搜索

[28688] 2020-12-19_新证据表明SolarWinds的代码库被黑客注入后门程序

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-12-19_新证据表明SolarWinds的代码库被黑客注入后门程序 新 证 据 表 明 S o l a r W i n d s 的 代 码 库 被 黑 客 注 入 后 门 程 序 O t s 安 全   2 0 2 0 - 1 2 - 1 9 关 于 攻 击 者 如 何 设 法 破 坏 S o l a r W i n d s 的 内 部 网 络 并 毒 害 公 司 的 软 件 更 新 的 调 查 仍 在 进 行 中 ， 但 我 们 可 能 还 需 要 进 一 步 了 解 似 乎 是 精 心 策 划 和 高 度 复 杂 的 供 应 链 攻 击 。 R e v e r s i n g L a b s 今 天 发 布 并 提 前 与 T h e   H a c k e r   N e w s 分 享 的 一 份 新 报 告 显 示 ， 间 谍 活 动 背 后 的 运 营 商 可 能 最 早 在 2 0 1 9 年 1 0 月 就 设 法 破 坏 了 S o l a r W i n d s   O r i o n 平 台 的 软 件 构 建 和 代 码 签 名 基 础 架 构 ， 以 通 过 它 的 软 件 发 布 过 程 。 R e v e r s i n g L a b s 的 T o m i s l a v   P e r i c i n 说 ： “ 受 影 响 的 库 的 源 代 码 已 被 直 接 修 改 为 包 括 恶 意 后 门 代 码 ， 这 些 后 门 代 码 是 通 过 现 有 的 软 件 补 丁 程 序 发 行 管 理 系 统 进 行 编 译 ， 签 名 和 交 付 的 。 ” 网 络 安 全 公 司 F i r e E y e 于 本 周 早 些 时 候 详 细 介 绍 了 如 何 在 2 0 2 0 年 3 月 至 2 0 2 0 年 6 月 之 间 发 布 的 多 个 S o l a r W i n d s   O r i o n 软 件 更 新 中 注 入 后 门 代 码 （ “   S o l a r W i n d s . O r i o n . C o r e . B u s i n e s s L a y e r . d l l ” 或 S U N B U R S T ） 以 进 行 监 视 并 在 目 标 上 执 行 任 意 命 令 系 统 。 迄 今 为 止 ， F i r e E y e 尚 未 公 开 将 此 次 攻 击 归 因 于 任 何 特 定 的 民 族 国 家 演 员 ， 但 多 家   媒 体 报 道 将 入 侵 活 动 锁 定 在 与 俄 罗 斯 外 国 情 报 服 务 有 关 的 黑 客 组 织 A P T 2 9 （ 又 名 C o z y   B e a r ） 上 。 偷 偷 注 入 恶 意 代 码 偷 偷 注 入 恶 意 代 码 尽 管 包 含 受 污 染 的 O r i o n 软 件 的 第 一 个 版 本 可 追 溯 到 2 0 1 9 . 4 . 5 2 0 0 . 9 0 8 3 ， 但 R e v e r s i n g L a b s 发 现 ， 较 早 的 版 本 2 0 1 9 . 4 . 5 2 0 0 . 8 8 9 0 （ 于 2 0 1 9 年 1 0 月 发 布 ） 也 包 括 看 似 无 害 的 修 改 ， 它 们 充 当 了 向 下 传 递 真 实 攻 击 有 效 载 荷 的 垫 脚 石 。
在 添 加 后 门 代 码 之 前 ， 请 先 清 空 . N E T 类 。 2 0 1 9 . 4 . 5 2 0 0 . 8 8 9 0 ] 根 据 P e r i c i n 的 说 法 ， 该 想 法 是 破 坏 构 建 系 统 ， 在 软 件 的 源 代 码 中 悄 悄 地 注 入 他 们 自 己 的 代 码 ， 等 待 公 司 进 行 编 译 ， 对 软 件 包 进 行 签 名 ， 最 后 验 证 新 版 本 中 是 否 显 示 了 对 它 们 的 修 改 。 按 预 期 更 新 。 一 旦 确 认 ， 攻 击 者 便 采 取 步 骤 ， 通 过 模 仿 现 有 功 能 （ G e t O r C r e a t e U s e r I D ） ， 但 将 它 们 的 实 现 混 为 一 谈 ， 以 将 S U N B U R S T 恶 意 软 件 与 其 余 代 码 库 混 合 ， 以 保 持 隐 身 性 ， 并 通 过 修 改 一 个 单 独 的 类 “   I n v e n t o r y M a n a g e r ” 来 调 用 它 们 以 创 建 运 行 后 门 的 新 线 程 。 此 外 ， 使 用 压 缩 和 B a s e 6 4 编 码 的 组 合 来 掩 盖 恶 意 字 符 串 ， 希 望 这 样 做 可 以 防 止 Y A R A 规 则 发 现 代 码 中 的 异 常 以 及 在 软 件 开 发 人 员 审 查 期 间 未 发 现 的 错 误 。 P e r i c i n 说 ： “ 攻 击 者 在 确 保 他 们 的 代 码 看 起 来 像 属 于 代 码 库 中 时 遇 到 了 很 多 麻 烦 。 ”   “ 这 样 做 确 实 是 为 了 隐 藏 代 码 ， 以 免 软 件 开 发 人 员 进 行 审 计 。 ” 妥 协 如 何 发 生 ？ 妥 协 如 何 发 生 ？ 这 意 味 着 攻 击 者 不 仅 对 软 件 高 度 熟 悉 ， 而 且 还 破 坏 了 其 现 有 软 件 版 本 管 理 系 统 本 身 ， 因 为 在 源 代 码 级 别 对 相 关 类 进 行 了 修 改 以 构 建 新 软 件 。 包 含 后 门 库 的 更 新 ， 然 后 签 名 ， 并 最 终 发 布 给 客 户 。 这 也 引 起 了 更 多 的 问 题 ， 而 不 是 答 案 ， 因 为 只 有 版 本 控 制 系 统 被 破 坏 或 特 洛 伊 木 马 软 件 直 接 放 置 在 构 建 机 器 上 时 ， 才 可 能 进 行 如 此 大 的 更 改 。 尽 管 目 前 尚 不 清 楚 攻 击 者 如 何 访 问 代 码 库 ， 但 鉴 于 时 间 重 叠 ， 安 全 研 究 人 员 V i n o t h   K u m a r 披 露 了 可 以 使 用 密 码 “
s o l a r w i n d s 1 2 3 ” 访 问 S o l a r W i n d s 更 新 服 务 器 的 信 息 具 有 新 的 意 义 。 K u m a r 在 1 2 月 1 4 日 的 一 条 推 文 中 说 ， 他 通 知 该 公 司 一 个 可 公 开 访 问 的 G i t H u b 存 储 库 ， 该 存 储 库 以 明 文 形 式 泄 露 了 该 公 司 下 载 网 站 的 F T P 凭 据 ， 并 添 加 了 一 个 黑 客 可 以 使 用 该 凭 据 上 传 恶 意 可 执 行 文 件 并 将 其 添 加 到 S o l a r W i n d s 更 新 。 K u m a r 说 ： “ 自 2 0 1 8 年 6 月 1 7 日 起 ， 该 G i t h u b 回 购 向 公 众 开 放 ， ” 在 2 0 1 9 年 1 1 月 2 2 日 解 决 配 置 错 误 之 前 ， 库 马 尔 说 。 “   S U N B U R S T 说 明 了 在 访 问 ， 复 杂 性 和 耐 心 上 蓬 勃 发 展 的 下 一 代 折 衷 方 案 ， ”   P e r i c i n 总 结 道 。 “ 对 于 经 营 有 价 值 的 业 务 或 生 产 对 客 户 至 关 重 要 的 软 件 的 公 司 ， 检 查 软 件 和 监 视 更 新 是 否 存 在 篡 改 ， 恶 意 或 不 必 要 的 添 加 迹 象 ， 必 须 是 风 险 管 理 流 程 的 一 部 分 。 ” 他 补 充 说 ： “ 隐 藏 在 全 球 知 名 软 件 品 牌 或 受 信 任 的 关 键 业 务 流 程 背 后 的 视 线 使 网 络 钓 鱼 活 动 只 能 梦 想 实 现 这 种 方 法 访 问 。 ” S U N B U R S T 破 坏 了 4 , 0 0 0 多 个 子 域 S o l a r W i n d s 表 示 ， 多 达 1 8 , 0 0 0 个 客 户 可 能 已 受 到 供 应 链 攻 击 的 影 响 ， 同 时 敦 促 O r i o n 平 台 用 户 尽 快 将 软 件 更 新 至 2 0 2 0 . 2 . 1   H F   2 版 本 ， 以 保 护 其 环 境 。 据 安 全 研 究 员 R .   B a n s a l （ @   0 x r b ） 称 ， 属 于 著 名 企 业 和 教 育 机 构 的 4 , 0 0 0 多 个 子 域 感 染 了 S U N B U R S T 后 门 ， 包 括 英 特 尔 ， N V I D I A ， 肯 特 州 立 大 学 和 爱 荷 华 州 立 大 学 。 更 糟 糕 的 是 ， 由 于 S o l a r W i n d s 自 己 的 支 持 建 议 ， 目 标 系 统 上 的 防 病 毒 软 件 和 其 他 安 全 工 具 可 能 未 注 意 到 添 加 到 O r i o n 软 件 更 新 中 的 恶 意 代 码 ， 该 声 明 指 出 ， 除 非 免 除 其 文 件 目 录 的 影 响 ， 否 则 其 产 品 可 能 无 法 正 常 工 作 。 防 病 毒 扫 描 和 组 策 略 对 象 （ G P O ） 限 制 。 “ 因 为 他 们 看 到 了 通 过 出 售 获 得 勒 索 的 合 作 伙 伴 和 其 他 买 家 做 出 更 大 的 利 润 的 机 会 增 加 多 产 的 演 员 都 是 经 过 不 断 的 高 收 入 客 户 会 像 S o l a r W i n d s 的 ， ” 网 络 安 全 公 司 英 特 尔 4 7 1 说 ， 应 对 这 种 可 能 性 ， 即 罪 犯 被 出 售 给 访 问 公 司 在 地 下 论 坛 上 的 网 络 。 “ 无 论 是 通 过 利 用 漏 洞 ， 发 起 垃 圾 邮 件 活 动 还 是 利 用 凭 证 滥 用 ， 通 常 都 会 通 过 广 告 宣 传 并 将 其 拍 卖 给 出 价 最 高 的 竞 标 者 以 获 取 利 润 。 这 是 否 是 当 前 S o l a r W i n d s 事 件 的 动 机 ， 尚 待 观 察 。 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理