搜索

[10407] 2016-08-19_EquationGroup泄露文件分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-08-19_EquationGroup泄露文件分析 E q u a t i o n   G r o u p 泄 露 文 件 分 析 白 泽 安 全 团 队   F r e e B u f   2 0 1 6 - 0 8 - 1 9 * 本 文 原 创 作 者 ： 白 泽 安 全 团 队 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 从 这 几 天 网 上 公 开 的 信 息 和 材 料 分 析 ， 美 国 的 N S A 很 可 能 已 经 被 黑 。 一 个 名 为 一 个 名 为 “ T h e   S h a d o w B r o k e r s ” 的 黑 客 组 织 声 称 他 们 黑 进 了 方 程 式 黑 客 组 织 （ 的 黑 客 组 织 声 称 他 们 黑 进 了 方 程 式 黑 客 组 织 （ E q u a t i o n   G r o u p ） ） – 一 个 据 称 与 美 国 情 报 机 构 国 一 个 据 称 与 美 国 情 报 机 构 国 家 安 全 局 （ 家 安 全 局 （ N S A ） 有 关 系 的 网 络 攻 击 组 织 ， 并 下 载 了 他 们 大 量 的 攻 击 工 具 （ 包 括 恶 意 软 件 、 私 有 的 攻 击 框 架 及 其 它 攻 击 工 ） 有 关 系 的 网 络 攻 击 组 织 ， 并 下 载 了 他 们 大 量 的 攻 击 工 具 （ 包 括 恶 意 软 件 、 私 有 的 攻 击 框 架 及 其 它 攻 击 工 具 ） 。 具 ） 。 上 周 末 它 们 在 网 上 公 布 了 部 分 的 资 料 ， 并 发 起 了 一 次 拍 卖 ， 声 明 在 收 到 1 0 0 万 个 比 特 币 （ 当 前 价 值 约 为 5 . 6 亿 刀 ） 后 将 公 布 剩 余 的 资 料 。 许 多 人 员 从 对 已 公 开 资 料 的 分 析 判 断 ， T h e   S h a d o w   B r o k e r s 在 网 上 公 布 的 资 料 具 有 比 较 高 的 真 实 性 。 文 件 下 载 地 址 ： 文 件 下 载 地 址 ： h t t p s : / / m e g a . n z / # ! z E A U 1 A Q L ! o W J 6 3 n - D 6 l C u C Q 4 A Y 0 C v _ 4 0 5 h X 8 k n 7 M E s a 1 i L H 5 U j K U 下 载 并 解 压 缩 文 件 后 ， 其 中 有 两 个 重 要 的 文 件 ， “ e q g r p - f r e e - f i l e . t a r . x z . g p g “ 和 ” e q g r p - a u c t i o n - f i l e . t a r . x z . g p g “ 。 两 个 文 件 都 被 使 用 G P G 加 密 算 法 加 密 了 ， 第 一 个 根 据 提 供 的 密 码 可 以 被 解 密 出 来 ， 第 二 个 要 等 拍 卖 结 束 后 他 们 才 会 将 解 密 密 钥 发 给 最 高 竞 标 者 。 他 们 描 述 说 第 二 个 加 密 文 件 包 含 了 更 有 价 值 的 内 容 。 （ 其 他 几 个 文 件 为 签 名 校 验 ， 可 自 行 校 验 ）
可 使 用 支 持 G P G 算 法 的 工 具 解 密 “ e q g r p - f r e e - f i l e . t a r . x z . g p g “ 文 件 ， 工 具 下 载 链 接 ： h t t p s : / / f i l e s . g p g 4 w i n . o r g / g p g 4 w i n - 2 . 3 . 2 . e x e ， 解 密 密 码 ： t h e e q u a t i o n g r o u p 。 解 密 并 解 压 缩 “ e q g r p - f r e e - f i l e . t a r . x z . g p g “ 文 件 后 ， 可 以 看 到 里 面 有 个 F i r e w a l l 的 文 件 夹 。 从 文 件 夹 的 名 称 可 以 得 出 目 前 公 布 的 资 料 应 该 都 是 针 对 防 火 墙 设 备 的 。 分 析 各 文 件 夹 名 称 及 内 容 ， 各 自 对 应 的 信 息 如 下 所 示 ： l       O P S   – 攻 击 操 作 控 制 工 具 包 ； l       B A N A N A G L E E –   C i s c o   &   J u n i p e r   D e v i c e s ； l       B A R G L E E – J u n i p e r   N e t s c r e e n   D e v i c e s ； l       B L A T S T I N G   – 穷 举 爆 破 ； l       B U Z Z D I R E C T I O N – 远 控 脚 本 ， 此 文 件 夹 内 含 两 个 相 同 功 能 、 不 同 版 本 的 脚 本 ； l       E X P L O I T S – 各 目 标 系 统 漏 洞 的 利 用 代 码 ； l       S C R I P T S –   攻 击 脚 本 资 源 引 用 库 ； l       T O O L S –   辅 助 工 具 包 ( 编 码 转 换 、 I P 格 式 转 换 、 加 密 解 密 装 换 等 等 ) ； l       T U R B O – 一 些 不 同 版 本 的 二 进 制 文 件 。 写 个 脚 本 把 目 录 下 的 所 有 文 件 遍 历 下 ， 列 出 各 文 件 创 建 时 间 ， 排 序 下 可 以 判 断 最 早 的 文 件 创 建 于 2 0 0 9 年 ， 最 晚 的 创 建 于 2 0 1 3 年 ， 且 2 0 1 3 年 创 建 的 文 件 最 多 。
在 B A N A N A G L E E / I n s t a l l / S C P / 文 件 夹 下 ， 可 以 看 到 很 多 a s a 开 头 的 文 件 ， 基 本 可 以 判 断 这 些 型 号 的 C I S C O 防 火 墙 均 受 影 响 。 同 样 ， 在 B A N A N A G L E E 及 B A R G L E E 文 件 夹 下 ， 还 可 以 找 到 针 对 其 他 厂 商 的 防 火 墙 文 件 。 在 各 I n s t a l l 文 件 夹 下 ， 都 有 一 个 L P 文 件 夹 ， 里 面 都 是 针 对 各 防 火 墙 型 号 的 攻 击 脚 本 ， 有 p l 、 p y 、 s h 和 其 他 可 执 行 文 件 几 种 类 型 。 从 执 行 脚 本 时 给 出 的 提 示 可 以 大 概 感 受 到 脚 本 的 厉 害 ， 而 具 体 的 利 用 方 法 还 需 要 进 一 步 研 究 。
在 E X P L O I T S 文 件 夹 中 ， 可 以 看 到 有 以 下 子 文 件 夹 ： 从 目 前 已 知 的 分 析 结 果 来 看 ， 各 子 文 件 夹 对 应 的 防 火 墙 信 息 如 下 ： （ 天 融 信 也 在 其 中 ） l       E G B L   =   E G R E G I O U S   B L U N D E R   ( F o r t i g a t e   F i r e w a l l   +   H T T P D   e x p l o i t   ( a p p a r e n t l y   2 0 0 6   C V E   ) l       E L B A   =   E L I G I B L E   B A C H E L O R l       E L B O   =   E L I G I B L E   B O M B S H E L L   ( C h i n e s e   T O P S E C   f i r e w a l l   v e r s i o n s   3 . 3 . 0 0 5 . 0 5 7 . 1 t o   3 . 3 . 0 1 0 . 0 2 4 . 1 ) l       E L C A   =   E L I G I B L E   C A N D I D A T E l       E L C O   =   E L I G I B L E   C O N T E S T A N T l       E P B A   =   E P I C   B A N A N A l       E S P L   =   E S C A L A T E   P L O W M A N l       E X B A   =   E X T R A   B A C O N   ( C i s c o   A d a p t i v e   S e c u r i t y   A p p l i a n c e   v 8 . 0   t o   v 8 . 4 )
各 子 文 件 夹 内 都 是 具 体 的 利 用 脚 本 ， 里 面 说 明 了 各 脚 本 支 持 的 攻 击 目 标 版 本 。 而 所 有 的 攻 击 手 法 和 利 用 方 法 ， 都 还 需 进 一 步 研 究 。 最 后 ， 在 S C R I P T S 文 件 夹 下 ， 有 个 t u n n e l . p y 的 文 件 ， 里 面 有 段 代 码 图 ， 很 好 的 描 述 了 t u n n e l 攻 击 的 流 程 ： 穿 透 防 火 墙 ， 直 达 内 网 目 标 。 （ 从 截 图 的 最 后 一 行 注 释 来 看 ， 难 道 高 级 模 式 还 没 完 成 ？ 而 其 代 码 部 分 确 实 是 与 s i m p l e 模 式 是 相 同 的 。 ）
根 据 最 新 消 息 ， C i s c o 已 经 确 认 了 泄 露 文 件 中 的 一 个 S N M P   0 d a y 漏 洞 ， 利 用 该 漏 洞 可 重 载 系 统 或 远 程 执 行 命 令 ， 但 目 前 仍 未 发 布 修 复 补 丁 。 而 F o r t i n e t 也 表 明 低 于 4 . x 版 本 的 防 火 墙 也 受 T h e   S h a d o w   B r o k e r s 所 泄 露 漏 洞 的 影 响 ， 建 议 用 户 升 级 至 5 . x 版 本 。 以 上 ， 从 目 前 已 知 的 情 况 来 看 ， 如 果 此 次 公 布 的 资 料 都 是 真 的 （ 可 信 度 极 高 ） ， 这 又 将 是 一 次 严 重 的 安 全 事 件 ， 媲 美 甚 至 将 超 过 去 年 发 生 的 H a c k i n g   T e a m 事 件 的 影 响 。 包 括 美 国 的 思 科 、 J u n i p e r 、 F o r t i n e t 及 中 国 的 天 融 信 等 公 司 在 内 的 众 多 路 由 器 和 防 火 墙 设 备 都 将 受 到 安 全 威 胁 。 而 具 体 的 影 响 目 前 还 无 法 评 估 ， 我 们 将 继 续 深 入 跟 踪 此 事 件 的 进 展 和 影 响 。 * 本 文 原 创 作 者 ： 白 泽 安 全 团 队 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理