搜索

[12496] 2018-03-22_美国政府再次指责俄罗斯黑客攻击其关键基础设施

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2018-03-22_美国政府再次指责俄罗斯黑客攻击其关键基础设施 美 国 政 府 再 次 指 责 俄 罗 斯 黑 客 攻 击 其 关 键 基 础 设 施 J i n g l e C a t s   F r e e B u f   2 0 1 8 - 0 3 - 2 2 C y l a n c e 的 研 究 员 报 道 称 网 络 攻 击 者 在 利 用 一 个 核 心 路 由 器 针 对 一 些 基 础 设 施 进 行 攻 击 ， 美 国 指 责 这 一 攻 击 的 实 的 研 究 员 报 道 称 网 络 攻 击 者 在 利 用 一 个 核 心 路 由 器 针 对 一 些 基 础 设 施 进 行 攻 击 ， 美 国 指 责 这 一 攻 击 的 实 施 者 为 俄 罗 斯 。 主 要 针 对 能 源 、 核 、 商 业 设 施 、 水 、 建 筑 、 航 空 及 重 要 制 造 部 门 的 多 个 组 织 实 施 攻 击 。 施 者 为 俄 罗 斯 。 主 要 针 对 能 源 、 核 、 商 业 设 施 、 水 、 建 筑 、 航 空 及 重 要 制 造 部 门 的 多 个 组 织 实 施 攻 击 。 C y l a n c e 的 研 究 人 员 称 ， 这 一 发 现 的 重 要 性 远 远 超 过 它 的 大 小 ， 因 为 控 制 核 心 路 由 器 比 控 制 个 人 电 脑 更 难 检 测 、 分 析 和 的 研 究 人 员 称 ， 这 一 发 现 的 重 要 性 远 远 超 过 它 的 大 小 ， 因 为 控 制 核 心 路 由 器 比 控 制 个 人 电 脑 更 难 检 测 、 分 析 和 修 补 。 修 补 。 概 述 概 述 3 月 1 5 日 ， 美 国 国 土 安 全 部 ( D H S ) 和 联 邦 调 查 局 ( F B I ) 发 布 了 一 份 警 告 ， 指 责 俄 罗 斯 政 府 针 对 美 国 的 关 键 基 础 设 施 进 行 网 络 攻 击 。 该 警 告 称 ， 美 国 政 府 部 门 公 布 了 一 项 名 为 “ 由 俄 罗 斯 政 府 网 络 攻 击 者 发 起 的 多 阶 段 入 侵 行 动 ， 他 们 针 对 小 型 商 业 设 施 ， 在 攻 击 的 网 络 中 使 用 鱼 叉 式 网 络 钓 鱼 和 恶 意 软 件 ， 并 获 得 了 进 入 能 源 部 门 网 络 的 远 程 接 入 。 ” 一 旦 获 得 访 问 权 ， 俄 罗 斯 政 府 的 网 络 攻 击 者 就 可 以 进 行 网 络 侦 查 、 横 向 移 动 ， 并 收 集 有 关 工 业 控 制 系 统 的 信 息 。 虽 然 针 对 路 由 器 的 入 侵 并 不 新 鲜 ， 但 这 种 方 法 相 对 比 较 少 见 ， 因 为 针 对 路 由 器 的 攻 击 很 可 能 牵 涉 到 路 由 器 固 件 ， 调 查 人 员 很 难 通 过 工 具 进 行 检 测 。 这 背 后 的 攻 击 者 主 要 是 之 前 安 全 行 业 调 查 过 的 D r a g o n f l y （ 蜻 蜓 ， 也 称 E n e r g e t i c B e a r ） 、 C r o u c h i n g   Y e t i 、   D Y M A L L O Y 、 和 G r o u p   2 4 。 研 究 人 员 说 “ 2 0 1 5 年 ， 在 将 目 光 投 向 美 国 之 前 ， 该 集 团 也 针 对 其 他 国 家 （ 可 能 包 括 爱 尔 兰 和 土 耳 其 ） 的 核 能 和 能 源 公 司 实 施 过 攻 击 。 这 个 活 动 包 括 两 类 不 同 的 受 害 者 : 临 时 目 标 和 预 定 目 标 。 最 初 的 受 害 者 是 一 些 外 围 组 织 ， 比 如 受 信 任 的 第 三 方 供 应 商 ， 他 们 的 网 络 不 那 么 安 全 ， 被 称 为 “ 临 时 目 标 ” 。 威 胁 行 为 者 在 锁 定 最 终 目 标 受 害 者 时 ， 使 用 了 临 时 目 标 网 络 作 为 枢 纽 点 和 恶 意 软 件 储 存 库 ， 最 终 目 标 是 破 坏 组 织 网 络 ， 也 称 其 为 “ 预 定 目 标 ” 。
详 细 分 析 详 细 分 析 在 这 个 活 动 中 攻 击 者 使 用 了 一 系 列 策 略 和 技 术 ， 包 括 ： 鱼 叉 式 钓 鱼 邮 件 （ 利 用 合 法 的 账 户 ） ； 水 坑 攻 击 域 ； 收 集 凭 证 ； 开 源 和 网 络 侦 查 ； 基 于 主 机 的 利 用 ； 锁 定 工 业 控 制 系 统 （ I C S ） 基 础 设 施 。 L o c k h e e d - M a r t i n   C y b e r   K i l l   C h a i n 模 型 分 析 ： 模 型 分 析 ： D H S 利 用 L o c k h e e d - M a r t i n C y b e r   K i l l   C h a i n 模 型 对 恶 意 活 动 进 行 深 度 剖 析 。 他 们 发 现 攻 击 者 预 先 已 经 选 定 好 目 标 ， 在 整 个 网 络 钓 鱼 活 动 中 ， 攻 击 者 使 用 电 子 邮 件 附 件 来 利 用 合 法 的 M i c r o s o f t   O f f i c e 功 能 ， 使 用 服 务 器 消 息 块 ( S M B ) 协 议 从 远 程 服 务 器 检 索 文 档 。 在 获 取 凭 据 的 H a s h 值 之 后 ， 攻 击 者 使 用 密 码 破 解 技 术 获 取 明 文 密 码 ， 然 后 通 过 有 效 的 凭 证 ， 可 以 在 单 因 素 身 份 验 证 的 环 境 中 伪 装 成 授 权 用 户 。 其 中 部 分 攻 击 者 会 发 展 水 坑 攻 击 域 ， 他 们 使 用 合 法 的 凭 证 访 问 和 直 接 修 改 网 站 内 容 ， 通 过 修 改 J a v a S c r i p t 和 P H P 文 件 来 修 改 这 些 网 站 ， 以 请 求 使 用 来 自 威 胁 参 与 者 控 制 的 I P 地 址 的 文 件 图 标 。 当 危 及 到 目 标 网 络 时 ， 攻 击 者 使 用 与 之 前 不 同 的 鱼 叉 式 钓 鱼 邮 件 ， 邮 件 使 用 一 个 通 用 的 主 题 （ A G R E E M E N T   &   C o n f i d e n t i a l ） 的 P D F 文 件 ， 名 为 ” d o c u m e n t . P D F ” 。 P D F 文 件 不 包 含 任 何 恶 意 代 码 ， 但 包 含 一 个 短 U R L ， 点 击 时 ， 用 户 会 被 引 导 到 一 个 网 站 ， 提 示 用 户 输 入 电 子 邮 件 地 址 和 密 码 。 （ 注 意 : P D F 中 没 有 启 动 下 载 的 代 码 。 ） 在 开 发 预 期 目 标 时 ， 攻 击 者 使 用 . d o c x 恶 意 文 件 来 捕 获 用 户 凭 证 ， 通 过 T C P 端 口 4 4 5 或 者 1 3 9 ， 利 用 “ 文 件 : / / ” 连 接 来 检 索 文 件 ， 连 接 到 一 个 命 令 控 制 服 务 器 （ C 2 ） 。 当 用 户 试 图 对 域 进 行 身 份 验 证 时 ， 会 向 C 2 服 务 器 提 供 密 码 的 H a s h 值 ， 然 后 本 地 用 户 会 有 一 个 G U I 界 面 提 示 输 入 用 户 名 和 密 码 ， 通 过 4 4 5 或 1 3 9 端 口 接 收 这 个 信 息 。 为 了 在 受 害 网 络 中 长 久 存 在 ， 攻 击 者 会 在 分 段 目 标 中 创 建 本 地 管 理 员 账 户 ， 并 将 恶 意 文 件 放 置 在 预 期 目 标 中 。 （ 详 细 分 析 查 看 这 个 网 站 ） D H S 和 和 F B I 提 出 的 建 议 提 出 的 建 议 国 土 安 全 部 和 联 邦 调 查 局 鼓 励 网 络 用 户 和 管 理 员 使 用 以 下 的 检 测 和 预 防 方 法 来 防 御 这 项 活 动 。 ( 1 ) D H S 和 F B I 建 议 网 络 管 理 员 审 查 I P 地 址 、 域 名 、 文 件 h a s h 、 Y A R A 和 S n o r t 签 名 ， 并 将 I P s 添 加 到 他 们 的 监 视 列 表 中 ， 以 确 定 其 组 织 内 是 否 存 在 恶 意 活 动 ， 查 看 网 络 流 量 否 有 可 疑 的 活 动 。 ( 2 ) 用 户 和 管 理 员 可 以 通 过 比 较 I O C 包 中 列 出 的 所 有 I P 地 址 和 域 名 来 检 测 鱼 叉 式 钓 鱼 、 水 坑 、 w e b s h e l l 和 远 程 访 问 活 动 。 如 查 看 防 火 墙 日 志 、 W e b 内 容 日 志 、 代 理 服 务 器 日 志 、 域 名 服 务 解 析 日 志 及 工 作 站 互 联 网 浏 览 历 史 记 录 等 。 ( 3 ) 通 过 阻 断 T C P 端 口 1 3 9 和 4 4 5 和 相 关 的 U D P 端 口 1 3 7 ， 防 止 在 网 络 边 界 的 所 有 版 本 的 S M B 和 相 关 协 议 的 外 部 通 信 。 除 了 以 上 建 议 外 ， 也 可 通 过 下 面 这 些 方 式 进 行 网 络 保 护 ： 设 置 应 用 程 序 目 录 白 名 单 ； 建 立 最 小 特 权 控 制 ； 减 少 活 动 目 录 域 和 企 业 管 理 员 帐 户 的 数 量 ； 对 所 有 身 份 验 证 使 用 双 重 身 份 验 证 ， 特 别 强 调 任 何 外 部 接 口 和 高 风 险 环 境 等 方 法 。 * 参 考 来 源 ： S C m a g a z i n e   T H R E A T M A T R I X   ， 编 译 J i n g l e C a t s ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理