搜索

[12032] 2017-11-20_美国US-CERT发布朝鲜黑客组织HIDDENCOBRA网络攻击架构中涉及中国IP地址

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-11-20_美国US-CERT发布朝鲜黑客组织HIDDENCOBRA网络攻击架构中涉及中国IP地址 美 国 U S - C E R T 发 布 朝 鲜 黑 客 组 织 H I D D E N   C O B R A 网 络 攻 击 架 构 中 涉 及 中 国 I P 地 址 c l o u d s   F r e e B u f   2 0 1 7 - 1 1 - 2 0 近 期 ， 美 国 计 算 机 应 急 响 应 中 心 近 期 ， 美 国 计 算 机 应 急 响 应 中 心   U S - C E R T   叕 发 布 了 叕 发 布 了   D H S   和 和   F B I   针 对 朝 鲜 政 府 黑 客 组 织 针 对 朝 鲜 政 府 黑 客 组 织 H I D D E N   C O B R A 的 联 合 技 术 分 析 预 警 （ 的 联 合 技 术 分 析 预 警 （ T A 1 7 - 3 1 8 A ） ， 预 警 中 详 细 披 露 了 ） ， 预 警 中 详 细 披 露 了   H I D D E N   C O B R A   用 于 网 络 渗 透 攻 击 的 远 控 工 具 用 于 网 络 渗 透 攻 击 的 远 控 工 具 - F A L L C H I L L 。 。 U S - C E R T   称 ， 称 ， D H S   和 和   F B I   与 其 它 美 国 政 府 机 构 联 合 分 析 ， 通 过 网 络 与 其 它 美 国 政 府 机 构 联 合 分 析 ， 通 过 网 络 I P 地 址 和 相 关 入 侵 指 标 地 址 和 相 关 入 侵 指 标 （ （   I O C ） 共 同 识 别 出 了 ） 共 同 识 别 出 了 F A L L C H I L L 利 用 的 网 络 攻 击 架 构 。 经 初 步 分 析 ， 利 用 的 网 络 攻 击 架 构 。 经 初 步 分 析 ， D H S 和 和 F B I 识 别 的 识 别 的 F A L L C H I L L 网 网 络 攻 击 架 构 中 包 含 了 络 攻 击 架 构 中 包 含 了 5 个 注 册 地 为 中 国 的 个 注 册 地 为 中 国 的 I P 地 址 ， 以 及 一 个 地 址 ， 以 及 一 个 . g o v . c n 的 网 站 。 的 网 站 。 预 警 概 述 预 警 概 述 F B I 高 度 确 信 入 侵 指 标 文 件 （   I O C . c s v ） 中 提 及 的 8 7 个 I P 地 址 为 H I D D E N   C O B R A 的 网 络 攻 击 架 构 ， H I D D E N C O B R A 利 用 这 些 I P 地 址 对 受 害 系 统 进 行 远 控 管 理 ， 并 计 划 开 展 针 对 其 它 目 标 的 网 络 攻 击 。 D H S 和 F B I 及 时 公 布 这 些 I P 地 址 旨 在 希 望 社 会 实 体 组 织 加 强 网 络 防 御 ， 避 免 遭 受 朝 鲜 政 府 黑 客 组 织 的 网 络 攻 击 。 预 警 入 侵 指 标 文 件 （   I O C . c s v ） 中 包 含 的 I P 地 址 多 为 H I D D E N   C O B R A 的 跳 转 主 机 或 感 染 主 机 ， 其 中 还 包 括 I P 地 址 解 析 、 I P 注 册 地 址 、 隶 属 运 营 商 等 具 体 网 络 属 性 。 涉 及 中 国 的 涉 及 中 国 的 I P 地 址 地 址 I O C . c s v 中 包 含 了 5 个 注 册 地 分 别 为 郑 州 和 北 京 的 I P 地 址 ， 以 及 一 个 w w w . h u b e i c o a l - s a f e t y . g o v . c n 的 网 站 ， 如 下 所 示 ：
入 侵 指 标 文 件 入 侵 指 标 文 件 H I D D E N   C O B R A 利 用 的 网 络 攻 击 架 构 —   I O C . c s v H I D D E N   C O B R A 利 用 的 恶 意 软 件 分 析 报 告 — - M A R   . p d f F A L L C H I L L 的 攻 击 影 响 的 攻 击 影 响 根 据 第 三 方 公 司 情 报 ， H I D D E N   C O B R A 自 2 0 1 6 年 起 利 用 F A L L C H I L L 开 展 了 针 对 全 球 特 定 航 空 航 天 、 通 信 、 金 融 行 业 数 家 机 构 的 网 络 入 侵 ， F A L L C H I L L 是 一 个 全 功 能 远 程 控 制 管 理 软 件 （ R A T ） ， 攻 击 者 能 以 多 种 代 理 方 式 从 C 2 端 向 受 害 者 系 统 发 起 多 种 形 式 的 控 制 命 令 。 攻 击 者 利 用 “ 水 坑 攻 击 ” 或 钓 鱼 邮 件 方 式 入 侵 受 害 者 系 统 ， 然 后 通 过 外 部 工 具 或 释 放 的 恶 意 D r o p p e r 进 行 F A L L C H I L L 植 入 ， 并 利 用 其 恶 意 软 件 即 服 务 （ m a l w a r e - a s - a - s e r v i c e ） 一 体 化 平 台 实 现 持 久 驻 留 和 其 它 恶 意 软 件 继 续 植 入 部 署 。 在 对 F A L L C H I L L 的 分 析 研 判 期 间 ， 美 方 政 府 机 构 根 据 公 开 注 册 信 息 ， 识 别 出 了 一 些 感 染 主 机 和 中 转 主 机 地 址 的 I P 注 册 国 。 技 术 分 析 技 术 分 析 F A L L C H I L L 是 H I D D E N   C O B R A 使 用 多 种 代 理 对 受 害 者 系 统 进 行 远 控 管 理 的 主 要 C 2 部 件 ， 据 可 信 的 第 三 方 报 告 ， 受 害 者 系 统 和 H I D D E N   C O B R A 攻 击 者 之 间 存 在 多 种 代 理 通 信 流 量 ， 如 下 ： F A L L C H I L L 使 用 伪 造 的 T L S 通 信 ， 对 通 信 数 据 以 密 钥 序 列   [ 0 d   0 6   0 9   2 a   8 6   4 8   8 6   f 7   0 d   0 1   0 1   0 1   0 5   0 0   0 3   8 2 ] 进 行 R C 4 加 密 ， F A L L C H I L L 收 集 受 害 者 系 统 中 信 息 包 括 ： 操 作 系 统 版 本 信 息 处 理 器 信 息 系 统 名 称
本 地 I P 信 息 独 特 的 生 成 I D M A C 地 址 F A L L C H I L L 针 对 受 控 目 标 系 统 ， 包 含 以 下 恶 意 控 制 功 能 ： 获 取 所 有 磁 盘 的 类 型 容 量 信 息 可 创 建 、 运 行 、 中 止 某 一 指 定 进 程 和 相 关 线 程 搜 索 、 读 取 、 写 入 、 删 除 和 执 行 程 序 文 件 获 取 并 更 改 文 件 或 目 录 时 间 戳 信 息 更 改 当 前 运 行 进 程 或 文 件 更 改 进 程 或 文 件 的 当 前 目 录 配 合 主 控 程 序 对 受 害 者 系 统 进 行 痕 迹 清 理 检 测 防 御 检 测 防 御 针 对 预 警 中 的 技 术 分 析 和 入 侵 指 标 文 件 信 息 ， D H S 和 F B I 督 促 各 机 构 网 络 管 理 者 认 真 核 实 检 查 ， 识 别 匹 配 I P 地 址 ， 一 有 发 现 ， 务 必 采 取 相 关 清 除 措 施 。 另 外 可 从 匹 配 I P 的 网 络 流 量 中 发 现 H I D D E N   C O B R A 的 具 体 网 络 攻 击 行 为 。 网 络 行 为 签 名 和 基 于 主 机 的 检 测 规 则 网 络 行 为 签 名 和 基 于 主 机 的 检 测 规 则 网 络 行 为 签 名 网 络 行 为 签 名 Y A R A 规 则 规 则 影 响 影 响 感 染 了 F A L L C H I L L 的 系 统 或 组 织 机 构 ， 可 能 面 临 ： 当 前 或 长 期 的 数 据 泄 露 正 常 业 务 运 行 的 影 响 破 坏 后 期 系 统 和 文 件 的 恢 复 维 护 成 本 对 组 织 机 构 潜 在 的 声 誉 影 响 缓 解 缓 解 使 用 应 用 程 序 白 名 单 策 略 a l e r t   t c p   a n y   a n y   - >   a n y   a n y   ( m s g : " M a l i c i o u s   S S L   0 1   D e t e c t e d " ; c o n t e n t : " | 1 7   0 3   0 1   0 0   0 8 | " ;     p c r e : " / x 1 7 x 0 3 x 0 1 x 0 0 x 0 8 . { 4 } x 0 4 x 8 8 x 4 d x 7 6 / " ;   r e v : 1 ;   s i d : 2 ; ) _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ a l e r t   t c p   a n y   a n y   - >   a n y   a n y   ( m s g : " M a l i c i o u s   S S L   0 2   D e t e c t e d " ; c o n t e n t : " | 1 7   0 3   0 1   0 0   0 8 | " ;     p c r e : " / x 1 7 x 0 3 x 0 1 x 0 0 x 0 8 . { 4 } x 0 6 x 8 8 x 4 d x 7 6 / " ;   r e v : 1 ;   s i d : 3 ; ) _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ a l e r t   t c p   a n y   a n y   - >   a n y   a n y   ( m s g : " M a l i c i o u s   S S L   0 3   D e t e c t e d " ; c o n t e n t : " | 1 7   0 3   0 1   0 0   0 8 | " ;     p c r e : " / x 1 7 x 0 3 x 0 1 x 0 0 x 0 8 . { 4 } x b 2 x 6 3 x 7 0 x 7 b / " ;   r e v : 1 ;   s i d : 4 ; ) _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ a l e r t   t c p   a n y   a n y   - >   a n y   a n y   ( m s g : " M a l i c i o u s   S S L   0 4   D e t e c t e d " ; c o n t e n t : " | 1 7   0 3   0 1   0 0   0 8 | " ;     p c r e : " / x 1 7 x 0 3 x 0 1 x 0 0 x 0 8 . { 4 } x b 0 x 6 3 x 7 0 x 7 b / " ;   r e v : 1 ;   s i d : 5 ; ) r u l e   r c 4 _ s t a c k _ k e y _ f a l l c h i l l { m e t a :         d e s c r i p t i o n   =   " r c 4 _ s t a c k _ k e y " s t r i n g s :         $ s t a c k _ k e y   =   {   0 d   0 6   0 9   2 a   ? ?   ? ?   ? ?   ? ?   8 6   4 8   8 6   f 7   ? ?   ? ?   ? ?   ? ?   0 d   0 1   0 1   0 1   ? ?   ? ?   ? ?   ? ?   0 5   0 0   0 3   8 2   4 1   8 b   c 9   4 1   8 b   d 1   4 9   8 b   4 0   0 8   4 8   f f   c 2   8 8   4 c   0 2   f f   f f   c 1   8 1   f 9   0 0   0 1   0 0   0 0   7 c   e b   } c o n d i t i o n :         ( u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   u i n t 1 6 ( u i n t 3 2 ( 0 x 3 c ) )   = =   0 x 4 5 5 0 )   a n d   $ s t a c k _ k e y } r u l e   s u c c e s s _ f a i l _ c o d e s _ f a l l c h i l l { m e t a :         d e s c r i p t i o n   =   " s u c c e s s _ f a i l _ c o d e s " s t r i n g s :         $ s 0   =   {   6 8   7 a   3 4   1 2   0 0   }             $ s 1   =   {   b a   7 a   3 4   1 2   0 0   }             $ f 0   =   {   6 8   5 c   3 4   1 2   0 0   }             $ f 1   =   {   b a   5 c   3 4   1 2   0 0   } c o n d i t i o n :         ( u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   u i n t 1 6 ( u i n t 3 2 ( 0 x 3 c ) )   = =   0 x 4 5 5 0 )   a n d   ( ( $ s 0   a n d   $ f 0 )   o r   ( $ s 1   a n d   $ f 1 ) ) }
更 新 系 统 和 软 件 补 丁 保 持 安 全 防 护 软 件 处 于 最 新 状 态 对 系 统 进 行 权 限 访 问 控 制 避 免 接 收 不 明 电 邮 避 免 开 启 文 档 宏 功 能 * 参 考 来 源 ： 参 考 来 源 ： u s - c e r t ， ， f r e e b u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理