搜索

[10520] 2016-09-20_兔子洞能装得下一只熊吗？对美国州立选举委员会网络攻击事件的调查

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2016-09-20_兔子洞能装得下一只熊吗？对美国州立选举委员会网络攻击事件的调查 兔 子 洞 能 装 得 下 一 只 熊 吗 ？ 对 美 国 州 立 选 举 委 员 会 网 络 攻 击 事 件 的 调 查 c l o u d s   F r e e B u f   2 0 1 6 - 0 9 - 2 0 据 据 F B I 调 查 发 现 ， 伊 利 诺 伊 州 及 亚 利 桑 那 州 选 举 委 员 会 被 黑 客 入 侵 ， 大 量 选 民 信 息 被 窃 取 。 经 调 查 发 现 ， 伊 利 诺 伊 州 及 亚 利 桑 那 州 选 举 委 员 会 被 黑 客 入 侵 ， 大 量 选 民 信 息 被 窃 取 。 经 T h r e a t C o n n e c t 分 析 ， 确 认 黑 分 析 ， 确 认 黑 客 攻 击 美 国 两 个 州 立 选 举 委 员 会 使 用 的 俄 罗 斯 网 络 架 构 ， 与 针 对 乌 克 兰 和 土 耳 其 政 府 的 钓 鱼 攻 击 活 动 相 关 。 客 攻 击 美 国 两 个 州 立 选 举 委 员 会 使 用 的 俄 罗 斯 网 络 架 构 ， 与 针 对 乌 克 兰 和 土 耳 其 政 府 的 钓 鱼 攻 击 活 动 相 关 。 早 前 ， 安 全 公 司 早 前 ， 安 全 公 司 C r o w d S t r i k e 调 查 声 称 名 为 调 查 声 称 名 为 C O Z Y   B E A R 和 和 F A N C Y   B E A R 的 俄 罗 斯 黑 客 组 织 对 美 国 民 主 党 委 员 会 （ 的 俄 罗 斯 黑 客 组 织 对 美 国 民 主 党 委 员 会 （ D N C ） 进 ） 进 行 了 入 侵 攻 击 。 行 了 入 侵 攻 击 。 1   概 要 概 要 在 F B I 的 调 查 报 告 中 ， 我 们 发 现 了 很 多 指 向 俄 罗 斯 的 高 度 相 关 证 据 ， 攻 击 中 采 用 的 大 量 开 源 工 具 和 网 络 架 构 都 能 间 接 归 因 俄 罗 斯 ， 但 我 们 无 法 确 定 攻 击 是 否 为 网 络 犯 罪 或 国 家 支 持 ， 也 不 能 确 认 其 它 州 立 选 举 委 员 会 是 否 还 受 到 攻 击 。 在 F B I 的 公 告 中 ， I P   5 . 1 4 9 . 2 4 9 . 1 7 2 与 针 对 土 耳 其 执 政 党 A K P 、 乌 克 兰 议 会 和 德 国 自 由 党 人 士 相 关 的 鱼 叉 式 钓 鱼 攻 击 有 关 ， 这 些 攻 击 发 生 于 2 0 1 6 年 3 月 到 8 月 之 间 ， 并 且 ， 接 近 I P   5 . 1 4 9 . 2 4 9 . 1 7 2 范 围 的 其 它 I P 曾 与 俄 罗 斯 相 关 A P T 攻 击 有 关 。 虽 然 我 们 不 能 确 定 幕 后 攻 击 者 或 组 织 ， 但 所 有 这 些 关 联 证 据 都 指 向 国 家 支 持 的 黑 客 攻 击 。 7 月 中 旬 ， 维 基 解 密 公 布 了 不 明 渠 道 从 土 耳 其 执 政 党 A K P 系 统 获 取 的 大 约 3 0 万 封 邮 件 。 如 果 是 俄 罗 斯 A P T 黑 客 干 的 ， 那 么 间 接 说 明 这 些 攻 击 与 俄 近 期 对 美 高 度 的 政 治 关 注 一 致 ； 针 对 土 耳 其 A K P 党 的 攻 击 ， 可 以 为 俄 罗 斯 提 供 东 欧 或 叙 利 亚 问 题 相 关 情 报 ， 当 然 ， 那 些 邮 件 也 能 为 公 开 诋 毁 政 客 发 挥 一 定 作 用 。 下 图 是 我 们 利 用 钻 石 模 型 对 这 系 列 攻 击 的 分 析 ， 图 片 中 间 位 置 为 两 个 州 立 选 举 委 员 会 被 攻 击 的 相 关 信 息 ， 延 伸 出 来 的 标 注 框 内 是 我 们 发 现 和 关 联 的 归 因 信 息 。
2   与 俄 罗 斯 相 关 的 间 接 证 据 与 俄 罗 斯 相 关 的 间 接 证 据 8 个 相 关 I P 中 有 6 个 隶 属 俄 罗 斯 主 机 托 管 服 务 商 K i n g   S e r v e r s ； 网 络 服 务 提 供 商 F o r t U n i x 所 属 I P   5 . 1 4 9 . 2 4 9 . 1 7 2 曾 在 2 0 1 5 年 1 月 至 5 月 托 管 过 一 个 俄 语 网 络 犯 罪 论 坛 ； 网 络 服 务 提 供 商 F o r t U n i x 所 属 的 其 它 I P ， 被 发 现 与 乌 克 兰 电 网 和 新 闻 媒 体 的 D D O S 攻 击 相 关 ； A c u n e t i x 和 S Q L 注 入 工 具 的 使 用 手 法 与 俄 相 关 匿 名 黑 客 ( @ a n p o l a n d ) 入 侵 国 际 体 育 仲 裁 法 庭 相 似 。 俄 罗 斯 网 站 托 管 服 务 商 俄 罗 斯 网 站 托 管 服 务 商 F B I 调 查 报 告 中 提 及 的 6 个 物 理 地 址 位 于 荷 兰 和 美 国 的 相 关 I P ， 隶 属 于 俄 罗 斯 V P S / V D S 托 管 服 务 商 K i n g   S e r v e r s 。
K i n g   S e r v e r s 网 站 的 历 史 域 名 信 息 显 示 ， 注 册 人 为 来 自 俄 罗 斯 比 斯 克 的 “ V l a d i m i r   F o m e n k o ” ， 他 还 有 L i n k e d I n 账 户 。 T o r 中 继 节 点 中 继 节 点 8 月 ， F B I 对 外 宣 称 国 家 支 持 黑 客 对 “ 一 个 州 立 选 举 委 员 会 系 统 ” 发 起 了 入 侵 攻 击 。 该 阶 段 ， 隶 属 于 K i n g   S e r v e r 的 I P   1 8 5 . 1 0 4 . 9 [ . ] 3 9 正 被 当 作 T o r 中 继 节 点 使 用 ， 该 节 点 使 用 昵 称 “ v i l l a r i b a ”   运 行 。 通 常 ， 攻 击 者 使 用 T o r 网 络 活 动 链 的 最 终 I P 作 为 保 存 真 实 信 息 的 出 口 节 点 ， 很 显 然 ， 攻 击 者 可 能 正 控 制 或 利 用 1 8 5 . 1 0 4 . 9 [ . ] 3 9 作 为 中 继 节 点 运 行 其 它 代 理 服 务 。
俄 语 网 络 犯 罪 论 坛 俄 语 网 络 犯 罪 论 坛 I O C 隶 属 于 F o r t U n i x 的 I P   5 . 1 4 9 . 2 4 9 [ . ] 1 7 2 曾 托 管 过 域 名 为 r u b r o . c c 的 网 络 犯 罪 论 坛 ， 历 史 镜 像 显 示 2 0 1 5 年 8 月 1 3 日 ， 该 论 坛 以 H T T P   3 0 1 错 误 跳 转 到 另 一 个 名 为 M a r k e T   R U B R O   L t d 的 俄 语 网 络 犯 罪 网 站 h t t p s : / / r u b r o . b i z /
B l a c k E n e r g y 攻 击 架 构 与 攻 击 架 构 与 F o r t U n i x 有 关 有 关 网 络 服 务 提 供 商 F o r t U n i x 另 两 个 位 于 荷 兰 的 I P   5 . 1 4 9 . 2 5 4 [ . ] 1 1 4 和 5 . 1 4 9 . 2 4 8 [ . ] 6 7 在 之 前 的 安 全 报 告 中 显 示 ， 曾 与 B l a c k E n e r g y 攻 击 相 关 ， 其 它 F o r t U n i x   I P 曾 发 起 了 针 对 乌 克 兰 电 网 和 媒 体 的 D D O S 攻 击 。 开 源 工 具 的 使 用 开 源 工 具 的 使 用 F B I 调 查 报 告 显 示 ， 攻 击 者 使 用 黑 客 工 具 A c u n e t i x 和 S Q L m a p 对 美 国 州 立 选 举 委 员 会 进 行 攻 击 渗 透 ， 这 些 工 具 的 T T P S 手 法 与 攻 击 国 际 体 育 仲 裁 委 员 会 的 俄 罗 斯 A P T 组 织 类 似 。 3     I P   5 . 1 4 9 . 2 4 9 . 1 7 2 曾 托 管 针 对 土 耳 其 和 乌 克 兰 政 府 的 鱼 叉 式 攻 击 服 务 曾 托 管 针 对 土 耳 其 和 乌 克 兰 政 府 的 鱼 叉 式 攻 击 服 务 通 过 被 动 D N S 记 录 分 析 发 现 ， 在 美 国 州 立 选 举 委 员 会 被 攻 击 的 同 时 期 ， I P   5 . 1 4 9 . 2 4 9 . 1 7 2 托 管 着 两 个 网 站 a k p a r t l . i n f o [ . ] t r 和 s u p p o r t m a i l . b i z [ . ] t r ， a k p a r t l . i n f o [ . ] t r 用 来 仿 冒 土 耳 其 执 政 党 A K P 真 实 网 站 a k p a r t i . o r g [ . ] t r ， 在 本 报 告 撰 写 期 间 ， 该 仿 冒 网 站 跳 转 到 了 一 个 合 法 网 站 a k p a r t i i s t a n b u l [ . ] c o m 。
该 仿 冒 网 站 甚 至 还 通 过 莫 斯 科 邮 件 服 务 商 Y a n d e x 开 通 了 邮 件 服 务 域 名 m a i l . a k p a r t l . i n f o [ . ] t r ， 运 行 S M T P 邮 件 服 务 。 以 上 两 个 域 名 都 注 册 于 2 0 1 6 年 1 月 ， 之 后 通 过 i p   5 . 1 4 9 . 2 4 9 . 1 7 2 进 行 解 析 和 操 作 ， 维 基 解 密 近 期 泄 露 的 A K P 邮 件 可 能 与 此 相 关 ， 为 了 确 定 i p   5 . 1 4 9 . 2 4 9 . 1 7 2 与 泄 露 源 之 间 的 实 质 性 关 联 ， 我 们 还 需 深 入 对 域 名 a k p a r t l . i n f o [ . ] t r 进 行 观 察 分 析 。 4   其 它 深 入 的 发 现 其 它 深 入 的 发 现 经 分 析 发 现 ， a k p a r t l . i n f o [ . ] t r 下 还 有 多 个 子 域 名 ， 其 中 就 包 含 一 个 由 钓 鱼 网 站 测 试 套 件 P h i s h i n g   F r e n z y 生 成 的 实 例 网 站 ： k s d a f o i u f 9 w 5 4 y g d j o i . a k p a r t l . i n f o [ . ] t r
在 网 站 链 接 h x x p : / / k s d a f o i u f 9 w 5 4 y g d j o i . a k p a r t l . i n f o [ . ] t r / l e t t e r _ o p e n e r 下 ， 我 们 发 现 了 攻 击 者 发 送 的 钓 鱼 邮 件 ： 在 2 0 1 6 年 3 月 2 2 日 至 8 月 3 日 之 间 ， 攻 击 者 共 发 送 了 1 1 3 封 钓 鱼 邮 件 ， 其 中 大 部 分 在 3 月 2 2 日 至 4 月 2 0 日 间 发 送 ：
在 发 现 的 3 4 个 受 害 者 邮 件 地 址 中 ， a l i . b o l d u i n [ @ ] y a n d e x [ . ] c o m   和 d e p u t a t . b a b i y [ @ ] g m a i l [ . ] c o m 在 早 期 的 发 送 邮 件 中 比 较 常 见 和 独 特 ， 经 分 析 ， 我 们 确 定 这 是 攻 击 者 用 来 互 相 测 试 攻 击 效 果 的 邮 件 地 址 。 在 1 1 3 封 钓 鱼 邮 件 中 ， 4 8 封 为 G m a i l 主 题 ， 至 少 1 6 封 与 A K P 相 关 ， 1 封 与 L i n k e d I n 相 关 ， 另 外 1 封 与 I n t e l 公 司 相 关 ， 其 余 都 是 围 绕 目 标 受 害 者 机 构 或 兴 趣 而 专 门 设 计 的 。 发 件 箱 中 有 土 耳 其 语 、 乌 克 兰 语 、 德 语 和 英 语 4 种 语 言 相 关 的 发 送 邮 件 。 通 过 分 析 ， 这 些 鱼 叉 式 钓 鱼 邮 件 的 攻 击 目 标 主 要 为 A K P 党 、 乌 克 兰 议 会 和 德 国 自 由 党 的 相 关 人 士 ， 在 这 些 攻 击 目 标 中 ， 有 1 6 名 A K P 党 官 员 出 现 在 7 月 1 9 日 维 基 解 密 泄 露 的 邮 件 中 。 以 下 为 一 些 鱼 叉 式 钓 鱼 邮 件 样 例 ：

其 中 ， G m a i l 主 题 的 邮 件 中 ， 大 致 意 思 为 ： 另 外 ， 大 部 分 涉 及 到 账 户 信 息 窃 取 的 钓 鱼 邮 件 都 指 向 一 个 钓 鱼 网 站 子 域 名 s r v d d d [ . ] c o m ， 如 下 所 示 ： “ H e l l o   u s e r ! Y o u r   a c c o u n t   i s   b l o c k e d   f o r   v i o l a t i n g   o f   t e r m s   o f   s e r v i c e   o f   o u r   c o m p a n y . I n   t h e   p e r i o d   f r o m 0 3 / 2 9 / 2 0 1 6   t o   0 4 / 0 1 / 2 0 1 6   i t   w a s   o b s e r v e d   t h a t   y o u r   a c c o u n t   h a s   s e n t   m a s s   e m a i l   a d v e r t i s e m e n t s . P e r h a p s   y o u   d i d   n o t ,   a n d   a t t a c k e r s   u s i n g   s p e c i a l   p r o g r a m s   t o   s e n d   s p a m ,   u s e d   y o u r   d a t a   ( e m a i l   a d d r e s s ,   n a m e ) .   I f   y o u   h a v e   n o t   s e n t   a n y   e m a i l s ,   g o   t o   t h i s   l i n k   a n d   f o l l o w   t h e   i n s t r u c t i o n s . Y o u r   a c c o u n t   i s   u n d e r   c o n t r o l . Y o u   c a n   v i e w   a n d   a d j u s t   y o u r   p r i v a c y   s e t t i n g s   a t   a n y   t i m e   i n   Y o u r   a c c o u n t   . . D o   n o t   r e p l y   t o   t h i s   l e t t e r .   I f   y o u   h a v e   a n y   q u e s t i o n s ,   p l e a s e   c o n t a c t   t e c h n i c a l   s u p p o r t . T e c h n i c a l   S e r v i c e s   M a n a g e r ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理