搜索

[13050] 2018-08-11_新加坡新保集团（SingHealth）网络攻击事件的可疑线索分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2018-08-11_新加坡新保集团（SingHealth）网络攻击事件的可疑线索分析 新 加 坡 新 保 集 团 （ S i n g H e a l t h ） 网 络 攻 击 事 件 的 可 疑 线 索 分 析 c l o u d s   F r e e B u f   2 0 1 8 - 0 8 - 1 1 近 期 ， 安 全 公 司 近 期 ， 安 全 公 司 T r u s t w a v e   旗 下 旗 下   S p i d e r L a b s   实 验 室 发 现 了 可 能 与 新 加 坡 新 保 集 团 （ 实 验 室 发 现 了 可 能 与 新 加 坡 新 保 集 团 （ S i n g H e a l t h ） 网 络 攻 击 相 关 的 一 些 信 息 线 索 ， 在 ） 网 络 攻 击 相 关 的 一 些 信 息 线 索 ， 在 前 前 一 篇 文 章 中 一 篇 文 章 中 ， 他 们 以 威 胁 情 报 视 角 分 析 了 新 保 集 团 的 整 个 网 络 攻 击 事 件 。 此 次 攻 击 导 致 了 约 ， 他 们 以 威 胁 情 报 视 角 分 析 了 新 保 集 团 的 整 个 网 络 攻 击 事 件 。 此 次 攻 击 导 致 了 约 1 5 0 万 患 者 的 病 历 记 录 万 患 者 的 病 历 记 录 和 和 1 6 万 人 的 门 诊 记 录 泄 露 ， 这 些 记 录 中 中 包 含 了 大 量 的 个 人 信 息 ， 如 姓 名 、 地 址 、 生 日 、 性 别 、 种 族 和 身 份 证 号 码 万 人 的 门 诊 记 录 泄 露 ， 这 些 记 录 中 中 包 含 了 大 量 的 个 人 信 息 ， 如 姓 名 、 地 址 、 生 日 、 性 别 、 种 族 和 身 份 证 号 码 ( N R I C )   等 。 等 。 据 官 方 调 查 发 现 ， 攻 击 发 生 的 持 续 时 间 为 2 0 1 8 年 6 月 2 7 日 至 7 月 4 日 期 间 。 但 根 据 S p i d e r L a b s 的 分 析 表 明 ， 攻 击 者 至 少 在 早 于 该 时 间 段 的 数 周 前 ， 就 已 经 在 新 保 集 团 内 网 中 开 始 了 前 期 踩 点 侦 察 和 访 问 据 点 建 立 ， 攻 击 者 的 这 些 行 为 最 早 可 以 追 溯 到 2 0 1 8 年 6 月 9 日 。 以 下 是 S p i d e r L a b s 的 分 析 ： 在 新 保 集 团 数 据 泄 露 事 件 发 生 后 ， 我 们 立 即 展 开 了 一 些 相 关 研 究 分 析 ， 最 终 发 现 了 一 些 可 能 与 此 次 网 络 攻 击 相 关 的 其 他 证 据 片 段 。 我 们 的   S p i d e r L a b s   团 队 发 现 了 在 两 个 不 同 时 间 点 上 传 的 两 篇 单 独 的   P a s t e b i n   帖 子 ， 该 两 篇 P a s t e b i n 帖 子 包 含 的 信 息 ， 是 一 些 对 新 保 集 团 的 数 据 库 访 问 操 作 ， 其 中 一 篇 帖 子 罗 列 了 J a v a 服 务 器 相 关 的 异 常 日 志 ， 而 另 一 篇 帖 子 则 为 一 些 S Q L 查 询 操 作 。 为 此 ， 基 于 两 个 时 间 节 点 ， 我 们 展 开 来 分 析 所 发 现 的 线 索 。 2 0 1 8 年 年 5 月 月 2 4 日 日 2 0 1 8 年 5 月 2 4 日 ， 一 条 J a v a 异 常 跟 踪 日 志 被 发 布 到 了   P a s t e b i n   上 ， 这 篇 特 殊 的 帖 子 表 明 了 一 些 踪 迹 。 其 中 涉 及 的 查 询 操 作 看 似 是 为 了 获 取 新 保 集 团 总 部 （ S H H Q ） 的 数 据 库 访 问 授 权 ， 如 下 图 所 示 ： 攻 击 者 曾 尝 试 把 数 据 库 访 问 权 限 ， 以 新 加 坡 卫 生 服 务 医 疗 技 术 办 公 室 （ M e d i c a l   T e c h n o l o g y   O f f i c e   o f   S i n g a p o r e   H e a l t h   S e r v i c e s ） 的 一 名 高 级 经 理 的 身 份 ， 委 托 给 新 加 坡 大 型 I T 承 包 商 C T C 的 一 名 员 工 ：
而 经 我 们 分 析 发 现 ， 这 名 我 们 认 为 的 C T C 承 包 商 员 工 ， 其 名 字 与 L i n k e d I n 上 的 某 位 I T 分 析 师 匹 配 ， 真 实 情 况 是 ， 他 本 身 是 一 名 C T C 分 包 商 员 工 。 很 有 可 能 是 ， 攻 击 者 通 过 入 侵 控 制 了 该 名 员 工 的 C T C 工 作 账 号 ， 想 利 用 该 账 号 深 入 渗 透 进 入 新 保 集 团 总 部 （ S H H Q ） 数 据 库 。
具 体 的 数 据 库 委 托 请 求 操 作 发 生 在 6 月 9 日 至 6 月 1 7 日 之 间 ， 为 了 保 护 该 名 员 工 的 隐 私 ， 我 们 特 意 对 L i n k e d I n 图 片 作 了 模 糊 处 理 。 可 以 在 请 求 日 志 中 看 到 ， 卫 生 服 务 医 疗 技 术 办 公 室 的 高 级 经 理 和 C T C 分 包 商 员 工 双 方 的 联 系 号 码 都 是 伪 造 的   “ 9 7 8 6 5 4 3 2 ” ， 这 只 是 用 来 倒 数 的 一 串 数 字 ， 攻 击 者 目 的 可 能 出 于 规 避 简 单 的 伪 造 字 段 过 滤 。 在 该 篇   P a s t e b i n   帖 子 中 ， 其 异 常 请 求 日 志 的 其 它 部 分 表 明 ， 攻 击 者 正 在 尝 试 访 问 的 目 标 是 名 为   “ p o r t a l d e v ”   的 数 据 库 ， 注 意 其 名 字 是 p o r t a l + d e v ， 可 以 想 象 ， 开 发 环 境 服 务 器 没 有 生 产 环 境 服 务 器 的 保 护 措 施 严 密 ， 因 此 更 容 易 成 为 攻 击 入 侵 目 标 。 最 后 ， 还 可 以 从 中 看 到 ， 该 日 志 中 抛 出 的 错 误 表 明 ， 其   “ d e l e g a t o r I D ”   被 设 置 为 了 N U L L   。 尽 管 日 志 中 列 出 了 大 量 语 句 参 数 ， 但 这 是 唯 一 的 一 个 运 行 错 误 ， 这 也 间 接 表 明 了 攻 击 者 的 老 练 和 高 深 。 如 果 这 是 他 们 遇 到 的 唯 一 错 误 ， 对 他 们 而 言 ， 这 个 问 题 也 非 常 容 易 解 决 。 以 下 是 该 篇   P a s t e b i n   帖 子 中 ， 请 求 日 志 涉 及 的 其 它 完 整 语 句 参 数 ： 经 查 询 分 析 ， 目 前 该 篇   P a s t e b i n   帖 子 已 经 被
经 查 询 分 析 ， 目 前 该 篇   P a s t e b i n   帖 子 已 经 被 上 传 者 删 除 ， 可 以 点 此 （   w e b c a c h e ） 查 看 其 谷 歌 快 照 。 2 0 1 8 年 年 6 月 月 1 5 日 日 另 外 ， S p i d e r L a b s   团 队 还 发 现 了 一 篇   6   月   1 5   日 上 传 的   P a s t e b i n   帖 子 ， 其 中 包 含 了 一 些 新 保 集 团 数 据 库 相 关 的 S Q L 查 询 信 息 ， 这 个 帖 子 上 传 日 期 在 两 个 关 键 时 间 点 - 6 月 9 日 至 6 月 1 7 日 中 间 。 以 下 就 是 这 篇 帖 子 中 涉 及 的 一 些 S Q L 查 询 语 句 ， 其 中 明 显 包 含 了 S i n g H e a l t h 、 N H G 等 关 键 线 索 ： 从 上 图 可 以 看 出 ， 攻 击 者 的 探 测 查 询 不 仅 涉 及 新 保 集 团 ， 还 涉 及 新 加 坡 国 家 医 疗 保 健 集 团 N H G 。 还 能 从 上 述 查 询 语 句 中 看 到 ， 攻 击 者 正 尝 试 排 除 查 询 结 果 中 与   “ 牙 科 手 术 ” 相 关 的 返 回 记 录 ， 且 特 定 了 这 些 记 录 须 满 足 " D i r e c t   A c c e s s "   和   " D i r e c t   A d m i t "   权 限 ， 用 到 的 两 条 相 关 查 询 语 句 分 别 是 ： W H E R E   ` S u b - S p e c i a l t y `   < >   " D e n t a l   S u r g e r y "
` R e f .   T y p e ` I N   ( " D i r e c t   A c c e s s   P " ,   " D i r e c t   A d m i t   P " ) 这 种 特 定 的 数 据 库 查 询 ， 所 能 获 得 的 敏 感 信 息 比 从 牙 科 患 者 自 身 上 所 能 获 取 的 还 多 ， 查 询 执 行 结 果 最 终 限 定 了 一 定 范 围 ， 这 可 能 是 为 了 把 高 价 值 目 标 患 者 进 行 区 分 的 操 作 。 此 外 ， 查 询 部 分 中 引 用 的 类 别 类 型 为 ： " C l a s s   I N   ( " A " ,   " A P " ,   " A R F " ,   " B 1 " ,   " B 1 P " ,   " B 1 R F " ,   " B 2 R F " ,   " C R F " ,   " N R " ,   " P T E " ,   " P T E P " , " P T R F " ) "   ， 这 些 都 是 有 效 的 医 疗 类 别 类 型 。 以 上 的 两 个 查 询 将 “ 个 人 ” 病 患 类 别 和   “ 政 府 补 贴 ”   病 患 类 别 作 了 区 分 ， 这 可 能 是 为 了 进 一 步 关 注 潜 在 的 高 价 值 目 标 病 患 记 录 。
最 终 ， 我 们 发 现 攻 击 者 为 了 隐 藏 痕 迹 ， 已 经 删 除 了 这 篇 数 据 库 查 询 的   P a s t e b i n   帖 子 ， 谷 歌 快 照 也 不 存 在 相 关 缓 存 内 容 ， 只 在 P a s t e b i n 上 存 有 内 容 不 可 见 的 记 录 ：
可 以 说 ， 这 种 包 含 错 误 日 志 和 查 询 的 P a s t e b i n   帖 子 ， 很 多 时 候 可 能 是 开 发 人 员 之 间 为 了 排 除 故 障 而 进 行 的 相 互 共 享 ， 所 以 ， 基 于 此 种 原 因 ， 我 们 不 能 确 定 到 底 是 谁 上 传 了 这 些 内 容 到 P a s t e b i n ， 也 不 清 楚 其 实 际 意 图 。 但 是 ， 有 三 种 可 能 的 情 况 ： 第 一 ， 攻 击 者 自 己 上 传 了 这 篇 查 询 帖 子 ， 方 便 与 合 作 者 共 享 代 码 进 行 故 障 排 除 ； 第 二 ， 某 位 内 部 开 发 人 员 发 现 了 数 据 泄 露 情 况 ， 并 在 系 统 中 发 现 了 异 常 日 志 ， 因 此 把 它 上 传 到 P a s t e b i n 进 行 分 享 ， 以 进 行 故 障 排 除 ； 第 三 种 场 景 是 ， 可 能 与 攻 击 毫 无 关 联 ， 仅 只 是 某 位 内 部 开 发 人 员 为 了 进 行 故 障 排 除 而 上 传 到 P a s t e b i n 的 。 如 果 是 这 种 情 况 的 话 ， 还 是 有 些 意 思 的 ， 如 果 攻 击 者 正 尝 试 突 破 入 侵 新 保 集 团 （ S i n g H e a l t h ）   或 新 加 坡 国 家 医 疗 保 健 集 团 （ N H G ） 的 话 ， 发 现 这 篇 P a s t e b i n 帖 子 会 是 一 个 很 好 的 信 息 宝 藏 。 总 结 总 结 因 此 ， 虽 然 我 们 不 能 确 定 这 些 发 现 是 否 与 新 保 集 团 （ S i n g H e a l t h ） 的 数 据 泄 露 事 件 直 接 相 关 ， 但 所 有 这 些 可 疑 线 索 组 合 都 发 生 在 攻 击 者 的 网 络 攻 击 时 间 窗 口 期 。 在 官 方 声 称 发 生 数 据 泄 露 事 件 时 ， 我 们 发 现 了 至 少 两 个 月 前 的 这 两 条 的 线 索 信 息 ： J a v a 异 常 日 志 中 表 明 ， 嫌 疑 人 试 图 把 新 保 集 团 （ S i n g H e a l t h ） 某 个 数 据 库 访 问 权 限 委 托 授 权 给 一 名 信 息 分 包 商 员 工 ； 在 P a s t e b i n 上 识 别 了 已 经 被 删 除 的 ， 针 对 新 保 集 团 （ S i n g H e a l t h ） 某 个 数 据 库 医 疗 数 据 的 S Q L 查 询 。 单 纯 来 看 ， 这 些 线 索 可 能 多 少 有 点 不 正 常 ， 但 结 合 网 络 攻 击 的 时 间 和 结 果 ， 我 们 认 为 这 些 线 索 与 新 保 集 团 （ S i n g H e a l t h ） 数 据 泄 露 事 件 相 关 。 截 至 目 前 ， 虽 然 我 们 具 备 高 度 的 怀 疑 指 向 ， 但 还 不 具 备 足 够 的 证 据 来 支 撑 确 认 实 际 的 幕 后 攻 击 组 织 ， 然 而 ， 我 们 仍 然 认 为 ， 他 们 不 是 简 单 的 网 络 犯 罪 团 伙 ， 而 是 一 个 以 情 报 收 集 为 主 要 目 的 的 国 家 支 持 型 黑 客 组 织 。 * 参 考 来 源 ： 参 考 来 源 ： s p i d e r l a b s   ， ， c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M                

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理