搜索

[10665] 2016-10-31_APT攻击双城记：中国黑客干的？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-10-31_APT攻击双城记：中国黑客干的？ A P T 攻 击 双 城 记 ： 中 国 黑 客 干 的 ？ c l o u d s   F r e e B u f   2 0 1 6 - 1 0 - 3 1 * 声 明 ： 出 于 研 究 参 考 目 的 ， 本 文 为 T h r e a t C o n n e c t 报 告 编 译 ， 文 中 涉 及 的 观 点 和 立 场 不 代 表 本 网 站 观 点 和 立 场 。 这 是 最 好 的 时 代 ， 这 是 最 坏 的 时 代 。 最 近 ， 俄 罗 斯 对 美 国 和 其 它 国 际 组 织 开 展 的 这 是 最 好 的 时 代 ， 这 是 最 坏 的 时 代 。 最 近 ， 俄 罗 斯 对 美 国 和 其 它 国 际 组 织 开 展 的 A P T 攻 击 占 据 新 闻 头 条 ， 而 在 聚 光 灯 外 ， 攻 击 占 据 新 闻 头 条 ， 而 在 聚 光 灯 外 ， 中 国 的 中 国 的 A P T 攻 击 也 异 常 活 跃 。 攻 击 也 异 常 活 跃 。 2 0 1 6 年 6 月 ， 中 国 A P T 组 织 对 欧 洲 某 无 人 机 电 子 设 备 公 司 和 法 国 某 能 源 管 理 公 司 在 美 子 公 司 进 行 了 定 向 网 络 攻 击 ， 其 中 ， 法 国 某 能 源 管 理 公 司 长 期 为 美 国 政 府 和 国 防 部 开 展 基 础 设 施 建 设 ， 属 于 美 国 防 承 包 商 。 由 于 涉 及 无 人 机 技 术 和 美 国 军 方 ， 这 些 攻 击 明 显 出 于 经 济 利 益 和 军 事 情 报 目 的 。 利 用 T h r e a t C o n n e c t 入 侵 模 型 ， 我 们 围 绕 攻 击 使 用 的 恶 意 软 件 进 行 分 析 ， 发 现 其 中 多 个 域 名 调 用 与 2 0 1 5 年 与 中 国 相 关 的 A n t h e m 和 O P M 攻 击 事 件 相 关 。 虽 然 利 用 现 有 证 据 ， 无 法 准 确 归 因 到 某 个 中 国 A P T 组 织 ， 但 我 们 仍 高 度 怀 疑 是 中 国 国 家 支 持 黑 客 所 为 。
攻 击 技 术 ： 攻 击 技 术 ： H t t p B r o w s e r 后 门 后 门 2 0 1 6 年 6 月 8 日 ， 我 们 捕 获 了 M D 5 值 为 3 B E A 0 7 3 F A 5 0 B 6 2 C 5 6 1 C E D D 9 6 1 9 C D 8 4 2 5 的 恶 意 程 序 ， 该 恶 意 程 序 为 H t t p B r o w s e r 后 门 变 体 ， 是 E m i s s a r y   P a n d a （ A P T 2 7 T G - 3 3 9 0 ） 、 D y n a m i t e   P a n d a （ A P T 1 8 W e k b y T G 0 4 1 6 ） 等 中 国 A P T 组 织 使 用 的 攻 击 后 门 。 也 有 一 些 调 查 报 告 把 H t t p B r o w s e r 后 门 称 为 G t a l k 木 马 ， 根 据 趋 势 科 技 的 分 析 ， H t t p B r o w s e r 后 门 和 其 它 R A T 程 序 类 似 ， 在 目 标 系 统 内 生 成 一 个 反 向 连 接 控 制 进 程 ， 实 现 上 传 下 载 文 件 、 键 盘 记 录 等 功 能 。 一 些 杀 毒 软 件 对 H t t p B r o w s e r 后 门 的 检 测 率 很 低 ， 仅 能 凭 其 启 发 式 特 征 来 发 现 识 别 。 H t t p B r o w s e r 后 门 存 在 多 种 变 体 ， 而 在 该 样 本 中 ， 通 过 网 络 流 量 包 分 析 显 示 ， U s e r - A g e n t 原 本 字 段 “ H t t p B r o w s e r / 1 . 0 ” 被 替 换 为 “ M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   5 . 2 )   G e c k o / % l u   F i r e f o x / 3 . 0 . 1 ” ， 其 中 % l u 为 格 式 修 饰 符 ， 实 现 在 U s e r - A g e n t 字 段 追 加 一 个 无 符 号 长 整 型 数 据 。 该 恶 意 程 序 使 用 以 下 查 询 字 段 向 远 程 C & C 端 发 送 受 害 者 系 统 信 息 ： c o m p u t e r = < C O M P U T E R   N A M E > & l a n i p = < L A N I P > & u i d = < U n i q u e   I D > & o s = < O S   V E R S I O N > & r e l a y = < R E L A Y N U M B E R > & d a t a = < D A T A >
攻 击 架 构 ： 域 名 攻 击 架 构 ： 域 名 a d o b e s y s [ . ] c o m 和 其 它 攻 击 使 用 的 注 册 信 息 和 其 它 攻 击 使 用 的 注 册 信 息 利 用 T h r e a t C o n n e c t 系 统 W H O I S 查 询 功 能 ， 发 现 恶 意 程 序 回 连 域 名 a d o b e s y s [ . ] c o m 的 大 量 注 册 信 息 ， 如 通 过 中 国 网 络 服 务 商 注 册 ， 注 册 邮 箱 为 l i 2 3 8 4 8 2 6 4 0 2 [ @ ] y a h o o [ . ] c o m 。 而 该 邮 箱 与 2 0 1 5 年 攻 击 美 国 A n t h e m 和 O P M 的 A P T 组 织 D E E P   P A N D A 高 度 关 联 ， 进 一 步 为 此 次 攻 击 事 件 提 供 了 重 要 证 据 。 经 分 析 ， a d o b e s y s [ . ] c o m 域 名 对 应 两 个 I P 地 址 ： 1 7 3 . 2 3 1 . 1 1 [ . ] 2 4 和 1 8 5 . 9 2 . 2 2 2 [ . ] 8 1 ； 攻 击 者 使 用 的 另 一 个 域 名 n e w s o f t 2 [ . ] c o m 对 应 I P 地 址 1 8 5 . 9 2 . 2 2 2 [ . ] 8 1 ， W H O I S 信 息 显 示 ， n e w s o f t 2 [ . ] c o m 通 过 中 国 地 区 网 络 利 用 邮 箱 o m y n a m e @ g m a i l [ . ] c o m 进 行 注 册 。 攻 击 者 利 用 n e w s o f t 2 [ . ] c o m 配 合 a d o b e s y s [ . ] c o m 进 行 网 络 渗 透 活 动 。 攻 击 目 标 ： 两 家 公 司 攻 击 目 标 ： 两 家 公 司 在 该 案 例 中 ， 攻 击 者 只 关 注 小 范 围 的 特 定 目 标 。 我 们 与 合 作 伙 伴 通 过 网 络 流 量 分 析 和 攻 击 域 名 监 测 发 现 ， 中 国 A P T 组 织 使 用 H t t p B r o w s e r 后 门 ， 对 欧 洲 某 无 人 机 设 备 公 司 的 系 统 控 制 工 程 师 发 起 了 定 向 攻 击 。 另 外 ， 美 国 国 防 部 承 包 商 的 法 国 某 能 源 管 理 公 司 在 美 分 部 也 成 为 了 这 次 攻 击 的 目 标 ， 该 公 司 长 期 为 美 方 提 供 能 源 管 理 和 S C A D A 系 统 解 决 方 案 。 在 攻 击 发 现 后 ， 我 们 及 时 通 知 了 这 两 家 攻 击 公 司 ， 但 目 前 还 暂 时 无 法 确 定 是 否 造 成 了 数 据 泄 露 。                 攻 击 者 ： 老 练 的 攻 击 者 ： 老 练 的 “ 熊 猫 熊 猫 ” 组 织 组 织 虽 然 此 次 攻 击 手 法 与 E m i s s a r y   P a n d a 和 D y n a m i t e   P a n d a 高 度 一 致 ， 但 我 们 还 不 能 确 定 攻 击 者 具 体 属 于 哪 支 中 国 A P T 组 织 。 E m i s s a r y   P a n d a 和 D y n a m i t e   P a n d a 都 以 国 防 和 航 空 航 天 领 域 为 主 要 攻 击 目 标 ， E m i s s a r y   P a n d a 也 曾 对 能 源 领 域 开 展 过 入 侵 攻 击 。 根 据 S e c u r e W o r k s 报 告 ， E m i s s a r y   P a n d a 通 常 以 挂 马 攻 击 、 策 略 式 网 页 攻 击 或 水 坑 攻 击 为 主 要 技 术 ， 针 对 特 定 组 织 机 构 人 员 实 施 定 向 渗 透 。 另 外 ， 鱼 叉 式 钓 鱼 邮 件 也 是 E m i s s a r y   P a n d a 使 用 的 攻 击 手 段 。 社 会 社 会 - 政 治 因 素 ： 攻 击 动 机 讨 论 政 治 因 素 ： 攻 击 动 机 讨 论 在 2 0 1 5 年 中 美 双 方 承 诺 遵 守 反 对 经 济 间 谍 的 协 议 以 来 ， H t t p B r o w s e r 后 门 样 本 的 出 现 可 能 让 人 们 大 失 所 望 ， 虽 然 攻 击 目 标 为 法 国 公 司 ， 但 其 中 涉 及 美 国 利 益 ， 抑 或 者 中 国 可 以 声 称 ， 这 属 于 军 事 间 谍 范 畴 ， 并 不 违 反 去 年 中 美 协 定 。 相 比 之 下 ， 针 对 欧 洲 无 人 机 设 备 公 司 的 攻 击 就 属 于 典 型 的 经 济 间 谍 活 动 。 虽 然 中 国 的 大 疆 占 据 全 球 7 0 % 的 民 用 无 人 机 市 场 ， 但 随 着 无 人 机 商 业 经 济 的 持 续 增 长 ， 可 能 不 得 不 促 使 中 国 寻 求 与 其 它 竞 争 对 手 抗 衡 的 方 法 。 无 人 机 公 司 的 系 统 控 制 工 程 师 作 为 此 次 攻 击 的 开 始 ， 如 果 进 一 步 渗 透 ， 攻 击 者 会 获 取 更 多 无 人 机 相 关 的 知 识 产 权 、 敏 感 资 料 和 产 品 路 线 图 等 信 息 ， 之 后 ， 通 过 窃 取 资 料 ， 中 国 可 以 为 其 无 人 机 企 业 获 得 更 多 经 济 优 势 ： 整 合 竞 争 对 手 能 力 ， 缩 小 中 国 无 人 机 技 术 差 距 窃 取 竞 争 对 手 的 技 术 创 新 ， 先 于 竞 争 对 手 实 现 产 品 与 竞 争 对 手 抢 占 金 融 市 场 或 市 场 定 价 了 解 竞 争 对 手 的 商 业 和 研 究 计 划
经 济 间 谍 活 动 的 演 化 ？ 经 济 间 谍 活 动 的 演 化 ？ 近 年 来 ， 虽 然 中 国 的 网 络 经 济 间 谍 活 动 不 太 明 显 ， 但 可 以 肯 定 的 是 这 并 没 有 结 束 ， 这 些 攻 击 活 动 可 能 已 经 演 变 成 巩 固 其 市 场 地 位 的 方 式 存 在 。 从 某 种 程 度 上 来 说 ， 巩 固 中 国 公 司 在 国 际 市 场 上 占 据 主 导 地 位 的 方 式 ， 可 能 是 其 经 济 间 谍 活 动 的 转 向 。 就 像 中 国 长 期 针 对 美 国 钢 铁 企 业 开 展 的 A P T 攻 击 一 样 ， 让 其 世 界 钢 铁 产 量 占 比 从 2 0 0 0 年 的 1 5 % 上 升 到 了 2 0 1 5 年 的 5 0 % 。                 * * 参 考 来 源 ： T h r e a t C o n n e c t ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理