搜索

[4351] 2017-09-22_CCleaner被感染事件与中国黑客组织APT17有关？

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-09-22_CCleaner被感染事件与中国黑客组织APT17有关？ C C l e a n e r 被 感 染 事 件 与 中 国 黑 客 组 织 A P T 1 7 有 关 ？ 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 2 2 E 安 全 9 月 2 2 日 讯   持 续 整 个 夏 季 并 于 本 周 刚 刚 曝 光 的 C C l e a n e r 软 件 遭 黑 客 攻 击 感 染 恶 意 软 件 事 件 造 成 2 3 0 万 用 户 受 到 感 染 ， 卡 卡 巴 斯 基 和 思 科 安 全 研 究 人 员 推 测 这 起 事 件 可 能 出 自 于 中 国 网 络 黑 客 组 织 巴 斯 基 和 思 科 安 全 研 究 人 员 推 测 这 起 事 件 可 能 出 自 于 中 国 网 络 黑 客 组 织 A P T 1 7 之 手 ， 且 其 目 标 主 要 指 向 西 方 各 科 技 之 手 ， 且 其 目 标 主 要 指 向 西 方 各 科 技 企 业 。 企 业 。 C C l e a n e r 与 与 A x i o m 的 木 马 软 件 代 码 相 似 的 木 马 软 件 代 码 相 似 种 种 线 索 将 C l e a n e r 事 件 当 中 浮 现 的 证 据 同 A x i o m 这 一 网 络 间 谍 组 织 连 接 起 来 — — 该 组 织 亦 被 称 为 A P T 1 7 、 V i c e D o g 、 T a i l g a t e r T e a m 、 H i d d e n   L y n x 、 V o h o 、 G r o u p   7 2 以 及 A u r o r a P a n d a 。 这 些 不 同 的 名 称 来 自 将 其 发 现 的 不 同 安 全 厂 商 。 卡 巴 斯 基 实 验 室 全 球 研 究 与 分 析 团 队 负 责 人 R o s t i n   R a i u （ 考 斯 汀 · 拉 尤 ） 首 先 发 现 C C l e a n e r 应 用 程 序 内 恶 意 代 码 与 A x i o m 恶 意 软 件 之 间 存 在 关 联 。 在 C C l e a n e r 事 件 曝 光 的 第 二 天 ， R a i u 指 出 C C l e a n e r 恶 意 软 件 与 此 前 曾 经 由 A x i o m 使 用 的 M i s s l 后 门 木 马 存 在 相 似 之 处 。
由 思 科 T a l o s 小 组 发 布 的 最 新 的 先 关 报 告 中 ， 研 究 人 员 们 也 确 认 了 R a i u 的 这 一 相 似 性 结 论 。 思 科 T a l o s 小 组 研 究 员 C r a i g   W i l l i a m s （ 克 雷 格 · 威 廉 姆 斯 ） 在 接 受 邮 件 采 访 时 指 出 ， “ 目 前 并 不 能 确 定 这 一 切 的 幕 后 黑 手 就 是 A x i o m ， 但 二 者 确 实 共 享 部 分 代 码 。 ” 很 明 显 ， 他 的 回 应 显 示 出 经 验 丰 富 的 安 全 研 究 人 员 在 网 络 间 谍 活 动 归 因 方 面 所 抱 持 的 谨 慎 态 度 。
C C l e a n e r 的 的 C & C 服 务 器 正 在 被 调 查 服 务 器 正 在 被 调 查 除 了 确 认 卡 巴 斯 基 方 面 的 发 现 之 外 ， 思 科 T a l o s 小 组 还 表 示 某 第 三 方 向 其 提 供 了 一 份 命 令 与 控 制 服 务 器 文 件 副 本 ， 该 服 务 器 正 是 本 次 从 受 感 染 主 机 上 收 集 设 备 信 息 的 C C l e a n e r 污 损 版 本 的 发 布 平 台 ， 其 中 即 包 含 相 关 数 据 库 。 恶 意 版 本 收 集 的 具 体 信 息 包 括 计 算 机 名 称 、 已 安 装 软 件 列 表 、 当 前 运 行 进 程 列 表 、 前 三 个 网 络 接 口 M A C 地 址 以 及 每 台 计 算 机 的 惟 一 I D 标 识 。 思 科 公 司 的 研 究 人 员 们 还 对 自 有 设 备 的 收 集 数 据 进 行 检 查 ， 从 而 证 明 这 套 数 据 库 确 实 真 实 可 信 。 C C l e a n e r 的 另 一 项 恶 意 功 能 并 未 启 用 的 另 一 项 恶 意 功 能 并 未 启 用 初 步 分 析 报 告 认 为 该 恶 意 软 件 能 够 下 载 第 二 阶 段 有 效 载 荷 并 执 行 其 它 恶 意 软 件 。 在 对 文 件 进 行 分 析 之 后 ， 研 究 人 员 们 意 识 到 C C l e a n e r 恶 意 软 件 （ F l o x i f ） — — 的 初 步 分 析 报 告 并 不 成 立 。 在 对 该 C & C 服 务 器 数 据 库 进 行 分 析 之 后 ， 研 究 人 员 们 表 示 恶 意 操 作 者 仅 利 用 该 功 能 在 全 球 范 围 内 感 染 了 2 0 台 计 算 机 。 运 行 在 该 C & C 服 务 器 上 的 P H P 文 件 会 对 用 户 及 适 合 下 载 第 二 阶 段 恶 意 软 件 （ 一 款 轻 量 化 后 门 ） 的 计 算 机 I D 。 研 究 人 员 们 指 出 ， 第 二 阶 段 后 门 负 责 “ 从 g i t h u b . c o m 或 者 w o r d p r e s s . c o m 搜 索 相 关 数 据 当 中 检 索 一 条 I P ” ， 并 进 一 步 在 目 标 系 统 上 下 载 更 多 恶 意 软 件 。 攻 击 者 主 要 针 对 一 份 科 技 企 业 名 单 实 施 行 动 攻 击 者 主 要 针 对 一 份 科 技 企 业 名 单 实 施 行 动 思 科 公 司 T a l o s 小 组 解 释 称 ， 攻 击 者 们 根 据 目 标 计 算 机 的 域 名 信 息 选 择 受 害 者 。 被 攻 击 者 瞄 准 的 除 了 思 科 公 司 自 身 之 外 ， 还 有 包 括 S i n g t e l 、 H T C 、 三 星 、 索 尼 、 G a u s e l m a n n 、 英 特 尔 、 V M w a r e 、 O 2 、 沃 达 丰 、 L i n k s y s 、 爱 普 生 、 M S I 、 A k a m a i 、 D L i n k 、 甲 骨 文 （ D y n ） 甚 至 是 微 软 与 谷 歌 （ G m a i l ） 等 巨 头 级 企 业 。
思 科 已 经 与 受 影 响 的 企 业 取 得 联 系 ， 并 通 报 其 可 能 遭 遇 的 安 全 违 规 问 题 。 研 究 人 员 对 自 己 的 发 现 极 具 信 心 ， 因 为 该 C & C 服 务 器 数 据 库 当 中 包 含 两 份 主 表 ， 其 一 列 出 一 切 受 到 第 一 阶 段 恶 意 软 件 （ 即 F l o x i f ， 负 责 面 向 全 部 用 户 进 行 信 息 收 集 ） 感 染 的 主 机 ;   其 二 则 持 续 追 踪 全 部 受 到 第 二 阶 段 恶 意 软 件 感 染 的 计 算 机 。 第 一 份 表 格 中 包 含 超 过 7 0 0 万 台 计 算 机 的 相 关 数 据 ， 而 第 二 份 表 格 在 排 除 重 复 部 分 后 仅 包 含 2 0 台 计 算 机 的 相 关 数 据 。 两 份 表 格 所 存 储 的 条 目 皆 创 建 于 今 年 9 月 1 2 日 到 9 月 1 6 日 之 间 。 威 廉 姆 斯 在 采 访 中 指 出 ， “ 就 目 前 来 看 ， 9 月 1 2 日 之 前 的 数 据 似 乎 被 删 除 掉 了 。 这 可 能 是 为 了 故 意 限 制 从 服 务 器 当 中 导 出 的 信 息 量 。 ” 攻 击 者 能 够 针 对 其 想 要 针 对 的 一 切 目 标 攻 击 者 能 够 针 对 其 想 要 针 对 的 一 切 目 标
思 科 公 司 表 示 ， 这 份 数 据 库 极 具 实 际 价 值 。 举 例 来 说 ， 只 需 要 运 行 一 条 简 单 的 S Q L 查 询 命 令 ， 思 科 研 究 人 员 即 可 发 现 5 4 0 台 处 于 政 府 网 络 当 中 的 计 算 机 ， 外 加 5 1 台 处 于 银 行 网 络 中 的 计 算 机 。 思 科 公 司 研 究 人 员 解 释 称 ， 这 表 明 通 过 利 用 基 础 设 施 与 相 关 恶 意 软 件 的 组 合 攻 击 者 们 就 能 够 实 现 这 一 级 别 的 访 问 能 力 ， 此 次 攻 击 的 严 重 性 与 潜 在 影 响 不 言 而 喻 。 应 采 取 哪 些 安 全 措 施 ？ 应 采 取 哪 些 安 全 措 施 ？ 由 于 C & C 服 务 器 当 中 的 数 据 尚 不 完 整 ， 且 攻 击 者 下 载 了 一 款 静 默 第 二 阶 段 下 载 器 ， 因 此 运 行 有 污 损 版 本 C C l e a n e r 软 件 的 用 户 应 当 将 其 彻 底 清 除 或 者 恢 复 至 8 月 1 5 日 之 前 （ 即 两 款 污 损 C C l e a n e r 版 本 发 布 之 前 ） 的 备 份 版 本 。 需 要 强 调 的 是 ， 此 前 安 全 人 员 给 出 的 建 议 仅 仅 是 更 新 现 有 C C l e a n e r 应 用 程 序 。 该 恶 意 组 织 长 期 针 对 科 技 企 业 该 恶 意 组 织 长 期 针 对 科 技 企 业 尽 管 C C l e a n e r 黑 客 活 动 与 A x i o m 之 间 的 关 联 性 证 据 还 相 当 有 限 ， 但 A x i o m 组 织 过 去 一 直 专 挑 科 技 企 业 作 为 攻 击 目 标 。 该 团 队 投 入 大 量 精 力 入 侵 此 类 目 标 ， 特 别 是 在 2 0 1 0 年 年 初 。 而 这 种 攻 击 方 式 也 引 起 了 思 科 、 F i r e E y e 、 F - S e c u r e 、 微 软 、 T e n a b l e 、 T h r e a t C o n n e c t 、 T h r e a t T r a c k   S e c u r i t y 、 V o l e x i t y 、 N o v e t t a 以 及 赛 门 铁 克 等 网 络 安 全 厂 商 的 重 视 。 这 些 企 业 共 同 组 织 起 S M N 行 动 ， 旨 在 共 同 努 力 以 揭 露 该 组 织 使 用 的 工 具 及 技 术 手 段 。 思 科 公 司 T a l o s 小 组 最 近 发 布 的 报 告 亦 对 I O C 以 及 C & C 服 务 器 文 件 作 出 了 进 一 步 分 析 ， 并 表 示 C ＆ C 服 务 器 配 置 使 用 的 是 中 国 时 区 （ P R C ） 。
而 作 为 C C l e a n e r 软 件 的 开 发 商 ， A v a s t 公 司 也 发 布 了 一 篇 关 于 此 次 事 件 的 调 查 进 展 博 客 文 章 ， 其 中 确 认 了 攻 击 者 主 要 针 对 大 型 科 技 企 业 实 施 攻 击 的 说 法 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 4 5 0 7 6 9 3 7 3 . s h t m l 相 关 阅 读 ： 供 应 链 攻 击 警 告 ： 知 名 清 理 软 件 C C l e a n e r 被 恶 意 软 件 感 染 ， 官 网 下 载 也 得 当 心 ！ H D I 全 球 保 险 公 司 推 出 ： C y b e r +   S m a r t 制 造 企 业 新 “ 网 络 保 险 ” 服 务 网 络 安 全 法 等 保 2 . 0 环 境 下 的 企 业 W e b 安 全 研 修 班 开 课 啦 报 告 ： 1 0 % 的 英 国 顶 尖 企 业 未 制 定 网 络 响 应 计 划 印 度 以 网 络 安 全 为 名 收 紧 电 力 和 电 信 行 业 规 定 , 剑 指 中 国 企 业 全 球 4 0 0 0 多 家 基 础 设 施 企 业 被 攻 击 ， 黑 客 竟 是 独 行 侠 黑 客 利 用 W i n d o w s 的 新 后 门 攻 击 俄 罗 斯 企 业
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理