搜索

[10360] 2016-08-01_赛门铁克：企业请注意！PatchworkAPT攻击范围已扩展到各行各业

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-08-01_赛门铁克：企业请注意！PatchworkAPT攻击范围已扩展到各行各业 赛 门 铁 克 ： 企 业 请 注 意 ！ P a t c h w o r k   A P T 攻 击 范 围 已 扩 展 到 各 行 各 业 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 8 - 0 1 前 一 阵 ， 我 们 在 《 揭 秘 P a t c h w o r k   A P T 攻 击 ： 一 个 与 中 国 南 海 和 东 南 亚 问 题 相 关 的 网 络 攻 击 组 织 》 一 文 中 谈 到 了 这 个 名 叫 P a t c h w o r k 的 组 织 。 实 际 上 ， 卡 巴 斯 基 实 验 室 之 前 也 做 了 相 关 该 组 织 A P T 攻 击 的 调 查 报 告 （ 卡 巴 斯 基 在 报 告 中 将 该 组 织 称 作 D r o p p i n g   E l e p h a n t ） 。 这 两 天 ， 赛 门 铁 克 安 全 响 应 中 心 也 针 对 这 两 天 ， 赛 门 铁 克 安 全 响 应 中 心 也 针 对 P a t c h w o r k 发 起 了 一 份 最 新 的 报 告 。 其 中 谈 到 发 起 了 一 份 最 新 的 报 告 。 其 中 谈 到 P a t c h w o r k 先 前 一 直 是 以 政 府 以 及 与 政 先 前 一 直 是 以 政 府 以 及 与 政 府 相 关 的 组 织 ， 为 攻 击 目 标 的 。 不 过 最 近 府 相 关 的 组 织 ， 为 攻 击 目 标 的 。 不 过 最 近 P a t c h w o r k 似 乎 将 攻 击 目 标 做 了 极 大 扩 展 ， 企 业 现 在 也 需 要 小 心 似 乎 将 攻 击 目 标 做 了 极 大 扩 展 ， 企 业 现 在 也 需 要 小 心 P a t c h w o r k   A P T 攻 攻 击 了 ！ 击 了 ！ 攻 击 目 标 极 大 扩 展 攻 击 目 标 极 大 扩 展 从 赛 门 铁 克 的 追 踪 情 报 来 看 ， P a t c h w o r k 现 如 今 的 攻 击 目 标 有 了 极 大 范 围 的 扩 展 ， 不 过 主 要 还 是 针 对 公 共 部 门 和 企 业 。 近 期 近 期 P a t c h w o r k 的 一 些 攻 击 针 对 的 行 业 包 括 ： 航 空 、 广 播 、 能 源 、 金 融 、 非 政 府 组 织 、 制 药 、 公 有 企 业 、 出 版 、 软 件 。 的 一 些 攻 击 针 对 的 行 业 包 括 ： 航 空 、 广 播 、 能 源 、 金 融 、 非 政 府 组 织 、 制 药 、 公 有 企 业 、 出 版 、 软 件 。 攻 击 目 标 的 地 理 位 置 则 也 扩 展 到 了 美 国 之 外 ， 虽 然 大 约 有 半 数 攻 击 仍 然 针 对 美 国 ， 但 其 余 攻 击 针 对 的 国 家 地 区 则 相 对 已 经 比 较 分 散 了 ， 包 括 中 国 、 日 本 、 东 南 亚 、 英 国 等 。 而 其 攻 击 方 式 看 来 并 没 有 太 大 变 化 ： 仍 然 是 向 目 标 发 出 时 事 新 闻 邮 件 。 邮 件 中 会 包 含 攻 击 者 的 网 站 链 接 ， 这 些 网 站 的 内 容 主 要 都 是 相 关 中 国 的 — — 用 赛 门 铁 克 的 话 来 说 ， 这 些 内 容 能 够 “ 吸 引 被 攻 击 目 标 的 兴 趣 ” 。
作 为 A P T 攻 击 ， 具 有 高 度 针 对 性 是 必 然 的 ， 所 以 攻 击 者 的 不 同 网 站 针 对 不 同 的 目 标 — — 网 站 上 的 内 容 肯 定 也 是 针 对 被 攻 击 行 业 目 标 做 定 制 的 ， 比 如 像 上 面 这 个 网 站 是 相 关 中 国 军 方 的 。 先 前 《 揭 秘 A P T 组 织 》 一 文 中 也 提 到 了 这 一 点 。 这 些 站 点 会 涉 及 的 恶 意 文 件 链 接 ， 指 向 不 同 的 域 名 （ 似 为 中 国 情 报 机 构 合 法 来 源 注 册 的 域 名 ） ， 其 中 主 要 的 几 个 域 名 均 指 向 两 个 I P 地 址 ： 2 1 2 . 8 3 . 1 4 6 . 3 ， 3 7 . 5 8 . 6 0 . 1 9 5 。 依 旧 通 过 依 旧 通 过 . p p s 和 和 . d o c 文 档 传 播 文 档 传 播
上 面 提 到 的 恶 意 站 点 主 要 提 供 的 恶 意 程 序 包 含 两 种 格 式 ， 分 别 是 . p p s 和 . d o c 文 档 — — 其 实 也 就 是 P o w e r P o i n t 和 W o r d 文 档 。 其 中 P P T 文 件 利 用 的 是 W i n d o w s   O L E   P a c k a g e   M a n a g e r 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 4 - 4 1 1 4 ） ； 而 W o r d 文 档 则 利 用 了 O f f i c e 内 存 破 坏 漏 洞 （ C V E - 2 0 1 5 - 1 6 4 1 ） — — 这 个 漏 洞 已 经 在 去 年 4 月 份 修 复 ； 另 外 还 有 C V E - 2 0 1 2 - 0 1 5 8 这 样 更 老 的 漏 洞 。 我 们 之 前 在 文 章 中 已 经 分 析 了 恶 意 P P T 文 件 对 W i n d o w s   O L E   P a c k a g e   M a n a g e r 远 程 代 码 执 行 漏 洞 的 利 用 。 在 此 ， 如 果 用 户 使 用 较 老 版 本 的 P o w e r P o i n t （ P o w e r P o i n t   2 0 1 6 之 前 的 版 本 ） 打 开 此 处 的 恶 意 P P T 文 件 ， 会 弹 出 一 个 警 告 对 话 框 （ 而 非 完 全 禁 止 恶 意 程 序 感 染 ） ， 如 下 图 所 示 。 这 个 对 话 框 询 问 用 户 是 否 想 要 打 开 d r i v e r . i n f ， 根 据 操 作 系 统 版 本 情 况 可 能 会 有 差 异 。 如 果 用 户 在 此 选 择 了 “ 打 开 ” ， 则 设 备 中 招 。 如 果 选 择 取 消 的 话 ， 系 统 就 不 会 被 感 染 。 打 开 P P T 文 件 的 话 ， 临 时 文 件 夹 中 就 会 出 现 B a c k d o o r . E n f o u r k s 木 马 。 恶 意 W o r d 文 件 在 对 C V E - 2 0 1 5 - 1 6 4 1 漏 洞 的 利 用 中 ， 则 会 释 放 B a c k d o o r . S t e l a d o k 。 这 两 个 后 门 木 马 家 族 还 是 需 要 等 待 攻 击 者 具 体 的 指 令 再 行 动 ， 其 具 体 用 途 在 于 对 文 件 进 行 搜 索 ， 将 文 件 上 传 到 指 定 服 务 器 。 尤 为 值 得 一 提 的 是 （ 赛 门 铁 克 原 话 是 ： f o r   u n k n o w n   r e a s o n ） ， 两 者 都 会 用 到 百 度 。 这 两 只 木 马 通 过 p i n g 百 度 服 务 器 的 方 式 来 确 认 网 络 连 接 （ ！ ！ ！ ） ， 并 且 在 注 册 表 中 用 b a i d u 的 名 字 创 建 注 册 表 随 机 启 动 项 。 这 两 个 不 同 的 文 件 实 际 上 包 含 两 套 不 同 的 p a y l o a d ， 可 见 开 发 团 队 应 该 不 是 一 个 人 ， 甚 至 有 可 能 是 多 个 开 发 团 队 协 力 （ 虽 然 貌 似 质 量 不 是 很 高 ） 。 有 关 恶 意 程 序 恶 意 行 为 和 查 杀 的 详 情 可 以 关 注 先 前 C y m m e t r i a 的 赛 门 铁 克 的 详 细 报 告 。
对 企 业 用 户 的 忠 告 其 实 还 是 那 几 句 话 ， 不 要 打 开 看 起 来 可 疑 的 邮 件 ， 如 果 邮 件 中 还 有 附 件 和 链 接 的 话 更 需 要 谨 慎 — — 毕 竟 具 有 高 度 针 对 性 的 钓 鱼 邮 件 是 网 络 间 谍 行 动 的 常 规 手 法 ； 另 外 就 是 保 持 操 作 系 统 和 软 件 版 本 最 新 ， 这 次 的 恶 意 程 序 主 要 还 是 利 用 一 些 比 较 老 的 漏 洞 。 *   参 考 来 源 ： S y m a n t e c   ， 欧 阳 洋 葱 编 译 ， 本 文 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理