搜索

[3607] 2017-03-08_卡巴斯基发现新型恶意软件StoneDrill，或与Shamoon有关

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2017-03-08_卡巴斯基发现新型恶意软件StoneDrill，或与Shamoon有关 卡 巴 斯 基 发 现 新 型 恶 意 软 件 S t o n e D r i l l ， 或 与   S h a m o o n 有 关 原 创   E 安 全   E 安 全   2 0 1 7 - 0 3 - 0 8 E 安 全 3 月 8 日 讯   卡 巴 斯 基 实 验 室 的 I T 安 全 研 究 人 员 发 现 一 款 新 的 恶 意 软 件 — — “ S t o n e D r i l l ” 。 这 款 恶 意 软 件 针 对 中 东 的 石 油 和 天 然 气 公 司 以 及 欧 洲 的 目 标 起 网 络 攻 击 。 “ S t o n e D r i l l ” 软 件 可 以 绕 过 防 病 毒 检 测 ， 并 销 毁 感 染 设 备 上 的 所 有 内 容 。 卡 巴 斯 基 实 验 室 发 现 ， 恶 意 攻 击 者 利 用 S t o n e D r i l l 攻 击 沙 特 阿 拉 伯 。 这 一 点 与 S h a m o o n 软 件 相 似 。 S t o n e D r i l l   与 与   S h a m o o n 之 间 的 联 系 纷 繁 复 杂 ： 之 间 的 联 系 纷 繁 复 杂 ： S t o n e D r i l l 的 构 建 方 式 与 S h a m o o n   2 . 0 类 似 ， 而 且 S t o n e D r i l l 与 S h a m o o n 的 开 发 人 员 的 思 维 倾 向 和 编 程 风 格 也 都 很 相 似 。 但 S t o n e D r i l l 要 比 S h a m o o n 复 杂 得 多 ， 而 且 二 者 使 用 的 是 不 同 的 代 码 库 。 即 使 S t o n e D r i l l 和 S h a m o o n 并 未 共 享 部 分 代 码 ， 但 专 家 发 现 S h a m o o n 、   S t o n e D r i l l 和 N e w s B e e f （ 也 被 称 为 C h a r m i n g   K i t t e n 和 N e w s c a s t e r ） 这 三 个 恶 意 软 件 之 间 的 风 格 和 组 件 也 类 似 。 研 究 人 员 仍 在 调 查 感 染 过 程 。 目 前 他 们 已 确 定 S t o n e D r i l l 采 用 了 复 杂 的 技 术 手 段 绕 过 安 全 应 用 程 序 。 虽 然 S h a m o o n 在 部 署 时 使 用 驱 动 程 序 ， 而 S t o n e D r i l l 却 利 用 内 存 注 入 机 制 ， 将 擦 除 模 块 注 入 受 害 者 的 浏 览 器 。 但 该 擦 除 工 具 （ W i p e r ） 已 通 过 新 技 术 实 现 同 时 针 对 物 理 和 逻 辑 驱 动 器 ， 并 在 擦 除 过 程 完 成 后 重 启 系 统 。 根 据 配 置 ， 根 据 配 置 ， 此 此 模 块 使 用 随 机 数 据 擦 除 以 下 一 个 可 能 的 目 标 ： 模 块 使 用 随 机 数 据 擦 除 以 下 一 个 可 能 的 目 标 ： 使 用 设 备 路 径 . P h y s i c a l D r i v e ， 擦 除 所 有 可 访 问 的 物 理 驱 动 器 。 使 用 设 备 路 径 . X : ， 擦 除 所 有 可 访 问 的 逻 辑 驱 动 器 。 递 归 擦 除 并 删 除 所 有 文 件 夹 中 的 文 件 ， 除 了 所 有 可 访 问 逻 辑 驱 动 器 上 的 “ W i n d o w s ” 文 件 夹 。
特 别 强 调 擦 除 磁 盘 r o o t 文 件 夹 中 名 为 “ “ a s d h g a s d a s d w q e % d i g i t s % ” 的 文 件 。 卡 巴 斯 基 实 验 室 的 研 究 人 员 发 现 一 个 S t o n e D r i l l 样 本 ， 它 是 被 专 门 设 计 用 来 在 被 感 染 的 系 统 上 创 建 后 门 。 攻 击 者 开 发 该 样 本 可 能 为 了 实 现 间 谍 目 的 。 专 家 在 网 络 间 谍 活 动 中 发 现 4 个 C & C 服 务 器 ， 这 就 意 味 着 S t o n e D r i l l 是 使 用 C & C 通 信 接 收 攻 击 者 的 指 令 。 w w w . e s e r v i c   [ 。 ]   c o m   w w w . s e c u r i t y u p d a t e d   [ 。 ]   c o m   w w w . a c t d i r e   [ 。 ]   c o m   w w w . c h r o m u p   [ 。 ]   c o m 研 究 人 员 发 现 ， S t o n e D r i l l 与 C h a r m i n g   K i t t e n 使 用 的 恶 意 软 件 存 在 许 多 相 似 之 处 （ 代 码 、 C & C 命 名 规 范 、 后 门 命 令 和 功 能 ， 以 及 W i n m a i n 签 名 ） 。 从 这 一 点 来 看 ， S t o n e D r i l l 可 能 是 C h a r m i n g   K i t t e n 恶 意 软 件 的 演 变 版 。 目 前 尚 不 清 楚 S t o n e D r i l l 如 何 传 递 给 受 害 者 。 设 备 一 经 感 染 ， S t o n e D r i l l 就 会 将 自 身 注 入 受 害 者 W e b 浏 览 器 的 内 存 进 程 ， 并 使 用 两 个 复 杂 的 反 仿 真 技 术 规 避 部 署 在 受 害 者 设 备 上 的 安 全 解 决 方 案 或 产 品 。   之 后 ， 这 款 恶 意 软 件 便 开 始 销 毁 计 算 机 的 硬 盘 文 件 。 另 外 ， S t o n e D r i l l 还 作 为 后 门 运 作 ， 显 然 通 过 4 个 命 令 与 控 制 服 务 器 （ C & C ） 执 行 大 规 模 间 谍 活 动 ， 并 监 控 数 量 不 明 的 目 标 。 卡 巴 斯 基 实 验 室 全 球 研 究 与 分 析 小 组 高 级 安 全 研 究 员 M o h a m a d   A m i n   H a s b i n i 表 示 十 分 好 奇 S t o n e D r i l l   、 、   S h a m o o n 、 、 C h a r m i n g   K i t t e n 这 三 个 恶 意 软 件 之 间 的 异 同 。 该 研 究 员 提 出 三 种 设 想 ： 1 、 S t o n e D r i l l 是 S h a m o o n 攻 击 者 部 署 的 另 一 个 擦 除 软 件 吗 ？ 2 、 S t o n e D r i l l 和 S h a m o o n 是 否 是 两 个 不 同 的 恶 意 软 件 ， 或 者 攻 击 组 织 毫 不 相 关 ， 只 是 同 时 针 对 沙 特 阿 拉 伯 的 组 织 机 构 发 起 攻 击 ？ 3 、 或 两 个 组 织 是 独 立 的 ， 只 是 目 标 一 致 ？ 后 者 的 可 能 性 更 大 ： 就 其 A r t i f a c t （ 指 软 件 开 发 过 程 的 中 间 或 最 后 工 作 产 品 , 包 括 文 档 、 模 型 和 程 序 。 ） 来 说 ， 虽 然 S h a m o o n 嵌 入 阿 拉 伯 语 - 也 门 （ A r a b i c - Y e m e n ） 语 言 段 ， S t o n e D r i l l 则 嵌 入 大 多 数 波 斯 语 言 段 。 地 缘 政 治 分 析 人 员 可 能 会 快 速 断 定 伊 朗 和 也 门 就 是 伊 朗 沙 特 阿 拉 伯 网 络 攻 击 的 参 与 者 。 因 为 在 沙 特 阿 拉 伯 ， 这 类 行 动 的 受 害 者 众 多 。 但 同 时 不 能 排 除 这 些 A r t i f a c t 故 意 伪 装 的 可 能 性 。 ”
虽 然 目 前 尚 不 清 楚 S t o n e D r i l l 如 何 传 递 给 受 害 者 ， 考 虑 与 其 有 众 多 相 似 之 处 的 S h a m o o n 恶 意 软 件 是 通 过 把 感 染 的 文 件 发 送 给 受 害 者 ， 应 警 惕 S t o n e D r i l l 也 可 能 使 用 类 似 的 手 段 感 染 不 知 情 的 用 户 。 建 议 用 户 忽 略 未 知 电 子 邮 件 ， 拒 绝 下 载 附 件 并 点 击 未 知 发 送 人 发 送 的 链 接 。 减 少 受 到 S t o n e D r i l 攻 击 的 可 能 性 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理