   0 f 8 a 1 c 0 f 7 0 6 d 8 e 7 0 f 3 2 4 0 a b d 7 8 8 a 1 9 3 4 2 6 3 0 2 3 2 2 9 1 6 c f 4 e 9 3 5 8 d 0 5 1 1 6 f 6 2 3 1 e c M D 5   5 e d 0 0 c b 8 8 d 2 1 8 d b 8 d 0 9 3 5 2 d 9 0 5 8 c 4 0 0 c S H A - 1   b b 9 2 6 f 5 f b 4 5 5 4 f e 0 3 9 7 b d f b e 5 c c 6 1 1 5 4 1 9 d 6 c 4 0 8 S H A - 2 5 6   0 e f d d 3 8 2 8 7 2 f 0 f f 0 8 6 6 e 5 f 6 8 f 0 c 6 6 c 0 1 f c f 4 f 9 8 3 6 a 7 8 d d a a 5 b b b 3 4 9 f 2 0 3 5 3 8 9 7 M D 5   0 2 5 7 0 c 3 a 8 5 f c 1 c c e a 9 8 5 8 e c a c d c 3 a 9 5 4 S H A - 1   0 5 c b 4 9 4 3 9 3 7 7 e a 1 d e 6 1 8 0 8 0 9 8 e b 0 d 1 e 3 c 8 8 8 5 4 a b S H A - 2 5 6   9 6 4 7 0 3 8 8 0 6 9 0 5 c e 7 a 4 6 e 1 b 7 8 3 7 4 6 c 6 2 3 c 1 c 0 3 f c c 6 0 a 6 b d 1 8 5 6 4 b d a 5 6 2 5 a c 4 7 8 0 M D 5   1 1 a 1 8 6 c d 2 0 d 7 4 f 5 d c 0 f e b e 3 d 7 9 0 4 c 5 2 d S H A - 1   d a c 4 9 d a 1 b 7 1 8 2 3 5 6 2 1 0 2 8 3 4 3 a 7 f 3 f 9 b 5 b 2 2 7 8 2 8 c S H A - 2 5 6   8 2 0 f f 5 d a 4 7 0 2 3 d 6 a 9 2 d 3 7 4 9 7 0 9 4 a 5 1 a c a 8 1 b 0 b 1 4 9 7 1 5 4 3 6 b 5 7 f e 1 1 7 d 9 4 e c 3 f e 0 M D 5   d d 7 7 1 b 7 6 9 c e e b a 0 f c 1 d 5 1 4 a 6 e 6 5 3 0 a 7 0 S H A - 1   f 9 b f c e 6 a d b 6 5 4 1 a 0 8 f 6 2 e 6 9 6 3 6 d 0 e 9 0 f 6 f 6 6 3 8 5 2 S H A - 2 5 6   9 4 b 1 7 8 8 8 b 7 3 5 f a 7 5 b b 6 9 3 9 b 5 4 2 4 4 6 c 2 2 e 1 1 0 8 a 4 6 c e c d f f c e 4 f 8 b 5 7 9 d 8 a 8 7 7 c 3 a M D 5   b f 1 6 d f 1 5 2 2 5 b c 8 3 a 5 6 b 0 c f 0 e c 9 0 1 2 3 6 0 S H A - 1   1 f 1 3 0 e 1 5 8 7 6 5 b 9 d 5 c 8 7 5 7 1 2 1 2 d 4 8 b a b 8 6 d d 3 0 e 4 9 S H A - 2 5 6   8 0 7 d 8 3 6 d 4 9 6 d 0 a c 6 1 d b e c 0 7 b 7 5 7 5 7 9 9 8 5 d 6 5 e c 6 1 8 7 b 3 5 1 5 5 d e 7 d 3 4 2 f 7 6 0 d 6 b 7 9 C l e a n e r M D 5   7 8 0 f 2 3 6 f b 3 6 4 6 5 3 4 8 3 2 b 2 d a 9 d 5 c f 6 e b 0 S H A - 1   0 5 b a f f a d 9 a d 7 2 2 5 e 8 0 4 3 e 7 9 6 7 7 d 0 a 5 0 e 5 8 6 e 6 8 3 b S H A - 2 5 6   5 5 2 2 4 5 6 4 5 c c 4 9 0 8 7 d f b c 8 2 7 d 0 6 9 f a 6 7 8 6 2 6 b 9 4 6 f 4 b 7 1 c b 3 5 f a 4 a 4 9 b e c d 9 7 1 3 6 3 M D 5   c 7 6 4 b a 5 3 f a 9 c 5 a 2 4 a 8 8 a 1 d 2 e 1 7 b e 6 9 4 3 S H A - 1   e 6 b d 9 7 3 f c 2 b b 7 e f d 7 b 1 c 5 8 8 a c c 3 1 d 7 4 d a 4 c 1 4 2 8 c S H A - 2 5 6   4 5 5 1 f b 7 6 a a 8 8 0 6 b c 3 d 4 f 8 6 2 2 f 5 a 1 5 3 5 8 8 7 7 4 2 a e a 9 9 c d d 2 2 7 d e 3 0 0 6 9 9 4 2 5 9 7 8 b 2 M D 5   c e 7 2 4 0 b 8 b b b 2 b e e 8 f 3 0 0 3 2 1 e e f 4 6 a 4 1 e S H A - 1   e 1 9 c 3 7 b f 7 b b 6 4 d b c 1 6 a 1 4 3 6 1 4 9 7 2 d 0 5 f 4 3 7 c 2 0 3 c S H A - 2 5 6   7 4 d 2 1 9 0 0 3 3 2 8 3 6 e 8 5 0 9 a 5 4 8 4 4 1 3 a 5 2 5 2 3 9 b 1 3 5 f 9 9 a f 7 0 f 8 0 4 d 6 7 1 3 6 0 8 2 c a 6 e 9 c M D 5   d 4 2 5 5 3 b d 4 2 0 e 8 0 e c 3 1 d f 5 d a 2 d 5 b 9 3 2 e 0 S H A - 1   3 a 9 f e 6 9 7 c f 7 8 d 9 5 3 5 1 d 9 5 d 6 1 6 1 8 8 6 6 a a 6 4 9 0 3 0 0 a
S H A - 2 5 6   e e c 6 1 2 9 7 8 0 d 3 e 1 6 4 5 c e 1 9 e f d 9 6 c 1 e 1 8 a a 0 8 7 7 8 c 8 4 7 2 1 8 9 f 1 d 6 5 b c 4 6 d 4 4 9 c f c 8 2 M D 5   6 5 d d e 8 6 9 c 0 e 1 4 5 5 d e 2 4 a a d f 5 a a 4 5 3 8 a 2 S H A - 1   0 b 2 1 7 8 a d a f 4 f a 7 0 c 4 9 1 9 8 3 5 a 3 d f 9 6 e 5 2 1 b 8 c 9 4 f 7 S H A - 2 5 6   e 8 6 2 7 0 3 7 f f 6 6 7 0 2 1 e 1 1 d a 5 f 6 e 7 0 7 d 1 7 3 f 8 6 e d c 6 b b 7 8 9 c 2 0 4 f 2 5 f f 5 c 4 c c d 2 1 9 1 0 M D 5   a 0 e c 7 d 3 5 5 d c 9 e 7 f 2 3 2 f b 4 7 b f 4 0 1 c 3 1 3 8 S H A - 1   e f b 5 9 d a 5 1 0 2 9 a 2 9 4 b b b a 9 f e 0 1 1 a 0 f 4 a e d 8 a e c 0 9 7 S H A - 2 5 6   b d 8 8 7 a b 3 6 1 4 7 0 f 7 7 5 e 4 8 3 4 a 9 9 a 1 f 2 1 d 2 0 c 6 b 4 a 5 d 1 3 e 7 5 4 5 5 e 1 5 b d 1 0 4 1 4 0 7 a 3 3 f M D 5   2 6 1 f 1 6 e c 5 d 7 2 0 7 8 f 6 e 3 c 2 1 5 5 1 c e a e c b 2 S H A - 1   5 d 2 c 2 1 a d 3 8 d e a c 2 1 3 5 c c 0 e 3 8 0 1 2 6 5 b 3 3 e c 6 e 7 b 0 b S H A - 2 5 6   c 5 e 3 b 0 a e 0 5 7 a d 4 7 b a 9 1 b 3 c c c 3 2 c d 0 3 c b 5 f 6 4 d 2 6 5 5 2 b 0 b a 1 c b 9 7 1 f 6 a 3 3 e f 1 2 a f b M D 5   0 b 5 2 2 e 5 4 b f 3 f 2 7 6 4 9 6 7 9 3 c 4 4 b e c 7 3 6 2 b S H A - 1   0 8 b c a 1 4 4 8 e 4 3 8 6 1 a 5 1 7 3 f 4 c 6 e 1 1 1 7 2 8 f 3 6 c 7 8 d 4 3 S H A - 2 5 6   1 d 9 5 d 3 b 2 f 2 6 5 a a 1 4 2 c 8 d 2 a c a 4 5 c 5 0 a 2 3 2 6 5 f 5 1 5 3 6 5 0 d 2 4 4 7 e 8 c 5 8 c a d b b b 9 2 d e b 杀 软 检 测 规 则 杀 软 检 测 规 则 –   E S E T :   L i n u x / A g e n t . I T –   K a s p e r s k y :   L i n u x . L o e r b a s . g e n –   A P T _ L N X _ A c a d e m i c _ C a m p _ M a y 2 0 _ L o a d e r _ 1 Y a r a 规 则 规 则 * 参 考 来 源 ： 参 考 来 源 ： c a d o s e c u r i t y ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 r u l e   l o a d e r   {       s t r i n g :   $   =   {   6 1   3 1   C 2   8 B   4 5   F C   4 8   9 8   }     c o n d i t i o n :     a l l   o f   t h e m } r u l e   c l e a n e r   {     s t r i n g s :     $   =   {   1 4   C C   F C   2 8   2 5   D E   B 9   }     c o n d i t i o n :     a l l   o f   t h e m }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理