搜索

[9796] 2016-01-31_乌克兰电网攻击第二季

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-01-31_乌克兰电网攻击第二季 乌 克 兰 电 网 攻 击 第 二 季 T h r e a t b o o k   F r e e B u f   2 0 1 6 - 0 1 - 3 1 一 波 未 平 ， 一 波 又 起 。 一 波 未 平 ， 一 波 又 起 。 2 0 1 5 年 年 1 2 月 月 2 3 日 发 生 的 由 木 马 攻 击 引 起 的 乌 克 兰 电 网 电 力 中 断 ， 这 是 首 次 由 恶 意 软 件 攻 击 导 日 发 生 的 由 木 马 攻 击 引 起 的 乌 克 兰 电 网 电 力 中 断 ， 这 是 首 次 由 恶 意 软 件 攻 击 导 致 国 家 基 础 设 施 瘫 痪 的 事 件 ， 致 使 乌 克 兰 城 市 伊 万 诺 弗 兰 科 夫 斯 克 将 近 一 半 的 家 庭 （ 约 致 国 家 基 础 设 施 瘫 痪 的 事 件 ， 致 使 乌 克 兰 城 市 伊 万 诺 弗 兰 科 夫 斯 克 将 近 一 半 的 家 庭 （ 约 1 4 0 万 人 ） 在 万 人 ） 在 2 0 1 5 年 圣 诞 节 前 年 圣 诞 节 前 夕 经 历 了 数 小 时 的 电 力 瘫 痪 。 这 次 事 件 使 得 工 业 控 制 系 统 的 安 全 性 问 题 受 到 重 视 。 夕 经 历 了 数 小 时 的 电 力 瘫 痪 。 这 次 事 件 使 得 工 业 控 制 系 统 的 安 全 性 问 题 受 到 重 视 。 微 步 在 线 近 日 捕 获 的 威 胁 信 息 表 明 ： 新 的 一 波 攻 击 已 经 悄 然 开 始 ， 这 次 的 攻 击 对 象 是 乌 克 兰 多 家 电 力 公 司 。 攻 击 者 伪 装 成 乌 克 兰 国 家 电 力 公 司 定 向 发 送 精 心 伪 装 的 钓 鱼 邮 件 ， 且 此 次 使 用 的 木 马 并 非 B l a c k E n e r g y 。 一 、 攻 击 方 式 一 、 攻 击 方 式 2 0 1 6 年 1 月 1 9 日 下 午 1 6 : 5 1 和 1 6 : 5 6 分 ， 两 封 号 称 从 :   " U k r e n e r g o " 发 送 至 i k c @ o b l . c k . e n e r g y . g o v . u a 和 s p @ r d c . c e n t r e . e n e r g y . g o v . u a 的 电 子 邮 件 拉 开 了 攻 击 序 幕 。 攻 击 者 伪 装 成 来 自 乌 克 兰 国 有 电 力 公 司 U K r e n e r g o ， 攻 击 对 象 分 别 为 切 尔 卡 瑟 地 区 电 力 公 司 C h e r k a s y o b l e n e r g o 的 信 息 咨 询 处 ， 和 U k r e n e r g o 下 属 机 构 C e n t r a l   E n e r g y   S y s t e m   o f   S E 的 K o n d r a s h o v   A l e x a n d e r ， 后 者 的 职 务 是 分 站 主 任 （ C h i e f   o f   s u b s t a t i o n s o f   C e n t r a l   E S   ) 微 步 在 线 分 析 发 现 ， 此 次 是 采 用 通 过 发 送 钓 鱼 邮 件 的 传 统 方 式 进 行 攻 击 。 即 在 邮 件 中 加 入 一 个 名 为 O c e n k a . x l s 的 恶 意 E x c e l 文 件 为 附 件 ， 并 在 该 文 件 中 植 入 恶 意 宏 代 码 。 邮 件 包 含 一 个 托 管 在 远 程 服 务 器 6 2 . 2 1 0 . 8 3 . 2 1 3 上 的   P N G 文 件 ， 用 于 报 告 电 子 邮 件 传 递 状 态 。 邮 件 正 文 内 容 是 乌 克 兰 文 ： 鱼 叉 式 钓 鱼 攻 击 邮 件 原 文 截 图 内 容 大 致 翻 译 如 下 ： “ 根 据 乌 克 兰 法 律 ” 运 营 乌 克 兰 电 力 市 场 的 原 则 “ 以 及 ” 未 来 十 年 乌 克 兰 联 合 能 源 系 统 的 订 单 准 备 系 统 运 营 商 发 展 计 划 “ ， 经 乌 克 兰 煤 炭 工 业 能 源 部 批 准 的 N o . 6 8 0   2 0 1 4 0 9 2 9 系 统 运 营 商 ， 在 其 官 方 网 站 发 布 。 主 题 是 ： “ 乌 克 兰 2 0 1 6 年 至 2 0 2 5 年 联 合 能 源 系 统 发 展
规 划 ” 。 发 展 规 划 具 体 内 容 草 案 在 邮 件 附 件 中 ： “ 根 据 预 备 流 程 的 第 五 章 规 定 ， 将 于 2 0 1 6 年 1 月 2 0 日 下 午 2 点 在 7 5 0   k V 基 辅 会 议 室 （ 基 辅 区 、 马 卡 罗 夫 区 、 体 育 n a l y v a y k i v k a 圣 十 月 ， 1 1 2 - B ） 将 举 行 听 证 会 ， 对 发 展 计 划 的 征 求 意 见 稿 进 行 意 见 反 馈 。 ” 点 击 附 件 是 一 个 E x c e l 文 件 ， 打 开 信 息 如 下 ： 在 线 翻 译 大 致 内 容 如 下 ： 发 电 量 评 估 和 优 化 的 必 要 性 发 电 量 评 估 和 优 化 的 必 要 性 乌 克 兰 联 合 能 源 系 统 结 合 热 ， 核 能 ， 水 力 ， 风 能 和 太 阳 能 发 电 站 的 总 容 量 并 行 运 行 ， 截 至 2 0 1 5 年 1 2 月 3 1 日 ， 年 总 量 达 5 5 4 6 8 万 千 瓦 （ 不 含 经 济 特 区 “ 克 里 米 亚 ” 的 发 电 设 施 ） 整 个 文 件 中 最 醒 目 的 信 息 是 “ 重 要 提 示 ” 。 巧 妙 得 诱 骗 用 户 开 启 宏 功 能 ， 而 这 项 功 能 在 微 软 O f f i c e 软 件 中 默 认 是 关 闭 的 。 这 也 是 受 害 者 终 端 的 最 后 一 道 防 线 。 这 段 重 要 提 示 的 内 容 是 ： “ 请 注 意 ！ 本 文 件 创 建 于 新 版 本 的 O f f i c e 软 件 中 。 如 需 展 示 文 件 内 容 ， 需 要 开 启 宏 。 ” E x c e l 自 身 的 安 全 警 示 与 这 硕 大 的 提 示 信 息 相 比 黯 然 失 色 ， 受 害 者 毅 然 点 击 了 上 方 开 启 宏 的 按 钮 。 二 、 恶 意 负 载 分 析 二 、 恶 意 负 载 分 析 用 户 开 启 宏 之 后 ， 嵌 入 在 文 件 中 的 恶 意 宏 代 码 就 会 被 执 行 。 一 个 名 为 t e s t _ v b . e x e 的 木 马 下 载 器 被 创 建 ， 保 存 在 系 统 ％ T E M P ％ 目 录 下 被 执 行 。 宏 源 名 称 是 “ Э т а К н и г а ” 在 俄 语 中 的 意 思 为 “ 这 本 书 ” 。
t e s t _ v b . e x e 执 行 后 ， 试 图 从 链 接 文 字 h x x p : / / 1 9 3 . 2 3 9 . 1 5 2 . 1 3 1 / 8 0 8 0 / t e m p l a t e s / c o m p i l e d / s y n i o / r o o t . c e r t 上 下 载 程 序 ， 然 后 将 其 另 存 为 i e s e c u r i t y . e x e 文 件 ， 放 在 % a p p d a t a %   文 件 夹 下 执 行 。 i e s e c u r i t y . e x e 是 一 个 后 门 ， 用 P y t h o n 编 写 ， 并 通 过 P y t h o n 安 装 程 序 转 换 成 可 执 行 P E 文 件 的 开 源 G C A T （ h t t p s : / / g i t h u b . c o m / b y t 3 b l 3 3 d 3 r / g c a t ） 的 定 制 版 本 。 G C A T 后 门 使 用 G m a i l 作 为 命 令 和 控 制 服 务 器 ， 给 客 户 端 发 送 指 令 。 该 控 制 器 在 此 次 攻 击 中 的 邮 箱 地 址 是 S t e f a n . w l k i i @ g m a i l . c o m   经 测 试 ， 此 邮 箱 已 被 G o o g l e 冻 结 。 定 制 的 后 门 程 序 可 以 按 照 g m a i l   邮 件 发 来 的 指 令 在 客 户 端 远 程 执 行 提 供 的 s h e l l c o d e ， 下 载 文 件 和 强 制 主 机 登 记 。
三 、 威 胁 情 报 共 享 三 、 威 胁 情 报 共 享 可 机 读 攻 陷 指 标 （ I O C ） : O c e n k a . x l s : B 2 0 9 A 3 E B 5 4 3 6 2 2 1 9 5 E 1 3 C E 3 2 4 9 0 1 8 9 F 1 ( V i r u s B o o k 链 接 ： h t t p s : / / w w w . v i r u s b o o k . c n / v i e w _ r e p o r t / s c a n / 0 b b 5 e 9 8 f 7 7 e 6 9 d 8 5 b f 5 0 6 8 b c b c 5 b 5 8 7 6 f 8 e 5 8 5 5 d 3 4 d 9 2 0 1 d 1 c a f f b f 8 3 4 6 0 c c c c - 1 4 5 3 9 7 7 8 5 5 4 8 8 ) T e s t _ v b . e x e : 0 5 7 D 6 A 1 F 2 6 C 1 0 2 1 8 7 D 9 0 B 5 A D 4 3 7 4 1 C C 7 ( V i r u s B o o k 链
接 ： h t t p s : / / w w w . v i r u s b o o k . c n / v i e w _ r e p o r t / s c a n / 4 3 b 6 9 a 8 1 6 9 3 4 8 8 9 0 5 e f 6 5 5 d 2 2 e 3 9 5 c 3 f 8 d e e 2 4 8 6 a b a 9 7 6 d 5 7 1 d 3 b 1 2 4 3 3 d 1 0 c 9 3 - 1 4 5 3 9 7 7 8 9 8 3 4 9 ) I e s e c u r i t y . e x e : 6 9 0 3 A 0 C E 1 3 1 C F 0 E 1 B 1 0 5 E C 8 4 4 E 8 4 6 1 7 3 ( V i r u s B o o k 链 接 :   h t t p s : / / w w w . v i r u s b o o k . c n / v i e w _ r e p o r t / s c a n / 5 4 5 1 7 e 2 a 8 5 5 0 9 b c 7 1 0 9 b 7 b e f d 7 1 5 1 a 0 5 8 c 1 b 0 c c 9 0 d 3 8 d 1 9 d a d 1 8 9 f 3 0 8 f c 9 f 3 c 7 - 1 4 5 3 9 7 7 9 9 7 9 7 5 )
  远 控 服 务 器 I P : 6 2 . 2 1 0 . 8 3 . 2 1 3 ( 法 国 , 法 兰 西 岛 大 区 , 塞 纳 河 畔 维 提 ) 1 9 3 . 2 3 9 . 1 5 2 . 1 3 1 (   乌 克 兰 , 乌 克 兰 )   * 本 文 作 者 ： T h r e a t b o o k ( 微 步 在 线 )   ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理