搜索

[17213] 2021-08-31_与朝鲜有关的InkySquidAPT组织正积极利用IE漏洞

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-08-31_与朝鲜有关的InkySquidAPT组织正积极利用IE漏洞 与 朝 鲜 有 关 的 I n k y S q u i d   A P T 组 织 正 积 极 利 用 I E 漏 洞 r e d 4 b l u e   F r e e B u f   2 0 2 1 - 0 8 - 3 1 网 络 安 全 公 司 V o l e x i t y 的 专 家 报 告 ， 与 朝 鲜 有 关 的 I n k y S q u i d 组 织 组 织 （ 又 名 S c a r C r u f t 、 A P T 3 7 、 G r o u p 1 2 3 和 R e a p e r ） 在 针 对 韩 国 一 家 在 线 报 纸 的 攻 击 中 ， 利 用 两 个 I E 浏 览 器 的 漏 洞 进 行 水 坑 攻 击 。 V o l e x i t y 的 新 分 析 报 告 称 ， 从 4 月 开 始 ， 专 注 于 朝 鲜 新 闻 的 朝 鲜 日 报 网 站 上 出 现 了 恶 意 代 码 。 研 究 人 员 发 现 该 恶 意 代 码 可 以 通 过 w w w . d a i l y n k [ . c o m ] 加 载 到 j q u e r y [ . ] 服 务 的 恶 意 子 域 。 下 面 加 载 恶 意 代 码 的 U R L 如 下 ： h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y . m i n . j s ? v e r = 3 . 5 . 1 h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y - m i g r a t e . m i n . j s ? v e r = 3 . 3 . 2 尽 管 这 些 链 接 都 可 以 通 往 真 实 的 文 件 ， 但 是 内 容 都 被 攻 击 者 修 改 了 。 其 中 包 含 重 定 向 用 户 ， 从 攻 击 者 控 制 的 域 名 j q u e r y [ . ] s e r v i c e s 加 载 恶 意 J S 。 并 且 ， 由 于 攻 击 者 控 制 的 代 码 只 加 入 了 很 短 的 时 间 就 被 移 除 了 ， 因 此 很 难 被 发 现 。 此 次 攻 击 中 ， 攻 击 者 利 用 了 两 个 I n t e r n e t   E x p l o r e r 的 漏 洞 ， 漏 洞 被 命 名 为 C V E - 2 0 2 0 - 1 3 8 0 和 C V E - 2 0 2 1 - 2 6 4 1 1 ， 这 两 个 漏 洞 分 别 在 2 0 2 0 年 8 月 和 2 0 2 1 年 3 月 被 修 补 。 C V E - 2 0 2 0 - 1 3 8 0 是 一 个 脚 本 引 擎 内 存 破 坏 漏 洞 ， C V S S 评 分 为 7 . 5 。 C V E - 2 0 2 1 - 2 6 4 1 1 是 一 个 I n t e r n e t   E x p l o r e r 内 存 破 坏 漏 洞 ， C V S S 评 分 为 8 . 8 。 这 两 个 漏 洞 都 被 在 野 积 极 利 用 。 其 中 C V E - 2 0 2 1 - 2 6 4 1 1 已 经 被 一 朝 鲜 A P T 组 织 在 1 月 份 针 对 从 事 漏 洞 研 究 的 安 全 研 究 人 员 的 攻 击 中 利 用 。 定 向 攻 击 ， 难 以 被 发 现 定 向 攻 击 ， 难 以 被 发 现 V o l e x i t y 表 示 ， 虽 然 该 组 织 此 次 所 利 用 的 是 已 被 修 补 的 两 个 漏 洞 ， 只 对 少 部 分 用 户 起 作 用 。 但 是 ， I n k y S q u i d   组 织 针 对 可 以 被 利 用 的 用 户 展 开 了 “ 定 制 ” 攻 击 ， 大 大 增 强 了 成 功 率 。 首 先 ， 该 组 织 巧 妙 地 将 恶 意 代 码 伪 装 于 合 法 代 码 之 中 将 恶 意 代 码 伪 装 于 合 法 代 码 之 中 ， 使 其 更 难 识 别 。 其 次 ， 他 们 只 允 许 能 够 被 攻 击 的 用 户 访 问 恶 意 代 码 只 允 许 能 够 被 攻 击 的 用 户 访 问 恶 意 代 码 ， 使 其 难 以 被 大 规 模 识 别 （ 如 通 过 自 动 扫 描 网 站 ） 。
此 外 ， 该 组 织 使 用 了 新 的 自 定 义 恶 意 软 件 使 用 了 新 的 自 定 义 恶 意 软 件 ， 如 B L U E L I G H T 。 在 成 功 利 用 C 2 通 信 后 ， 不 容 易 被 大 部 分 解 决 方 案 发 现 。 B L U E L I G H T 恶 意 软 件 家 族 恶 意 软 件 家 族 B L U E L I G H T 被 用 作 于 初 始 C o b a l t   S t r i k e 有 效 载 荷 成 功 交 付 后 的 第 二 级 有 效 载 荷 ， 被 用 来 收 集 受 感 染 系 统 的 情 报 ， 并 向 攻 击 者 提 供 远 程 访 问 。 它 支 持 以 下 命 令 ： 执 行 下 载 的 s h e l l c o d e 下 载 并 启 动 一 个 可 执 行 程 序 ， 然 后 上 传 程 序 输 出 收 集 支 持 的 浏 览 器 的 c o o k i e s 和 密 码 数 据 库 ， 包 括 W i n 7   I E 、 W i n 1 0   I E 、 E d g e 、 C h r o m e 和 N a v e r   W h a l e 递 归 搜 索 路 径 并 上 传 文 件 元 数 据 （ 时 间 戳 、 大 小 和 完 整 路 径 ） 生 成 一 个 线 程 来 递 归 搜 索 一 个 路 径 ， 并 将 文 件 作 为 Z I P 档 案 上 传 终 止 文 件 上 传 线 程 卸 载 植 入 物 网 络 安 全 公 司 V o l e x i t y 的 专 家 报 告 ， 与 朝 鲜 有 关 的 I n k y S q u i d 组 织 组 织 （ 又 名 S c a r C r u f t 、 A P T 3 7 、 G r o u p 1 2 3 和 R e a p e r ） 在 针 对 韩 国 一 家 在 线 报 纸 的 攻 击 中 ， 利 用 两 个 I E 浏 览 器 的 漏 洞 进 行 水 坑 攻 击 。 V o l e x i t y 的 新 分 析 报 告 称 ， 从 4 月 开 始 ， 专 注 于 朝 鲜 新 闻 的 朝 鲜 日 报 网 站 上 出 现 了 恶 意 代 码 。 研 究 人 员 发 现 该 恶 意 代 码 可 以 通 过 w w w . d a i l y n k [ . c o m ] 加 载 到 j q u e r y [ . ] 服 务 的 恶 意 子 域 。 下 面 加 载 恶 意 代 码 的 U R L 如 下 ： h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y . m i n . j s ? v e r = 3 . 5 . 1 h x x p s : / / w w w . d a i l y n k [ . ] c o m / w p - i n c l u d e s / j s / j q u e r y / j q u e r y - m i g r a t e . m i n . j s ? v e r = 3 . 3 . 2 尽 管 这 些 链 接 都 可 以 通 往 真 实 的 文 件 ， 但 是 内 容 都 被 攻 击 者 修 改 了 。 其 中 包 含 重 定 向 用 户 ， 从 攻 击 者 控 制 的 域 名 j q u e r y [ . ] s e r v i c e s 加 载 恶 意 J S 。 并 且 ， 由 于 攻 击 者 控 制 的 代 码 只 加 入 了 很 短 的 时 间 就 被 移 除 了 ， 因 此 很 难 被 发 现 。 此 次 攻 击 中 ， 攻 击 者 利 用 了 两 个 I n t e r n e t   E x p l o r e r 的 漏 洞 ， 漏 洞 被 命 名 为 C V E - 2 0 2 0 - 1 3 8 0 和 C V E - 2 0 2 1 - 2 6 4 1 1 ， 这 两 个 漏 洞 分 别 在 2 0 2 0 年 8 月 和 2 0 2 1 年 3 月 被 修 补 。
C V E - 2 0 2 0 - 1 3 8 0 是 一 个 脚 本 引 擎 内 存 破 坏 漏 洞 ， C V S S 评 分 为 7 . 5 。 C V E - 2 0 2 1 - 2 6 4 1 1 是 一 个 I n t e r n e t   E x p l o r e r 内 存 破 坏 漏 洞 ， C V S S 评 分 为 8 . 8 。 这 两 个 漏 洞 都 被 在 野 积 极 利 用 。 其 中 C V E - 2 0 2 1 - 2 6 4 1 1 已 经 被 一 朝 鲜 A P T 组 织 在 1 月 份 针 对 从 事 漏 洞 研 究 的 安 全 研 究 人 员 的 攻 击 中 利 用 。 定 向 攻 击 ， 难 以 被 发 现 定 向 攻 击 ， 难 以 被 发 现 V o l e x i t y 表 示 ， 虽 然 该 组 织 此 次 所 利 用 的 是 已 被 修 补 的 两 个 漏 洞 ， 只 对 少 部 分 用 户 起 作 用 。 但 是 ， I n k y S q u i d   组 织 针 对 可 以 被 利 用 的 用 户 展 开 了 “ 定 制 ” 攻 击 ， 大 大 增 强 了 成 功 率 。 首 先 ， 该 组 织 巧 妙 地 将 恶 意 代 码 伪 装 于 合 法 代 码 之 中 将 恶 意 代 码 伪 装 于 合 法 代 码 之 中 ， 使 其 更 难 识 别 。 其 次 ， 他 们 只 允 许 能 够 被 攻 击 的 用 户 访 问 恶 意 代 码 只 允 许 能 够 被 攻 击 的 用 户 访 问 恶 意 代 码 ， 使 其 难 以 被 大 规 模 识 别 （ 如 通 过 自 动 扫 描 网 站 ） 。 此 外 ， 该 组 织 使 用 了 新 的 自 定 义 恶 意 软 件 使 用 了 新 的 自 定 义 恶 意 软 件 ， 如 B L U E L I G H T 。 在 成 功 利 用 C 2 通 信 后 ， 不 容 易 被 大 部 分 解 决 方 案 发 现 。 B L U E L I G H T 恶 意 软 件 家 族 恶 意 软 件 家 族 B L U E L I G H T 被 用 作 于 初 始 C o b a l t   S t r i k e 有 效 载 荷 成 功 交 付 后 的 第 二 级 有 效 载 荷 ， 被 用 来 收 集 受 感 染 系 统 的 情 报 ， 并 向 攻 击 者 提 供 远 程 访 问 。 它 支 持 以 下 命 令 ： 执 行 下 载 的 s h e l l c o d e 下 载 并 启 动 一 个 可 执 行 程 序 ， 然 后 上 传 程 序 输 出 收 集 支 持 的 浏 览 器 的 c o o k i e s 和 密 码 数 据 库 ， 包 括 W i n 7   I E 、 W i n 1 0   I E 、 E d g e 、 C h r o m e 和 N a v e r   W h a l e 递 归 搜 索 路 径 并 上 传 文 件 元 数 据 （ 时 间 戳 、 大 小 和 完 整 路 径 ） 生 成 一 个 线 程 来 递 归 搜 索 一 个 路 径 ， 并 将 文 件 作 为 Z I P 档 案 上 传 终 止 文 件 上 传 线 程 卸 载 植 入 物 参 考 参 考 s e c u r i t y a f f a i r s t h r e a t p o s t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理