搜索

[11049] 2017-02-21_伊朗黑客对中东发起名为MagicHound的网络间谍行为

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2017-02-21_伊朗黑客对中东发起名为MagicHound的网络间谍行为 伊 朗 黑 客 对 中 东 发 起 名 为 M a g i c   H o u n d 的 网 络 间 谍 行 为 孙 毛 毛   F r e e B u f   2 0 1 7 - 0 2 - 2 1 近 期 ， 安 全 研 究 人 员 发 现 被 称 为 近 期 ， 安 全 研 究 人 员 发 现 被 称 为 M a g i c   H o u n d 的 网 络 间 谍 行 为 与 伊 朗 黑 客 和 的 网 络 间 谍 行 为 与 伊 朗 黑 客 和 S h a m o o n   2 恶 意 软 件 有 关 。 恶 意 软 件 有 关 。 针 对 中 东 的 间 谍 行 为 针 对 中 东 的 间 谍 行 为 来 自 P a l o   A l t o   N e t w o r k s 的 安 全 专 家 最 近 发 现 了 一 个 与 伊 朗 有 关 的 最 新 网 络 间 谍 行 为 ， 攻 击 目 标 主 要 是 一 些 中 东 组 织 。 这 个 被 称 为 M a g i c   H o u n d 网 络 间 谍 行 为 可 以 追 溯 到 2 0 1 6 年 中 期 ， 入 侵 者 对 中 东 表 现 出 了 极 大 的 兴 趣 ， 被 攻 击 的 能 源 、 政 府 以 及 科 技 公 司 都 恰 巧 位 于 沙 特 阿 拉 伯 。 在 入 侵 过 程 中 攻 击 者 使 用 了 多 种 多 样 的 自 定 义 工 具 以 及 被 称 为 P u p y 的 开 源 跨 平 台 远 程 访 问 工 具 （ R A T ） 。 戴 尔 旗 下 安 全 公 司 S e c u r e W o r k s 的 分 析 报 告 中 提 到 ： “ 据 开 发 人 员 所 说 ， P u p y R A T 是 一 个 主 要 用 P y t h o n 语 言 写 的 多 平 台 （ W i n d o w s 、 L i n u x 、 O S X 、 A n d r o i d ） 、 多 功 能 的 p o s t - e x p l o i t a t i o n 工 具 。 C T U （ S e c u r e W o r k s 的 威 胁 应 对 部 门 C o u n t e r   T h r e a t   U n i t   ） 经 分 析 证 实 P u p y R A T 会 给 受 害 者 系 统 造 成 极 大 威 胁 ， 入 侵 者 可 获 取 完 全 访 问 用 户 系 统 。 ” P u p y R A T 所 带 来 的 威 胁 包 括 不 同 类 型 的 自 定 义 工 具 ， 其 中 有 d r o p p e r s 、   d o w n l o a d e r s 、 可 执 行 载 入 程 序 （ e x e c u t a b l e   l o a d e r s ） 、 文 件 载 入 程 序 （ d o c u m e n t   l o a d e r s ） 和 I R C （ I n t e r n e t   R e a l l y   C h a t ）   b o t s 。 P a l o   A l t o   N e t w o r k s 报 告 中 这 样 分 析 道 ： “ 从 2 0 1 6 年 中 开 始 ， 我 们 发 现 了 针 对 中 东 的 持 续 性 攻 击 行 为 ， 我 们 将 此 事 件 命 名 为 M a g i c   H o u n d 。 基 于 被 攻 击 的 组 织 集 中 在 能 源 、 政 府 和 科 技 领 域 ， 入 侵 的 目 标 看 起 来 更 像 是 一 种 间 谍 行 为 。 ” “ 联 系 分 析 基 础 设 施 和 工 具 也 揭 露 出 了 M a g i c   H o u n d 和 敌 对 组 织 R o c k e t   K i t t e n 之 前 的 一 些 潜 在 联 系 ， 同 样 还 牵 扯 到 过 去 被 称 为   N e w s c a s t e r s 的 间 谍 行 为 。 R o c k e t   K i t t e n 又 名 O p e r a t i o n   S a f f r o n   R o s e 、 A j a x   S e c u r i t y   T e a m 或 O p e r a t i o n   W o o l e n - G o l d f i s h 。 ” 与 与 S h a m o o n   2 的 关 系 的 关 系
M a g i c   H o u n d 背 后 的 入 侵 者 先 在 W o r d 和 E x c e l 文 件 中 嵌 入 恶 意 宏 ， 然 后 再 利 用 P o w e r S h e l l 下 载 或 执 行 附 加 工 具 。 用 来 作 诱 饵 的 文 件 会 被 伪 装 成 节 日 祝 福 卡 、 工 作 机 会 或 沙 特 阿 拉 伯 商 业 部 或 卫 生 部 发 出 的 政 府 官 方 文 件 。 在 检 测 过 程 中 ， 研 究 人 员 也 有 意 外 之 喜 ， 他 们 发 现 M a g i c   H o u n d 使 用 的 一 些 域 恰 巧 和 I B M   X - F o r c e 的 专 家 在 研 究 S h a m o o n   2 攻 击 链 过 程 中 所 发 现 的 域 一 样 。 P a l o   A l t o   N e t w o r k s 的 专 家 分 析 ， M a g i c   H o u n d 中 利 用 的 I R C   b o t 中 的 恶 意 软 件 片 段 与 之 前 N e w s c a s t e r （ 又 叫 做 C h a r m i n g   K i t t e n 和 N e w s B e e f ） 事 件 中 所 用 的 十 分 类 似 。 N e w s c a s t e r 是 伊 朗 黑 客 使 用 多 个 虚 构 出 来 的 社 交 媒 体 账 号 （ 包 括 F a c e b o o k 、 T w i t t e r 、 L i n k e d I n 和 Y o u t u b e 等 ） 试 图 窃 取 超 过 2 0 0 0 个 账 号 信 息 的 间 谍 活 动 ， 此 举 针 对 美 国 一 些 政 府 高 官 、 以 色 列 以 及 其 他 一 些 国 家 的 政 府 相 关 人 员 。 伊 朗 的 黑 客 最 近 也 不 是 一 般 的 活 跃 ， 无 论 是 C h a r m i n g   K i t t e n 还 是 R o c k e t   K i t t e n ， 最 近 还 在 分 析 某 个 会 泄 露 M a c 系 统 电 脑 数 据 的 M a c D o w n l o a d e r 中 被 发 现 。 关 于 I B M 发 布 的 S h a m o o n 恶 意 软 件 的 攻 击 流 程 细 节 ， 请 关 注 F r e e b u f 小 编 k u m a 的 详 细 分 析 。 * 参 考 来 源 ： s e c u r i t y a f f a i r s ， F B 小 编 孙 毛 毛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理