搜索

[12150] 2017-12-23_FireEye报告：揭露新型工控系统恶意软件TRITON

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2017-12-23_FireEye报告：揭露新型工控系统恶意软件TRITON F i r e E y e 报 告 ： 揭 露 新 型 工 控 系 统 恶 意 软 件 T R I T O N c l o u d s   F r e e B u f   2 0 1 7 - 1 2 - 2 3 M a n d i a n t 最 近 针 对 中 东 某 企 业 关 键 基 础 设 施 遭 受 的 攻 击 事 件 进 行 了 安 全 响 应 ， 攻 击 者 通 过 部 署 特 制 的 恶 意 软 件 来 控 最 近 针 对 中 东 某 企 业 关 键 基 础 设 施 遭 受 的 攻 击 事 件 进 行 了 安 全 响 应 ， 攻 击 者 通 过 部 署 特 制 的 恶 意 软 件 来 控 制 目 标 工 业 安 全 系 统 ， 由 于 工 业 安 全 系 统 具 备 对 工 控 系 统 的 紧 急 关 闭 功 能 ， 因 此 我 们 有 足 够 信 心 断 定 ， 该 恶 意 软 件 制 目 标 工 业 安 全 系 统 ， 由 于 工 业 安 全 系 统 具 备 对 工 控 系 统 的 紧 急 关 闭 功 能 ， 因 此 我 们 有 足 够 信 心 断 定 ， 该 恶 意 软 件 是 攻 击 者 针 对 工 控 系 统 的 硬 件 破 坏 或 突 然 关 停 而 开 发 的 。 目 前 ， 我 们 把 这 种 恶 意 软 件 命 名 为 是 攻 击 者 针 对 工 控 系 统 的 硬 件 破 坏 或 突 然 关 停 而 开 发 的 。 目 前 ， 我 们 把 这 种 恶 意 软 件 命 名 为 T R I T O N ， 攻 击 者 利 用 ， 攻 击 者 利 用 T R I T O N 攻 击 框 架 能 与 施 耐 德 电 气 公 司 的 攻 击 框 架 能 与 施 耐 德 电 气 公 司 的 T r i c o n e x 安 全 仪 表 系 统 控 制 器 （ 安 全 仪 表 系 统 控 制 器 （ S I S ） 形 成 通 信 交 互 ， 尽 管 我 们 暂 时 还 未 追 ） 形 成 通 信 交 互 ， 尽 管 我 们 暂 时 还 未 追 溯 定 位 到 实 际 的 攻 击 者 ， 但 我 们 肯 定 该 攻 击 事 件 的 幕 后 黑 手 为 国 家 支 持 型 黑 客 。 溯 定 位 到 实 际 的 攻 击 者 ， 但 我 们 肯 定 该 攻 击 事 件 的 幕 后 黑 手 为 国 家 支 持 型 黑 客 。 T R I T O N 特 点 特 点 T R I T O N 是 继 2 0 1 0 年 针 对 伊 朗 的 S t u x n e t 和 2 0 1 6 年 针 对 乌 克 兰 的 I n d u s t r o y e r 后 ， 为 数 不 多 可 以 被 公 开 检 测 识 别 到 的 工 控 系 统 恶 意 软 件 系 列 之 一 ， T R I T O N 与 这 些 攻 击 类 似 ， 它 可 以 破 坏 工 控 系 统 安 全 机 制 并 执 行 预 期 恶 意 功 能 ， 从 而 造 成 严 重 的 物 理 破 坏 攻 击 后 果 。 攻 击 事 件 概 述 攻 击 事 件 概 述 攻 击 者 通 过 获 得 安 全 仪 表 系 统 （ S I S ） 工 作 站 的 远 程 访 问 控 制 权 限 ， 对 S I S 控 制 器 进 行 了 重 编 译 ， 进 而 在 S I S 系 统 中 部 署 了 T R I T O N 攻 击 框 架 。 此 次 攻 击 事 件 中 ， 一 些 S I S 控 制 器 都 形 成 了 失 效 保 护 状 态 （ f a i l e d   s a f e   s t a t e ） ， 造 成 工 控 进 程 的 自 动 关 闭 ， 因 此 引 起 了 管 理 者
的 察 觉 并 展 开 了 调 查 。 调 查 后 发 现 ， 当 应 用 代 码 在 冗 余 处 理 单 元 之 间 验 证 失 效 时 （ 可 引 发 量 产 诊 断 错 误 消 息 ） ， 就 会 导 致 S I S 控 制 器 进 入 安 全 关 闭 状 态 。 我 们 确 信 攻 击 者 希 望 隐 蔽 执 行 自 动 关 闭 操 作 造 成 对 工 控 系 统 的 物 理 破 坏 ， 主 要 基 于 以 下 几 方 面 原 因 ： 修 改 安 全 仪 表 系 统 （ S I S ） 可 以 导 致 功 能 异 常 ， 增 加 物 理 破 坏 机 率 T R I T O N 会 修 改 S I S 控 制 器 中 的 应 用 程 序 内 存 导 致 验 证 失 效 验 证 失 效 状 态 在 T R I T O N 处 于 运 行 状 态 时 发 生 工 控 网 络 中 存 在 的 孤 立 或 外 部 条 件 不 可 能 造 成 这 种 错 误 攻 击 溯 源 攻 击 溯 源 针 对 此 次 攻 击 事 件 ， F i r e E y e 目 前 还 暂 未 准 确 溯 源 定 位 到 实 际 的 攻 击 者 ， 但 可 以 肯 定 的 是 这 是 国 家 支 持 型 的 黑 客 攻 击 。 攻 击 以 关 键 基 础 设 施 为 目 标 ， 具 备 持 续 性 ， 且 缺 乏 明 确 的 经 济 利 益 目 的 ， 结 合 创 建 T R I T O N 攻 击 框 架 所 需 的 充 足 技 术 资 源 来 看 ， 这 明 显 是 国 家 黑 客 形 为 。 可 以 从 以 下 几 方 面 来 作 出 判 断 ： 攻 击 者 以 S I S 系 统 为 目 标 ， 体 现 出 其 希 望 造 成 严 重 物 理 破 坏 的 目 的 ， 这 与 网 络 犯 罪 集 团 行 为 不 符 。 攻 击 者 在 获 得 S I S 系 统 后 不 久 就 部 署 了 T R I T O N ， 表 示 他 们 已 经 预 先 构 建 并 测 试 了 需 要 访 问 硬 件 和 软 件 的 工 具 。   T R I T O N 也 被 设 计 为 使 用 专 有 的 T r i S t a t i o n 协 议 进 行 通 信 ， 该 协 议 没 有 被 公 开 记 录 ， 暗 示 对 手 独 立 地 反 向 设 计 了 该 协 议 。 攻 击 者 在 取 得 S I S 系 统 控 制 权 后 不 久 就 部 署 了 T R I T O N ， 明 显 表 示 他 们 已 经 预 先 创 建 并 测 试 过 该 恶 意 工 具 的 软 硬 件 运 行 环 境 ； 另 外 ， T R I T O N 框 架 还 被 设 置 为 使 用 专 门 未 公 开 的 T r i S t a t i o n 协 议 来 进 行 通 信 ， 可 以 说 明 ， 攻 击 对 手 已 经 可 以 完 全 独 立 地 逆 向 该 通 信 协 议 。 这 种 以 关 键 基 础 设 施 为 目 标 的 破 坏 、 中 断 或 瘫 痪 攻 击 特 征 ， 与 俄 罗 斯 、 伊 朗 、 朝 鲜 、 美 国 和 以 色 列 在 全 球 进 行 的 大 量 网 络 攻 击 和 侦 察 活 动 相 符 ， 这 种 攻 击 不 会 马 上 造 成 立 竿 见 影 的 破 坏 效 果 ， 它 会 形 成 驻 留 为 后 续 的 深 入 攻 击 进 行 潜 伏 。 过 程 控 制 和 安 全 仪 表 系 统 （ 过 程 控 制 和 安 全 仪 表 系 统 （ S a f e t y   I n s t r u m e n t e d   S y s t e m s ） 背 景 ） 背 景
现 代 工 业 过 程 控 制 和 自 动 化 系 统 依 靠 各 种 先 进 的 控 制 系 统 和 安 全 功 能 ， 这 些 系 统 和 功 能 通 常 被 称 为 工 业 控 制 系 统 （ I C S ） 或 操 作 技 术 （ O T ） 。 分 布 式 控 制 系 统 （ D C S ） 为 操 作 人 员 提 供 远 程 监 视 和 控 制 工 业 过 程 的 能 力 。 它 是 由 计 算 机 、 软 件 应 用 程 序 和 控 制 器 组 成 的 计 算 机 控 制 系 统 。 工 程 工 作 站 是 用 来 对 控 制 系 统 应 用 和 其 他 控 制 系 统 设 备 进 行 配 置 、 维 护 和 诊 断 的 独 立 计 算 机 。 安 全 仪 表 系 统 （ S a f e t y   I n s t r u m e n t e d   S y s t e m s ， S I S ） 是 一 个 独 立 的 控 制 系 统 ， 可 独 立 监 控 受 控 过 程 状 态 。 如 果 过 程 超 过 定 义 危 险 状 态 的 参 数 ， 则 S I S 会 尝 试 将 过 程 恢 复 到 安 全 状 态 或 自 动 执 行 过 程 的 安 全 关 闭 。 如 果 S I S 和 D C S 控 制 都 失 效 ， 那 么 只 有 看 工 业 设 施 的 安 全 设 计 了 ， 如 对 设 备 （ e . g 防 爆 片 ） 的 机 械 保 护 、 物 理 警 报 、 应 急 程 序 和 其 他 危 险 状 况 的 缓 解 机 制 。 资 产 设 备 管 理 者 会 采 用 不 同 方 法 将 工 厂 的 D C S 与 S I S 系 统 连 接 起 来 ， 传 统 方 法 是 依 赖 通 信 基 础 设 施 和 控 制 策 略 的 隔 离 原 则 。 至 少 在 过 去 十 年 间 ， 基 于 低 成 本 、 易 用 性 和 信 息 交 流 目 的 ， 出 现 了 集 成 D C S 和 S I S 设 计 的 趋 势 。 此 次 T R I T O N 攻 击 反 映 出 了 D C S 与 S I S 集 成 设 计 双 向 通 信 的 安 全 风 险 。 安 全 仪 表 系 统 （ 安 全 仪 表 系 统 （ S I S ） 威 胁 建 模 和 攻 击 场 景 ） 威 胁 建 模 和 攻 击 场 景
针 对 工 控 系 统 （ I C S ） 破 坏 性 攻 击 的 生 命 周 期 与 其 他 类 型 网 络 攻 击 类 似 ， 但 有 几 个 关 键 的 区 别 。   首 先 ， 攻 击 者 的 任 务 是 破 坏 业 务 流 程 而 不 是 窃 取 数 据 ； 其 次 ， 攻 击 者 必 须 进 行 O T 侦 察 ， 并 有 足 够 的 专 业 工 程 知 识 来 了 解 目 标 系 统 工 业 过 程 ， 以 实 现 对 其 成 功 的 控 制 利 用 。 上 图 表 示 过 程 控 制 环 境 中 的 网 络 安 全 和 安 全 控 制 之 间 的 关 系 ， 即 使 网 络 安 全 措 施 失 效 ， 安 全 控 制 措 施 也 会 防 止 物 理 破 坏 ， 为 了 最 大 化 实 现 物 理 破 坏 ， 网 络 攻 击 者 还 需 绕 过 一 些 安 全 控 制 手 段 。 以 下 安 全 仪 表 系 统 （ S I S ） 威 胁 模 型 揭 露 了 多 种 攻 击 者 可 用 的 攻 击 路 径 ： 攻 击 路 径   1 :   使 用 S I S 系 统 进 行 过 程 关 闭 。 攻 击 者 重 编 译 S I S 逻 辑 控 制 器 导 致 其 跳 闸 或 关 闭 一 个 处 于 安 全 状 态 的 控 制 过 程 ， 换 句 话 说 ， 也 能 触 发 误 报 。 目 的 ： 导 致 停 机 后 造 成 经 济 损 失 ， 或 引 起 停 工 后 复 杂 的 启 动 程 序 。 攻 击 路 径   2 :   重 编 译 S I S 以 支 持 不 安 全 状 态 。 攻 击 者 重 编 译 S I S 逻 辑 控 制 器 ， 让 其 支 持 不 安 全 状 态 的 存 在 。 目 的 ： 由 于 S I S 功 能 丧 失 ， 增 加 的 危 险 状 况 会 导 致 严 重 物 理 后 果 风 险 ， 如 对 设 备 、 产 品 、 环 境 和 人 员 安 全 的 影 响 。 攻 击 路 径   3 ： 重 编 译 S I S 控 制 器 ， 当 使 用 D C S 时 ， 让 其 支 持 不 安 全 的 危 险 状 态 。 攻 击 者 可 以 控 制 D C S 进 程 形 成 危 险 状 态 ， 并 阻 止 S I S 系 统 正 常 运 行 。 目 的 ： 对 人 身 安 全 、 工 厂 环 境 或 设 备 造 成 破 坏 ， 其 影 响 程 度 取 决 于 过 程 和 设 备 设 计 的 物 理 限 制 条 件 。 攻 击 意 图 分 析 攻 击 意 图 分 析 我 们 认 为 攻 击 者 的 长 期 目 的 是 造 成 物 理 破 坏 ， 基 于 这 样 的 事 实 ， 攻 击 者 具 备 了 操 纵 过 程 或 关 闭 设 备 的 能 力 后 ， 首 先 会 在 D C S 系 统 上 形 成 驻 留 ， 以 伺 机 入 侵 S I S 系 统 。 对 D C S 和 S I S 系 统 的 入 侵 会 导 致 物 理 和 机 械 保 障 措 施 的 最 大 程 度 破 坏 。 一 旦 渗 透 进 入 S I S 网 络 后 ， 攻 击 者 会 立 即 部 署 预 先 构 建 的 T R I T O N 攻 击 框 架 ， 利 用 T r i S t a t i o n 协 议 与 S I S 控 制 器 发 起 通 信 ， 攻 击 者 可 以 发 送 停 止 命 令 形 成 进 程 关 闭 ， 或 向 S I S 控 制 器 上 传 恶 意 代 码 造 成 保 护 失 效 。 与 此 不 同 的 是 ， 攻 击 者 为 了 在 S I S 控 制 器 中 形 成 功 能 控 制 逻 辑 ， 会 在 一 段 时 间 内 反 复 进 行 多 次 尝 试 ， 即 使 由 于 攻 击 脚 本 的 条 件 检 查 提 示 出 错 ， 但 攻 击 者 还 会 继 续 尝 试 ， 这 也 表 明 攻 击 者 的 最 终 意 图 就 是 要 造 成 控 制 进 程 的 意 外 关 闭 。 值 得 注 意 的 是 ， 我 们 曾 多 次 发 现 了 一 些 长 期 入 侵 工 控 系 统 （ I C S ） 但 并 未 造 成 系 统 破 坏 或 中 断 的 攻 击 事 件 ， 如 长 年 入 侵 西 方 I C S 的 俄 罗 斯 沙 虫 团 队 （ S a n d w o r m ） 等 组 织 ， 他 们 似 乎 只 是 入 侵 ， 还 没 表 现 出 明 显 的 指 哪 打 哪 的 系 统 中 断 攻 击 能 力 。 T R I T O N 恶 意 软 件 功 能 恶 意 软 件 功 能 T R I T O N 攻 击 框 架 具 备 多 种 恶 意 功 能 ， 包 括 程 序 读 写 、 各 种 功 能 读 写 以 及 查 询 S I S 控 制 器 状 态 ， 但 t r i l o g . e x e 样 本 只 具 备 某 些 功 能 ， 不 包 括 T R I T O N 的 全 面 侦 察 功 能 。 T R I T O N 恶 意 软 件 具 备 与 T r i c o n e x   S I S 控 制 器 进 行 通 信 的 能 力 （ 如 发 送 特 定 指 令 ， 实 现 关 停 或 内 容 读 取 ） ， 并 可 用 攻 击 者 定 义 的 P a y l o a d 对 其 进 行 远 程 重 编 译 。 M a n d i a n t 分 析 的 T R I T O N 样 本 中 包 含 了 攻 击 者 制 作 的 运 行 T r i c o n e x 控 制 器 执 行 表 的 程 序 ， 该
样 本 包 含 了 一 个 正 常 且 监 控 控 制 器 运 行 状 态 的 合 法 程 序 ， 如 果 控 制 器 发 生 失 效 故 障 ， T R I T O N 会 尝 试 返 回 一 个 伪 造 的 正 常 运 行 状 态 ； 如 果 控 制 器 发 生 故 障 而 在 规 定 时 间 内 未 恢 复 到 安 全 状 态 时 ， 则 该 样 本 将 会 用 无 效 数 据 覆 盖 S I S 控 制 器 中 的 恶 意 程 序 形 成 隐 蔽 。 T R I T O N 攻 击 技 术 分 析 攻 击 技 术 分 析 T R I T O N 攻 击 框 架 会 被 部 署 在 运 行 有 W i n d o w s 操 作 系 统 的 S I S 工 程 工 作 站 中 ， 其 中 的 恶 意 软 件 伪 装 成 合 法 的 用 于 查 看 日 志 的 T r i S t a t i o n   T r i c o n e x   T r i l o g 应 用 程 序 ， 并 通 过 一 个 P y 2 E X E 编 译 后 的 P y t h o n 脚 本 进 行 植 入 ， 而 该 P y t h o n 脚 本 程 序 又 依 赖 于 一 个 包 含 标 准 P y t h o n 库 和 开 源 库 的 z i p 压 缩 文 件 ， 以 及 攻 击 者 开 发 的 用 于 与 T r i c o n e x 控 制 器 交 互 的 T r i c o n e x 攻 击 框 架 。   与 可 执 行 的 恶 意 程 序 一 起 ， 还 会 生 成 两 个 二 进 制 文 件 i n j e c t . b i n （ 恶 意 功 能 代 码 ） 和 i m a i n . b i n （ 恶 意 控 制 逻 辑 ） 作 为 攻 击 控 制 器 的 P a y l o a d ， 这 两 个 文 件 名 也 被 硬 编 码 写 入 到 了 P y 2 E X E 编 译 的 p y t h o n 脚 本 中 。 T r i l o g . e x e 在 命 令 行 中 会 选 择 目 标 T r i c o n e x 设 备 I P 地 址 作 为 攻 击 选 项 ， 它 没 有 利 用 底 层 T R I T O N 库 的 T r i c o n e x 设 备 发 现 功 能 ， 而 是 为 环 境 中 的 每 个 目 标 控 制 器 分 别 调 用 t r i l o g . e x e 实 例 ， 一 旦 被 调 用 ， t r i l o g . e x e 将 检 查 控 制 器 状 态 ， 然 后 读 取 由 T r i S t a t i o n 协 议 公 开 的 配 置 信 息 ， 如 果 控 制 器 处 于 运 行 状 态 ， t r i l o g . e x e 会 把 两 个 P a y l o a d 文 件 i n j e c t . b i n 和 i m a i n . b i n 进 行 编 码 ， 并 将 它 们 传 递 给 通 信 库 ， 以 便 将 其 附 加 到 控 制 器 的 程 序 存 储 器 和 执 行 表 中 。 当 P a y l o a d 文 件 被 插 入 T r i c o n e x 控 制 器 内 存 后 ， 脚 本 开 始 倒 计 时 ， 并 执 行 控 制 器 状 态 定 期 检 查 ， 如 果 检 测 到 控 制 器 错 误 ， 通 信 库 的 方 法 S a f e A p p e n d P r o g r a m M o d 会 尝 试 使 用 T r i S t a t i o n 协 议 命 令 将 控 制 器 重 置 为 之 前 状 态 ， 如 果 检 测 到 控 制 器 失 效 ， t r i l o g . e x e 会 向 内 存 尝 试 写 入 一 个 小 的 “ 虚 拟 ” 程 序 。 我 们 认 为 这 是 一 种 反 取 证 技 术 ， 用 于 隐 藏 T r i c o n e x 控 制 器 中 的 攻 击 代 码 。 M a n d i a n t 与 被 攻 击 企 业 合 作 ， 利 用 实 验 室 环 境 中 有 效 的 T r i c o n e x 控 制 器 运 行 t r i l o g . e x e 后 ， 在 恶 意 软 件 中 发 现 了 一 个 防 止 P a y l o a d 文 件 持 久 驻 留 的 检 查 条 件 ， M a n d i a n t 通 过 修 改 攻 击 脚 本 删 除 该 检 查 条 件 后 ， P a y l o a d 文 件 则 会 持 久 驻 留 于 控 制 器 内 存 中 ， 且 不 影 响 控 制 器 运 行 。 T R I T O N 可 以 执 行 合 法 T r i S t a t i o n 应 用 程 序 的 T r i S t a t i o n 协 议 ， 并 通 过 该 协 议 来 配 置 S I S 控 制 器 。 另 外 ， 攻 击 者 还 创 建 了 一 个 名 为 T s H i 的 高 层 接 口 ， 通 过 该 接 口 使 用 T R I T O N 框 架 实 现 攻 击 脚 本 执 行 。 T s H i 接 口 暴 露 了 恶 意 软 件 的 侦 察 和 攻 击 能 力 ， 这 些 功 能 实 现 通 常 需 要 接 收 来 自 用 户 的 二 进 制 数 据 ， 并 在 数 据 传 递 到 低 级 库 中 以 进 行 序 列 化 到 网 络 的 过 程 之 前 ， 会 进 行 代 码 “ 签 名 ” 和 校 验 步 骤 。 另 一 个 攻 击 者 编 写 的 模 块 T s B a s e 则 包 含 了 T s H i 调 用 函 数 ， 它 能 将 攻 击 者 的 预 期 操 作 转 化 为 相 应 的 T r i S t a t i o n 协 议 功 能 代 码 。 对 于 某 些 功 能 而 言 ， 它 还 可 将 数 据 打 包 填 充 为 适 当 格 式 。 T s L o w 攻 击 模 块 实 现 了 T r i S t a t i o n   U D P 通 信 协 议 。 T s B a s e 库 则 主 要 依 赖 t s _ e x e c 方 法 ， 该 方 法 采 用 功 能 代 码 和 预 期 响 应 代 码 ， 并 通 过 U D P 将 P a y l o a d 命 令 序 列 化 ， 它 还 会 检 查 控 制 器 对 期 望 值 的 响 应 ， 并 当 检 查 成 功 或 失 败 时 ， 返 回 相 应 的 数 据 结 构 表 示 对 象 。 T s L o w 中 还 包 含 了 用 于 检 查 目 标 控 制 器 连 通 性 的 连 接 测 试 方 法 ， 如 果 调 用 没 发 现 目 标 ， 它 会 运 行 设 备 发 现 功 能 d e t e c t _ i p ， 该 功 能 使 用 I P 广 播 包 方 式 ， 通 过 脚 本 调 用 ， 在 T r i S t a t i o n 协 议 中 执 行 “ p i n g ” 消 息 ， 来 探 测 控 制 器 。 防 护 建 议 防 护 建 议 为 避 免 遭 受 T R I T O N 类 攻 击 ， 资 产 设 备 管 理 者 可 以 考 虑 以 下 几 种 防 护 措 施 ： 以 技 术 可 行 方 式 ， 将 仪 表 安 全 系 统 网 络 与 过 程 控 制 和 信 息 系 统 网 络 隔 离 ， 能 对 S I S 控 制 器 执 行 编 程 的 工 程 工 作 站 不 应 与 其 它 任 何 D C S 过 程 控 制 或 信 息 系 统 形 成 双 宿 网 络 ； 充 分 利 用 对 安 全 控 制 器 进 行 控 制 编 程 的 硬 件 功 能 ， 这 些 功 能 通 常 采 用 物 理 钥 匙 形 成 交 换 控 制 ， 在 T r i c o n e x 控 制 器 上 ， 除 了 预 定 的 编 程 事 件 期 间 ， 其 它 时 候 ， 钥 匙 不 应 处 于 编 程 模 式 状 态 ； 对 钥 匙 关 键 位 置 变 化 实 施 变 更 管 理 措 施 ， 定 期 审 核 当 前 的 关 键 状 态 ；
对 于 依 赖 S I S 系 统 提 供 数 据 的 任 何 应 用 程 序 ， 应 使 用 单 向 网 关 而 不 是 双 向 网 络 进 行 连 接 ； 在 任 何 通 过 T C P   /   I P 访 问 S I S 系 统 的 服 务 器 或 工 作 站 终 端 上 ， 实 行 严 格 的 访 问 控 制 和 应 用 程 序 白 名 单 机 制 ； 监 控 I C S 系 统 异 常 的 网 络 通 信 流 量 。 下 图 为 T r i c o n e x 系 统 主 机 架 钥 匙 开 关 ： I o C 威 胁 指 标 威 胁 指 标 I n d i c a t o r s
D e t e c t i o n
* 参 考 来 源 ： 参 考 来 源 ： F i r e E y e ， ， f r e e b u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 r u l e   T R I T O N _ I C S _ F R A M E W O R K {             m e t a :                     a u t h o r   =   " n i c h o l a s . c a r r   @ i t s r e a l l y n i c k "                     m d 5   =   " 0 f a c e 8 4 1 f 7 b 2 9 5 3 e 7 c 2 9 c 0 6 4 d 6 8 8 6 5 2 3 "                     d e s c r i p t i o n   =   " T R I T O N   f r a m e w o r k   r e c o v e r e d   d u r i n g   M a n d i a n t   I C S   i n c i d e n t   r e s p o n s e "             s t r i n g s :                     $ p y t h o n _ c o m p i l e d   =   " . p y c "   n o c a s e   a s c i i   w i d e                     $ p y t h o n _ m o d u l e _ 0 1   =   " _ _ m o d u l e _ _ "   n o c a s e   a s c i i   w i d e                     $ p y t h o n _ m o d u l e _ 0 2   =   " < m o d u l e > "   n o c a s e   a s c i i   w i d e                     $ p y t h o n _ s c r i p t _ 0 1   =   " i m p o r t   T s "   n o c a s e   a s c i i   w i d e                     $ p y t h o n _ s c r i p t _ 0 2   =   " d e f   t s _ "   n o c a s e   a s c i i   w i d e                         $ p y _ c n a m e s _ 0 1   =   " T S _ c n a m e s . p y "   n o c a s e   a s c i i   w i d e                     $ p y _ c n a m e s _ 0 2   =   " T R I C O N "   n o c a s e   a s c i i   w i d e                     $ p y _ c n a m e s _ 0 3   =   " T r i S t a t i o n   "   n o c a s e   a s c i i   w i d e                     $ p y _ c n a m e s _ 0 4   =   "   c h a s s i s   "   n o c a s e   a s c i i   w i d e                         $ p y _ t s l i b s _ 0 1   =   " G e t C p S t a t u s "   n o c a s e   a s c i i   w i d e                     $ p y _ t s l i b s _ 0 2   =   " t s _ "   a s c i i   w i d e                     $ p y _ t s l i b s _ 0 3   =   "   s e q u e n c e "   n o c a s e   a s c i i   w i d e                     $ p y _ t s l i b s _ 0 4   =   / i m p o r t   T s ( H i | L o w | B a s e ) [ ^ : a l p h a : ] /   n o c a s e   a s c i i   w i d e                     $ p y _ t s l i b s _ 0 5   =   / m o d u l e s ? v e r s i o n /   n o c a s e   a s c i i   w i d e                     $ p y _ t s l i b s _ 0 6   =   " b a d   "   n o c a s e   a s c i i   w i d e                     $ p y _ t s l i b s _ 0 7   =   " p r o g _ c n t "   n o c a s e   a s c i i   w i d e                         $ p y _ t s b a s e _ 0 1   =   " T s B a s e . p y "   n o c a s e   a s c i i   w i d e                     $ p y _ t s b a s e _ 0 2   =   " . T s B a s e ( "   n o c a s e   a s c i i   w i d e                       $ p y _ t s h i _ 0 1   =   " T s H i . p y "   n o c a s e   a s c i i   w i d e                     $ p y _ t s h i _ 0 2   =   " k e y s t a t e "   n o c a s e   a s c i i   w i d e                     $ p y _ t s h i _ 0 3   =   " G e t P r o j e c t I n f o "   n o c a s e   a s c i i   w i d e                     $ p y _ t s h i _ 0 4   =   " G e t P r o g r a m T a b l e "   n o c a s e   a s c i i   w i d e                     $ p y _ t s h i _ 0 5   =   " S a f e A p p e n d P r o g r a m M o d "   n o c a s e   a s c i i   w i d e                     $ p y _ t s h i _ 0 6   =   " . T s H i ( "   a s c i i   n o c a s e   w i d e                         $ p y _ t s l o w _ 0 1   =   " T s L o w . p y "   n o c a s e   a s c i i   w i d e                     $ p y _ t s l o w _ 0 2   =   " p r i n t _ l a s t _ e r r o r "   a s c i i   n o c a s e   w i d e                     $ p y _ t s l o w _ 0 3   =   " . T s L o w ( "   a s c i i   n o c a s e   w i d e                     $ p y _ t s l o w _ 0 4   =   " t c m _ "   a s c i i   w i d e                     $ p y _ t s l o w _ 0 5   =   "   T C M   f o u n d "   n o c a s e   a s c i i   w i d e                         $ p y _ c r c _ 0 1   =   " c r c . p y c "   n o c a s e   a s c i i   w i d e                     $ p y _ c r c _ 0 2   =   " C R C 1 6 _ M O D B U S "   a s c i i   w i d e                     $ p y _ c r c _ 0 3   =   " K o t o v   A l a x a n d e r "   n o c a s e   a s c i i   w i d e                     $ p y _ c r c _ 0 4   =   " C R C _ C C I T T _ X M O D E M "   a s c i i   w i d e                     $ p y _ c r c _ 0 5   =   " c r c 1 6 r e t "   a s c i i   w i d e                     $ p y _ c r c _ 0 6   =   " C R C 1 6 _ C C I T T _ x 1 D 0 F "   a s c i i   w i d e                     $ p y _ c r c _ 0 7   =   / C R C 1 6 _ C C I T T [ ^ _ ] /   a s c i i   w i d e                         $ p y _ s h _ 0 1   =   " s h . p y c "   n o c a s e   a s c i i   w i d e                         $ p y _ k e y w o r d _ 0 1   =   "   F A I L U R E "   a s c i i   w i d e                     $ p y _ k e y w o r d _ 0 2   =   " s y m b o l   t a b l e "   n o c a s e   a s c i i   w i d e                         $ p y _ T R I D E N T _ 0 1   =   " i n j e c t . b i n "   a s c i i   n o c a s e   w i d e                     $ p y _ T R I D E N T _ 0 2   =   " i m a i n . b i n "   a s c i i   n o c a s e   w i d e                 c o n d i t i o n :                     2   o f   ( $ p y t h o n _ * )   a n d   7   o f   ( $ p y _ * )   a n d   f i l e s i z e   <   3 M B }

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理