搜索

[3045] 2016-08-09_Strider网络间谍组织对全球7大组织实施APT，包括中国

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-16
2016-08-09_Strider网络间谍组织对全球7大组织实施APT，包括中国 S t r i d e r 网 络 间 谍 组 织 对 全 球 7 大 组 织 实 施 A P T ， 包 括 中 国 原 创   E 安 全   E 安 全   2 0 1 6 - 0 8 - 0 9 自 自 2 0 1 1 年 年 1 0 月 以 来 ， 月 以 来 ， S t r i d e r 网 络 间 谍 组 织 使 用 名 为 网 络 间 谍 组 织 使 用 名 为 “ R e m s e c ” 的 后 门 木 马 ， 攻 击 了 四 个 国 家 至 少 的 后 门 木 马 ， 攻 击 了 四 个 国 家 至 少 7 大 企 大 企 业 。 业 。 网 络 安 全 公 司 赛 门 铁 克 称 S t r i d e r （ S t r i d e r 也 被 称 为   P r o j e c t S a u r o n ， 一 直 保 持 相 当 低 调 的 黑 客 群 体 ， 至 今 只 有 赛 门 铁 克 的 的 行 为 引 擎 发 现 了 他 们 的 A P T 攻 击 。 ） 网 络 间 谍 组 织 攻 击 了 俄 罗 斯 四 家 企 业 、 比 利 时 大 使 馆 、 一 家 瑞 士 公 司 和 一 家 中 国 航 空 公 司 。 从 操 作 层 面 看 ， 赛 门 铁 克 强 调 该 组 织 与 F l a m e r （ 火 焰 ） 病 毒 组 织 有 共 同 点 ， 因 为 这 两 个 组 织 均 使 用 基 于 L u a 模 块 的 恶 意 软 件 。 此 外 ， S t r i d e r 的 其 中 一 个 目 标 过 去 也 曾 被 R e g i n 后 门 恶 意 软 件 感 染 。 除 了 这 些 相 同 点 ， 未 发 现 与 其 它 网 络 间 谍 活 动 有 关 的 细 节 。 赛 门 铁 克 并 未 将 攻 击 归 因 落 到 任 何 某 个 具 体 国 家 或 工 业 间 谍 犯 罪 组 织 。 S t r i d e r 使 用 使 用 R e m s e c 恶 意 软 件 攻 击 目 标 恶 意 软 件 攻 击 目 标 S t r i d e r 组 织 使 用 被 称 为 “ R e m s e c ” 的 恶 意 软 件 ， R e m s e c 在 被 感 染 的 主 机 上 设 有 后 门 。 B a c k d o o r . R e m s e c 警 惕 程 度   ★ ★ ★ ★ 影 响 平 台 :   W i n d o w s 2 0 0 0 / 7 / 9 5 / 9 8 / N T / V i s t a / X P / M e / S e r v e r   2 0 0 8 / S e r v e r   2 0 0 3 病 毒 执 行 体 描 述 ： B a c k d o o r . R e m s e c 是 一 个 可 以 在 打 开 感 染 主 机 上 的 后 门 的 木 马 。 预 防 和 清 除 ： 不 要 点 击 不 明 网 站 、 打 开 不 明 邮 件 附 件 ； 定 时 经 常 更 新 杀 毒 软 件 病 毒 数 据 库 ， 最 好 打 开 杀 毒 软 件 的 病 毒 数 据 库 自 动 更 新 功 能 。 关 闭 电 脑 共 享 功 能 ， 关 闭 允 许 远 程 连 接 电 脑 的 功 能 。 安 装 最 新 的 系 统 补 丁 。 引 用 自 ： m a l w a r e b e n c h m a r k 赛 门 铁 克 研 究 人 员 在 博 文 中 解 释 道 ， “ 该 组 织 使 用 R e m s e c （ B a c k d o o r . R e m s e c ） 恶 意 软 件 实 施 攻 击 。 R e m s e c 是 一 种 主 要 针 对 间 谍 目 的 设 计 的 隐 秘 工 具 ， 其 代 码 包 含 S a u r o n ， 电 影 《 指 环 王 》 中 的 人 物 之 一 （ S a u r o n 中 文 名 索 伦 ， 他 和 甘 道 夫 ， 萨 鲁 曼 等 同 属 迈 雅 ， 但 是 其 地 位 远 远 高 过
后 两 位 ） 。 ” 所 有 S t r i d e r 攻 击 均 通 过 R e m s e c 后 门 木 马 实 施 。 此 恶 意 软 件 能 感 染 设 备 并 使 用 二 级 L u a 在 运 行 时 加 载 执 行 多 项 行 动 。 R e m s e c 后 门 大 多 数 时 候 在 计 算 机 内 存 运 行 ， 难 以 检 测 。 另 外 ， 该 后 门 将 目 标 集 中 在 少 量 目 标 上 ， 从 而 使 得 该 间 谍 组 织 隐 秘 攻 击 长 达 5 年 之 久 ， 而 未 被 察 觉 。 S t r i d e r 基 本 渗 透 以 R e m s e c 感 染 开 始 ， 通 常 通 过 以 M S A O S S P C . d l l 文 件 隐 藏 的 恶 意 软 件 载 入 程 序 实 施 感 染 。 此 D L L 从 磁 盘 将 文 件 装 入 O S 内 存 。 R e m s e c — 强 大 的 全 能 后 门 木 马 强 大 的 全 能 后 门 木 马 同 一 文 件 还 包 含 所 有 R e m s e c 模 块 ， 载 入 程 序 只 会 在 需 要 时 载 入 。 这 些 模 块 为 记 录 击 键 提 供 提 供 ， 将 L u a 恶 意 模 块 注 入 到 系 统 进 程 中 ， 在 网 络 上 加 载 可 执 行 文 件 从 而 攻 击 其 它 目 标 。 此 外 ， R e m s e c 能 监 听 本 地 网 络 套 接 字 ， 并 以 多 种 方 式 将 后 门 向 控 制 与 命 令 服 务 器 打 开 。 赛 门 铁 克 团 队 关 于 R e m s e c 的 报 告 下 载 地 址 ： h t t p : / / w w w . s y m a n t e c . c o m / c o n t e n t / e n / u s / e n t e r p r i s e / m e d i a / s e c u r i t y _ r e s p o n s e / w h i t e p a p e r s / S y m a n t e c _ R e m s e c _ I O C s . p d f 赛 门 铁 克 团 队 强 调 ， “ S t r i d e r 能 创 建 自 定 义 恶 意 软 件 工 具 并 潜 伏 实 施 攻 击 至 少 5 年 之 久 。 根 据 其 恶 意 软 件 的 间 谍 功 能 以 及 已 知 目 标 的 性 质 ， 可 能 该 组 织 是 国 家 级 攻 击 者 。 ”
真 正 的 高 级 威 胁 攻 击 者 与 自 封 为 高 级 持 续 性 威 胁 （ A P T ） 的 区 别 何 在 ？ 以 下 为 “ 顶 级 ” 网 络 间 谍 组 织 的 某 些 特 征 ： ​ 利 用 零 日 漏 洞 ​ 未 知 、 从 未 被 识 别 的 感 染 媒 介 ​ 攻 击 多 个 国 家 的 数 个 政 府 机 构 ​ 多 年 来 成 功 窃 取 信 息 ， 而 未 被 察 觉 ​ 有 能 力 从 未 接 入 互 联 网 的 网 络 处 窃 取 信 息
​ 支 持 各 种 协 议 的 多 个 秘 密 渗 透 渠 道 ​ 恶 意 软 件 模 块 只 存 在 于 内 存 中 ， 不 触 及 磁 盘 ​ 有 时 会 使 用 非 公 开 O S 功 能 的 不 寻 常 持 续 性 技 术 卡 巴 斯 基 也 发 布 了 一 份 S t r i d e r 组 织 的 活 动 报 告 ， 他 们 将 其 称 之 为 “ S a u r o n 行 动 （ O p e r a t i o n S a u r o n ） ” 。 卡 巴 斯 基 称 ， 他 们 在 超 过 3 0 个 组 织 机 构 的 系 统 上 发 现 恶 意 软 件 ， 这 些 受 影 响 的 组 织 机 构 分 布 在 俄 罗 斯 、 伊 朗 、 卢 旺 达 以 及 许 多 意 大 利 语 国 家 。 卡 巴 斯 基 的 安 全 专 家 强 调 了 P r o j e c t S a u r o n 组 织 能 力 ， 由 于 该 组 织 对 每 个 目 标 采 取 定 制 程 序 实 施 工 具 ， 因 此 难 以 被 检 测 ， 使 得 归 因 难 以 定 论 。 卡 巴 斯 基 实 验 室 在 报 告 中 指 出 ： “ P r o j e c t S a u r o n 背 后 的 攻 击 者 对 在 攻 击 政 府 机 构 中 广 泛 使 用 的 通 信 加 密 软 件 具 有 浓 厚 的 兴 趣 。 该 组 织 窃 取 密 钥 、 配 置 文 件 和 与 加 密 软 件 有 关 的 关 键 基 础 设 施 服 务 器 的 I P 地 址 。 ” 卡 巴 斯 基 的 安 全 专 家 未 找 到 利 用 零 日 漏 洞 的 证 据 ， 但 不 排 除 P r o j e c t S a u r o n 使 用 了 零 日 漏 洞 。 卡 巴 斯 基 的 专 家 表 示 ， “ 甚 至 P r o j e c t S a u r o n 行 动 选 择 了 多 样 化 I S P ， 很 显 然 攻 击 者 尽 一 切 所 能 避 免 创 建 模 式 。 ” © E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 E 句 话 ： A P T 攻 击 已 成 为 国 际 网 络 安 全 的 宿 敌 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理