搜索

[12235] 2018-01-14_APT新动向揭秘黄金鼠组织的三次攻击行动

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-01-14_APT新动向揭秘黄金鼠组织的三次攻击行动 A P T 新 动 向   |   揭 秘 黄 金 鼠 组 织 的 三 次 攻 击 行 动 3 6 0 企 业 安 全   F r e e B u f   2 0 1 8 - 0 1 - 1 4 日 前 ， 日 前 ， 3 6 0 威 胁 情 报 中 心 追 日 团 队 发 布 了 黄 金 鼠 组 织 （ 威 胁 情 报 中 心 追 日 团 队 发 布 了 黄 金 鼠 组 织 （ A P T - C - 2 7 ） ） A P T 研 究 报 告 。 研 究 报 告 。 攻 击 平 台 从 开 始 的 攻 击 平 台 从 开 始 的 W i n d o w s 平 台 逐 渐 扩 展 至 平 台 逐 渐 扩 展 至 A n d r o i d 平 台 ， 截 至 目 前 追 日 团 队 一 共 捕 获 了 平 台 ， 截 至 目 前 追 日 团 队 一 共 捕 获 了 A n d r o i d 平 台 攻 击 样 本 平 台 攻 击 样 本 2 9 个 ， 个 ， W i n d o w s 平 台 攻 击 样 平 台 攻 击 样 本 本 5 5 个 ， 涉 及 的 个 ， 涉 及 的 C & C 域 名 域 名 9 个 。 个 。 2 0 1 6 年 6 月 ， 追 日 团 队 首 次 注 意 到 该 攻 击 组 织 中 涉 及 的 P C 端 恶 意 代 码 ， 并 展 开 关 联 分 析 ， 但 通 过 大 数 据 关 联 分 析 发 现 相 关 攻 击 行 动 最 早 可 以 追 溯 到   2 0 1 4 年 1 1 月 ， 并 关 联 出 数 十 个 恶 意 样 本 文 件 ， 包 括 P C 和 A n d r o i d 平 台 。 此 外 ， A n d r o i d 和 P C 平 台 的 恶 意 样 本 主 要 伪 装 成 聊 天 软 件 及 一 些 特 定 领 域 常 用 软 件 ， 通 过 水 坑 攻 击 方 式 配 合 社 会 工 程 学 手 段 进 行 渗 透 ， 向 特 定 目 标 人 群 进 行 攻 击 ， 进 一 步 结 合 恶 意 代 码 中 诱 饵 文 件 的 内 容 和 其 他 情 报 数 据 ， 追 日 团 队 判 定 这 是 一 次 以 窃 取 敏 感 信 息 为 目 的 的 针 对 性 攻 击 ， 且 目 标 熟 悉 阿 拉 伯 语 。 2 0 1 5 年 7 月 ， 叙 利 亚 哈 马 市 新 闻 媒 体 在 F a c e b o o k 上 发 布 了 一 则 消 息 ， 该 条 消 息 称 带 有 “ 土 耳 其 对 叙 利 亚 边 界 部 署 反 导 弹 系 统 进 行 干 预 ， 详 细 信 息 为 h t t p : / / w w w . g u l f u p . c o m / ? M C V l N X ” 的 信 息 为 恶 意 信 息 ， 并 告 诫 大 家 不 要 打 开 信 息 中 链 接 ， 该 链 接 为 黑 客 入 侵 链 接 ， 相 关 C & C 为 3 1 . 9 . 4 8 . 1 8 3 。 哈 马 市 揭 露 的 这 次 攻 击 行 动 ， 就 是 追 日 团 队 在   2 0 1 6 年 6 月 发 现 的 针 对 叙 利 亚 地 区 的 A P T 攻 击 。 从 新 闻 中 追 日 团 队 确 定 了 该 行 动 的 攻 击 目 标 至 少 包 括 叙 利 亚 地 区 ， 其 载 荷 投 递 方 式 至 少 包 括 水 坑 式 攻 击 。 3 6 0 威 胁 情 报 中 心 将 A P T - C - 2 7 组 织 命 名 为 黄 金 鼠 ， 主 要 是 考 虑 了 以 下 几 方 面 的 因 素 ： 一 是 该 组 织 在 攻 击 过 程 中 使 用 了 大 量 的 资 源 ， 说 明 该 攻 击 组 织 资 源 丰 富 ， 而 黄 金 鼠 有 长 期 在 野 外 囤 积 粮 食 的 习 惯 ， 字 面 上 也 有 丰 富 的 含 义 ； 二 、 该 攻 击 组 织 通 常 是 间 隔 一 段 时 间 出 来 攻 击 一 次 ， 这 跟 鼠 有 相 通 的 地 方 ； 三 是 黄 金 仓 鼠 是 叙 利 亚 地 区 一 种 比 较 有 代 表 性 的 动 物 。 三 次 攻 击 行 动 三 次 攻 击 行 动 图 图   该 攻 击 组 织 相 关 重 点 事 件 时 间 轴 该 攻 击 组 织 相 关 重 点 事 件 时 间 轴 注 ： 注 ： 1 ）   圆 形 蓝 色 里 程 碑 ： 相 关 典 型 后 门 首 次 出 现 时 间 2 ）   正 方 形 灰 色 里 程 碑 ： 相 关 典 型 后 门 再 次 出 现 时 间 3 ）   三 角 形 深 蓝 色 里 程 碑 ： 相 关 C & C 出 现 时 间 4 ）   菱 形 黑 色 里 程 碑 ： 重 要 事 件 出 现 的 时 间
攻 击 行 动 攻 击 行 动 活 跃 时 间 活 跃 时 间 主 要 载 荷 主 要 载 荷 主 要 主 要 C & C 第 一 次 2 0 1 4 . 1 0   –   2 0 1 5 . 7 n j R A T 、 D o w n l o a d e r b b b b 4 . n o i p . m e   3 1 . 9 . 4 8 . 1 8 3 第 二 次 2 0 1 5 . 8   –   2 0 1 6 . 1 1 D a r k K o m e t 、 V B S   B a c k d o o r 、 A n d r o R A T b a s h a r a l a s s a d 1 s e a . n o i p . m e   3 1 . 9 . 4 8 . 1 8 3 第 三 次 2 0 1 6 . 1 2   –   至 今 A n d r o i d   R A T 、 定 制 R A T 、 J S   B a c k d o o r 、 J S 后 门 8 2 . 1 3 7 . 2 5 5 . 5 6   t e l g r a m . s t r a n g l e d . n e t   c h a t s e c u r e l i t e . u s . t o 表   三 波 攻 击 行 动 第 一 次 攻 击 行 动 集 中 在 第 一 次 攻 击 行 动 集 中 在   2 0 1 4   年 年   1 0   月 到 月 到   2 0 1 5   年 年   7   月 月 ， 该 期 间 攻 击 组 织 主 要 使 用 开 源 远 控 n j R A T 和 D o w n l o a d e r 进 行 攻 击 ， 攻 击 载 荷 并 不 复 杂 ， 使 用 的   C & C   主 要 为   b b b b 4 . n o i p . m e   和   3 1 . 9 . 4 8 . 1 8 3 。 但 是   2 0 1 5   年   7   月 ， 该 组 织 使 用 的 C & C （ 3 1 . 9 . 4 8 . 1 8 3 ） 被 叙 利 亚 哈 马 市 新 闻 媒 体 在 F a c e b o o k 曝 光 。 第 二 次 攻 击 行 动 集 中 在 第 二 次 攻 击 行 动 集 中 在   2 0 1 5   年 年 7   月 到 月 到   2 0 1 6   年 年   1 1   月 月 ， 在 这 期 间 攻 击 者 使 用 了 多 种 不 同 类 型 的 攻 击 载 荷 。 在 2 0 1 5 年 8 月 攻 击 者 开 始 使 用 D e l p h i 编 写 的 D a r k K o m e t 远 控 ， 此 外 ， 在 2 0 1 5 年 1 1 月 针 对 A n d r o i d 操 作 系 统 的 攻 击 开 始 出 现 ， 并 使 用 了 A n d r o R A T 恶 意 程 序 ， 期 间 使 用 的 C & C 主 要 是 3 1 . 9 . 4 8 . 1 8 3 ， 但 是 到 了 2 0 1 6 年 1 月 ， 该 组 织 开 始 使 用 新 的 域 名 b a s h a r a l a s s a d 1 s e a . n o i p . m e 作 为 C & C 服 务 器 。 另 外 ， 本 次 攻 击 行 动 具 有 代 表 性 的 就 是 2 0 1 6 年 1 0 月 开 始 使 用 F a c e b o o k 进 行 水 坑 攻 击 ， 并 使 用 全 新 的 V B S 后 门 作 为 攻 击 载 荷 。 第 三 次 攻 击 行 动 集 中 在 第 三 次 攻 击 行 动 集 中 在 2 0 1 6 年 年 1 2 月 至 今 月 至 今 ， 该 期 间 攻 击 组 织 表 现 尤 为 活 跃 ， 使 用 的 攻 击 载 荷 变 得 更 加 丰 富 。 在 2 0 1 7 年 4 月 使 用 了 t e l g r a m . s t r a n g l e d . n e t 钓 鱼 页 面 进 行 水 坑 攻 击 ， 并 且 根 据 t e l e g r a m 升 级 程 序 的 步 骤 制 作 R A T 进 行 攻 击 ， 攻 击 平 台 包 括 P C 与 A n d r o i d ， C & C 服 务 器 也 改 变 成 8 2 . 1 3 7 . 2 5 5 . 5 6 。 此 外 ， 在 2 0 1 7 年 5 月 ， 首 次 出 现 了 J S 后 门 ， 并 结 合 前 期 的 V B S 后 门 、 R A T 同 时 攻 击 。 在 这 次 攻 击 中 需 要 引 起 重 视 的 是 ， 在 2 0 1 7 年 9 月 ， 攻 击 者 开 始 使 用 域 名 c h a t s e c u r e l i t e . u s . t o 替 代 原 有 域 名 t e l g r a m . s t r a n g l e d . n e t 进 行 水 坑 攻 击 ， 并 着 重 针 对 A n d r o i d 平 台 进 行 攻 击 ， 开 发 了 一 系 列 不 同 伪 装 形 式 的 R A T ， 最 近 两 个 月 ， 攻 击 者 基 本 上 都 只 对 A n d r o i d 平 台 进 行 攻 击 。 总 结 总 结 通 过 对 该 组 织 相 关 T T P s （ T o o l s 、 T e c h n i q u e s 、 P r o c e d u r e s ） 的 研 究 分 析 ， 以 及 结 合 以 往 跟 进 或 披 露 的   A P T   组 织 或 攻 击 行 动 ， 总 结 出 以 下 几 点 ： 1 ） 移 动 端 ） 移 动 端 A P T 事 件 逐 渐 增 多 事 件 逐 渐 增 多 以 往 披 露 的 A P T 事 件 主 要 是 针 对 W i n d o w s 系 统 进 行 攻 击 ， 现 今 由 于 A n d r o i d 系 统 、 A P P 的 普 及 与 发 展 ， 带 动 了 A n d r o i d 手 机 等 智 能 终 端 用 户 量 的 持 续 攀 升 ， 从 而 导 致 黑 客 组 织 的 攻 击 目 标 也 逐 渐 转 向 移 动 端 。 从 追 日 团 队 捕 获 的 样 本 也 可 以 知 道 ， 攻 击 者 显 示 从 W i n d o w s 平 台 逐 渐 过 度 到 A n d r o i d 平 台 ， 并 且 在 近 期 攻 击 者 主 要 使 用 A n d r o i d 样 本 进 行 攻 击 ， 且 更 新 速 率 很 快 ， 从 而 变 相 说 明 该 组 织 后 期 主 要 会 基 于 A n d r o i d 系 统 进 行 攻 击 。 2 ） 攻 击 技 术 由 浅 入 深 ） 攻 击 技 术 由 浅 入 深 技 术 分 析 显 示 ， 该 组 织 初 期 使 用 的 特 种 木 马 技 术 并 不 复 杂 ， 主 要 使 用 开 源 的 n j R A T 。 但 后 期 版 本 中 ， 攻 击 者 开 始 使 用 定 制 R A T ， 此 种 R A T 需 要 通 过 层 层 释 放 执 行 恶 意 功 能 ， 于 此 同 时 ， 攻 击 者 也 开 始 使 用 V B S 、 J S 脚 本 、 A n d r o i d   R A T 进 行 全 方 位 攻 击 。 综 合 来 看 ， 该 组 织 的 攻 击 周 期 较 长 攻 击 目 标 之 明 确 ， 并 且 攻 击 过 程 中 使 用 了 大 量 资 源 ， 都 表 明 这 不 是 一 个 人 或 一 般 组 织 能 承 受 的 攻 击 成 本 。 3 ） 攻 击 组 织 极 可 能 来 自 阿 拉 伯 国 家 ） 攻 击 组 织 极 可 能 来 自 阿 拉 伯 国 家 通 过 前 面 分 析 我 们 知 道 P D B 路 径 有 “ T h 3 P r o ” 、 “ a b o o m a r ” 等 字 符 串 ， 文 档 作 者 R a d d e x ， I P 信 息 获 取 的 “ a b o o m a r ” 、 “ a b o   m o a a z ” 计 算 机 名 ， 这 些 名 字 （ “ a b o o m a r ” 、 “ a b o   m o a a z ” ） 常 常 出 现 在 阿 拉 伯 地 区 。 并 且 通 过 部 分 样 本 中 使 用 的 字 符 串 及 文 件 名 （ 如 “ ﺑ ﺎ ﻟ ﮭ ﺎ و ن   ﻗ ﺼ ﻒ   ﺗ ﻠ ﺒ ﯿ ﺴ ﺔ   ﺣ ﻤ ﺺ ” ） 可 以 知 道 攻 击 者 熟 悉 阿 拉 伯 语 。 点 击 阅 读 原 文 ， 查 看 报 告 全 文
* 本 文 作 者 ： 3 6 0 企 业 安 全 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理