搜索

[6018] 2019-07-09_攻击金融行业的Cobalt组织活动分析

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-17
2019-07-09_攻击金融行业的Cobalt组织活动分析 攻 击 金 融 行 业 的 C o b a l t 组 织 活 动 分 析 E 安 全   2 0 1 9 - 0 7 - 0 9 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 猎 影 威 胁 分 析 团 队 猎 影 威 胁 分 析 团 队 背 景 概 述 背 景 概 述 近 期 ， 安 恒 猎 影 威 胁 分 析 团 队 监 测 发 现 有 多 个 可 疑 文 档 通 过 钓 鱼 邮 件 的 方 式 向 国 内 金 融 行 业 单 位 的 人 员 发 起 攻 击 ， 经 分 析 该 活 动 与 C o b a l t   组 织 有 关 。 C o b a l t   G r o u p 是 一 个 具 有 高 技 术 水 准 的 威 胁 组 织 ， 由 于 其 使 用 基 于 C o b a l t   S t r i k e 渗 透 测 试 套 件 的 定 制 恶 意 软 件 而 命 名 ， 主 要 针 对 金 融 行 业 。 其 活 动 目 标 区 域 覆 盖 东 欧 、 中 亚 和 东 南 亚 等 地 区 ， 自 2 0 1 7 年 后 该 组 织 的 攻 击 目 标 扩 大 到 了 北 美 、 西 欧 和 南 美 的 一 些 国 家 。 从 此 次 真 实 攻 击 被 发 现 ， 说 明 我 国 也 属 于 其 攻 击 目 标 范 围 区 域 内 ， 主 要 攻 击 对 象 锁 定 为 金 融 机 构 ， 不 排 除 包 含 其 他 机 构 。 自 2 0 1 6 年 被 国 外 安 全 厂 商 披 露 以 来 ， 该 组 织 仍 在 持 续 进 行 攻 击 、 技 术 更 新 。 C o b a l t   G r o u p 善 于 使 用 鱼 叉 式 网 络 钓 鱼 攻 击 ， 并 始 终 利 用 技 术 先 进 的 武 器 库 。 也 有 报 告 显 示 该 组 织 和 C a r b a n a k 组 织 有 所 关 联 ， 因 其 攻 击 手 法 和 流 程 并 未 发 生 太 多 变 化 ， 只 有 武 器 库 发 生 变 化 ， 也 可 能 由 于 其 历 史 时 期 攻 击 目 标 及 规 模 的 转 变 ， 必 须 通 过 特 定 手 法 和 更 高 级 的 技 术 手 段 在 网 络 空 间 中 隐 藏 自 身 。 另 外 ， 可 以 比 较 肯 定 的 是 该 组 织 由 多 人 组 成 ， 其 中 一 名 领 导 人 于 2 0 1 8 年 初 在 西 班 牙 被 捕 ， 但 攻 击 依 然 活 跃 。 梳 理 回 顾 梳 理 回 顾 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
C o b a l t   G r o u p 于 2 0 1 6 年 1 1 月 由 g r o u p - i b 率 先 披 露 并 命 名 ， 并 可 以 关 联 到 C a r b a n a k 组 织 ， 该 组 织 的 攻 击 行 动 最 早 可 追 溯 到 2 0 1 3 年 。 所 以 基 于 命 名 可 以 将 该 组 织 区 分 为 两 个 时 期 。 2 0 1 3 - - 2 0 1 6   C a r b a n a k 时 期 ： 时 期 ： 使 用 A n u n a k 、 C a r b a n a k 恶 意 软 件 攻 击 金 融 机 构 ， 2 0 1 5 年 到 2 0 1 6 年 间 发 起 “ B u h t r a p 行 动 ” 。 2 0 1 6 - - 至 今 至 今 C o b a l t G r o u p 时 期 ： 时 期 ： 使 用 基 于 C o b a l t   S t r i k e 渗 透 测 试 套 件 的 定 制 恶 意 软 件 ， 漏 洞 利 用 工 具 套 件 ， 租 用 M a a S （ 恶 意 软 件 即 服 务 ） 等 对 俄 罗 斯 、 独 联 体 、 欧 洲 、 亚 洲 、 美 洲 等 地 区 的 金 融 机 构 或 其 他 机 构 发 起 攻 击 。 攻 击 区 域 攻 击 区 域 C o b a l t   G r o u p 的 攻 击 区 域 主 要 包 括 东 欧 、 中 亚 和 东 南 亚 ， 2 0 1 7 年 后 还 延 伸 到 了 包 括 北 美 、 西 欧 甚 至 南 美 等 地 区 。 攻 击 目 标 攻 击 目 标 C o b a l t   G r o u p 的 核 心 攻 击 目 标 为 金 融 行 业 的 核 心 攻 击 目 标 为 金 融 行 业 ， 在 金 融 行 业 中 大 多 数 为 银 行 ， 其 他 机 构 包 括 金 融 交 易 所 、 投 资 基 金 、 保 险 公 司 和 借 贷 机 构 等 。 其 他 攻 击 目 标 包 括 政 府 、 电 信 、 互 联 网 、 服 务 供 应 商 、 制 造 业 、 娱 乐 、 卫 生 保 健 等 。
获 利 手 法 获 利 手 法 1 、 该 组 织 通 过 攻 击 银 行 ， 渗 透 到 银 行 内 部 ， 得 到 A T M 系 统 的 控 制 权 限 ， 在 预 定 时 间 预 定 地 址 的 A T M 机 处 ， 等 候 A T M 机 自 动 吐 出 现 金 。 攻 击 支 付 系 统 、 S W I F T 服 务 及 线 上 交 易 系 统 通 过 匿 名 转 账 等 方 式 进 行 获 利 。 2 、 通 过 攻 击 金 融 交 易 所 ， 通 过 哄 抬 股 价 、 高 位 卖 出 的 操 作 手 段 ， 以 一 种 导 致 股 价 快 速 波 动 的 方 式 激 励 某 些 公 司 的 股 票 购 买 或 出 售 ， 该 组 织 从 中 套 利 。 3 、 通 过 攻 击 政 府 组 织 和 部 委 ， 以 便 作 为 攻 击 其 他 目 标 的 基 石 。 4 、 其 他 攻 击 目 标 获 利 方 式 未 明 ， 仍 然 存 在 其 他 未 探 知 的 活 力 手 法 。 运 作 方 法 运 作 方 法
在 C o b a l t   G r o u p 发 起 的 攻 击 中 绝 大 多 数 情 况 是 通 过 社 会 工 程 学 和 鱼 叉 式 网 络 钓 鱼 方 式 进 行 的 。 准 备 阶 段 （ 侦 察 、 武 器 化 ） 准 备 阶 段 （ 侦 察 、 武 器 化 ） 该 组 织 会 购 买 或 自 制 武 器 形 成 武 器 库 ， 寻 找 互 联 网 上 存 在 漏 洞 的 网 站 或 购 买 （ 虚 拟 ） 主 机 作 为 挂 马 地 址 存 放 后 门 程 序 ， 注 册 E m a i l 地 址 ， 注 册 钓 鱼 域 名 ， 配 置 S P F 防 止 邮 箱 拒 绝 钓 鱼 邮 件 接 收 或 当 作 垃 圾 邮 件 ， 配 置 后 门 程 序 和 网 络 回 连 。 投 递 阶 段 （ 投 递 ） 投 递 阶 段 （ 投 递 ） 这 些 投 递 的 邮 件 经 常 被 伪 装 为 合 法 公 司 或 者 监 管 机 构 。 该 组 织 会 预 先 注 册 和 合 法 公 司 或 机 构 非 常 相 似 的 域 名 ， 或 有 时 也 会 渗 透 入 一 些 合 法 公 司 和 机 构 拿 到 员 工 邮 箱 ， 通 过 这 些 域 名 邮 箱 投 递 给 目 标 以 降 低 目 标 警 惕 性 。 邮 件 内 容 往 往 经 过 精 心 描 述 ， 带 有 极 强 的 欺 骗 性 。 投 递 的 邮 件 中 带 有 附 件 ， 投 递 附 件 的 类 型 包 括 B a c k d o o r   D r o p p e r 程 序 （ . s c r 、 . e x e ） 、 L N K 文 件 、 带 有 漏 洞 利 用 的 O f f i c e 文 档 、 带 有 恶 意 V B A 宏 的 O f f i c e 文 档 、 带 有 恶 意 U R L 链 接 的 P D F 文 档 、 加 密 的 Z I P 压 缩 文 件 。 有 些 时 候 也 会 直 接 将 钓 鱼 U R L 地 址 直 接 写 在 伪 装 的 邮 件 内 容 中 ， 点 击 并 进 行 后 续 操 作 ， 则 会 感 染 恶 意 软 件 。 利 用 阶 段 （ 利 用 、 安 装 植 入 ） 利 用 阶 段 （ 利 用 、 安 装 植 入 ） 目 标 人 员 查 看 邮 件 并 运 行 邮 件 附 件 或 链 接 ， 目 标 设 备 被 植 入 后 门 （ 包 括 C o b a l t   S t r i k e   B e a c o n 、 M o r e _ e g g s 、 C o b I n t 等 ） 。 收 割 阶 段 （ 命 令 与 控 制 、 目 标 达 成 ） 收 割 阶 段 （ 命 令 与 控 制 、 目 标 达 成 ） 根 据 已 有 突 破 点 进 行 纵 横 向 渗 透 继 续 扩 大 成 果 。 如 针 对 银 行 目 标 ， 该 组 织 会 攻 入 A T M 控 制 系 统 、 支 付 系 统 、 线 上 交 易 系 统 、 S W I F T 等 重 要 模 块 ， 通 过 A T M 现 金 提 取 、 线 上 匿 名 转 账 等 方 式 获 利 。 技 术 演 变 技 术 演 变 追 溯 到 C a r b a n a k 组 织 时 期 ， C a r b a n a k 组 织 使 用 自 研 的 A n u n a k 及 C a r b a n a k 作 为 主 要 木 马 后 门 工 具 。 到 了 C o b a l t   G r o u p 时 期 ， 为 了 提 高 隐 蔽 性 ， 该 组 织 开 始 弃 用 自 研 工 具 ， 转 向 购 买 利 用 工 具 包 ， 使 用 C o b a l t   S t r i k e 等 更 通 用 的 装 备 ， 提 高 在 工 具 使 用 上 的 隐 蔽 性 ， 当 然 在 一 些 场 景 下 也 会 使 用 某 些 自 研 的 特 殊 工 具 （ 如 C o b I n t ） 。 再 后 期 该 组 织 开 始 租 用 M a a S （ 恶 意 软 件 即 服 务 ） 解 决 方 案 ， 将 更 多 部 分 的 攻 击 链 外 包 给 第 三 方 ， 如 使 用 与 其 他 电 子 犯 罪 集 团 相 同 的 网 络 基 础 设 施 ， 导 致
C 2 服 务 器 重 叠 等 ， 更 加 具 有 混 淆 性 和 迷 惑 性 。 感 染 链 感 染 链 该 组 织 在 投 递 利 用 过 程 包 含 多 个 组 成 部 分 。 投 递 载 荷 部 分 投 递 载 荷 部 分 包 括 B a c k d o o r   D r o p p e r 程 序 （ . s c r 、 . e x e ） 、 L N K 文 件 、 带 有 漏 洞 利 用 的 O f f i c e 文 档 、 带 有 恶 意 V B A 宏 的 O f f i c e 文 档 、 带 有 恶 意 U R L 链 接 的 P D F 文 档 、 加 密 的 Z I P 压 缩 文 件 。 漏 洞 及 利 用 部 分 漏 洞 及 利 用 部 分 投 递 的 恶 意 文 档 或 恶 意 软 件 是 通 过 漏 洞 利 用 工 具 包 （ M W I 、 T h r e a d k i t 、 V e n o m K i t 等 ） 或 其 他 工 具 生 成 的 ， 使 用 到 的 漏 洞 包 括 C V E - 2 0 1 2 - 0 1 5 8 、 C V E - 2 0 1 5 - 1 6 4 1 、 C V E - 2 0 1 7 - 0 1 9 9 、 C V E - 2 0 1 7 - 8 5 7 0 、 C V E - 2 0 1 7 - 8 7 5 9 、 C V E - 2 0 1 7 - 1 1 8 8 2 、 C V E - 2 0 1 8 - 0 8 0 2 、 C V E - 2 0 1 8 - 4 8 7 8 、 C V E - 2 0 1 8 - 8 1 7 4 等 。 中 间 程 序 部 分 中 间 程 序 部 分 这 一 部 分 使 用 了 C M S T P 、 M S X S L 、 R E G S V R 、 O D B C C O N F 等 程 序 ， 目 的 是 为 了 绕 过 A p p L o c k e r 等 系 统 策 略 。 下 载 者 部 分 下 载 者 部 分 这 部 分 包 括 p o w e r s h e l l 下 载 者 和 J S c r i p t 下 载 者 。 P o w e r s h e l l 下 载 者 分 为 多 个 阶 段 ， 先 会 从 C 2 下 载 回 下 一 阶 段 的 p o w e r s h e l l 脚 本 程 序 并 执 行 ， 然 后 该 阶 段 会 解 密 出 s h e l l c o d e 并 加 载 到 内 存 中 执 行 。 J S c r i p t 下 载 者 会 从 C 2 下 载 回 一 个 J S c r i p t 后 门 程 序 ， 可 以 用 来 下 载 最 终 的 有 效 负 载 。 最 终 负 载 部 分 最 终 负 载 部 分 目 前 为 止 发 现 的 该 组 织 使 用 的 最 终 有 效 负 载 主 要 有 3 个 ， C o b a l t   S t r i k e   B e a c o n 、 M o r e _ e g g s 以 及 C o b I n t 。 C o b a l t   S t r i k e   B e a c o n 为 C o b a l t   S t r i k e 的 利 用 模 块 ， 可 以 让 攻 击 者 对 主 机 有 完 全 控 制 ， 并 可 以 延 伸 到 其 他 系 统 。
M o r e _ e g g s 是 J S 写 的 后 门 程 序 ， 存 在 多 个 历 史 版 本 ， 但 功 能 大 致 相 同 。 M o r e _ e g g s 的 命 令 大 致 如 下 ： d & e x e c 下 载 和 执 行 P E 文 件 m o r e _ e g g s 下 载 更 新 文 件 并 更 新 g t f o 删 除 自 己 和 相 关 的 注 册 表 记 录 m o r e _ o n i o n 执 行 新 副 本 v a i _ x 通 过 c m d 执 行 命 令 C o b I n t 是 C 语 言 写 的 后 门 程 序 ， 命 名 基 于 C o b a l t 组 织 使 用 的 内 部 D L L 文 件 “ i n t . d l l ” ， 它 会 通 过 C 2 下 载 主 组 件 ， 主 组 件 会 从 C 2 下 载 并 执 行 其 余 各 个 利 用 模 块 ， C o b I n t 的 目 的 从 现 有 程 序 来 看 似 乎 只 是 作 为 侦 查 目 的 。 最 新 演 变 状 况 最 新 演 变 状 况 最 新 发 现 的 攻 击 样 本 使 用 了 如 下 的 感 染 链 ： 打 开 样 本 的 内 容 为 ： 这 类 样 本 是 由 V e n o m K i t 漏 洞 利 用 工 具 套 件 生 成 的 。 生 成 的 一 个 样 本 中 就 包 含 C V E - 2 0 1 7 - 1 1 8 8 2 、 C V E - 2 0 1 7 - 8 5 7 0 、 C V E - 2 0 1 7 - 0 1 9 9 这 几 个 漏 洞 ， 其 中 C V E - 2 0 1 7 - 0 1 9 9 会 访 问 带 C V E - 2 0 1 8 - 8 1 7 4   I E 浏 览 器 漏 洞 利 用 的 页 面 ，
另 外 两 个 会 使 用 c m s t p 加 载 执 行 i n f 远 程 地 址 的 J S   s c r i p t l e t ， s c r i p t l e t 包 含 J S c r i p t   D r o p p e r ， 该 J S c r i p t   D r o p p e r 释 放 了 一 个 P E 后 门 程 序 和 一 个 具 有 欺 骗 性 文 档 。 释 放 的 P E 后 门 程 序 为 一 个 后 门 下 载 器 ， 这 个 样 本 会 结 合 使 用 开 源 的 小 软 件 程 序 ， 使 得 看 似 是 个 正 常 的 小 软 件 ， 内 部 加 入 了 恶 意 代 码 ， 这 和 C o b a l t 组 织 之 前 被 披 露 的 D L L   d r o p p e r 使 用 合 法 的 d l l 源 码 包 含 恶 意 的 d r o p p e r 代 码 是 相 似 的 。 总 结 建 议 总 结 建 议 网 络 空 间 安 全 对 抗 成 本 逐 渐 提 高 ， 黑 客 组 织 、 黑 产 组 织 等 会 不 断 更 新 新 的 武 器 装 备 ， 无 论 从 工 具 层 面 还 是 战 术 层 面 都 在 与 时 俱 进 ， 甚 至 可 以 达 到 保 持 领 先 的 水 准 。 C o b a l t 组 织 惯 于 使 用 售 卖 的 漏 洞 利 用 套 件 、 渗 透 套 件 和 M a a S 服 务 ， 其 技 术 水 准 相 对 较 高 ， 并 且 仍 在 持 续 更 新 新 的 技 术 及 手 法 。 企 业 应 当 注 重 培 养 人 员 安 全 意 识 ， 人 员 的 安 全 意 识 极 为 重 要 。 不 轻 易 打 开 未 知 来 源 的 邮 件 及 附 件 ， 不 随 意 点 击 未 知 链 接 ， 不 随 意 打 开 未 验 证 可 靠 来 源 的 文 档 。 做 好 风 控 管 理 ， 安 全 运 维 建 设 ， 核 查 企 业 内 信 息 资 产 ， 定 期 对 信 息 资 产 做 更 新 维 护 ， 不 轻 易 放 过 任 何 信 息 系 统 ， 防 止 从 点 上 被 突 破 。 建 立 和 巩 固 安 全 防 御 体 系 ， 加 大 防 御 的 广 度 和 深 度 ， 实 现 从 点 到 面 的 布 局 。 安 恒 A P T 预 警 平 台 能 够 发 现 已 知 和 未 知 的 威 胁 ， A P T 预 警 平 台 的 实 时 监 控 能 力 能 够 捕 获 并 分 析 邮 件 附 件 投 递 文 档 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 、 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 做 强 有 力 的 监 测 。 结 合 安 恒 威 胁 情 报 系 统 ， 可 将 国 内 外 的 威 胁 数 据 进 行 汇 总 ， 并 分 析 整 个 攻 击 演 进 和 联 合 预 警 。 如 需 要 更 详 细 的 分 析 联 系 安 恒 猎 影 威 胁 分 析 团 队 参 考 网 址 ： h t t p s : / / t i . d b a p p s e c u r i t y . c o m . c n / 邮 箱 地 址 ： t i @ d b a p p s e c u r i t y . c o m . c n 本 文 转 载 自   安 恒 信 息 推 荐 阅 读 ： C a n o n i c a l   G i t H u b 账 号 被 入 侵 ， U b u n t u 源 代 码 未 受 影 响     A P T 黑 客 T A 5 0 5 组 织 新 添 恶 意 软 件 A n d r o M u t ， 预 计 在 今 夏 活 跃   注 意 ！ S o d i n o k i b i 勒 索 软 件 或 将 成 为 下 一 个 巨 大 威 胁     英 国 最 大 的 法 医 服 务 提 供 商 遭 勒 索 软 件 攻 击     “ 出 奇 制 胜 ” 的 “ 欺 骗 防 御 ” 之 术    
专 攻 银 行 系 统 的 S i l e n c e   A P T 开 始 走 向 全 球 ， 重 点 为 亚 太 地 区   ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理