搜索

[13248] 2018-09-30_法国人给了一个APT攻击用的文档，说是中国人干的

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2018-09-30_法国人给了一个APT攻击用的文档，说是中国人干的 法 国 人 给 了 一 个 A P T 攻 击 用 的 文 档 ， 说 是 中 国 人 干 的 c l o u d s   F r e e B u f   2 0 1 8 - 0 9 - 3 0 近 期 ， 法 国 安 全 研 近 期 ， 法 国 安 全 研 究 者 兼 究 者 兼   B o t C o n f   和 和   F a s t I R 创 始 人 创 始 人 S e b a s t i e n   L a r i n i e r 继 续 发 布 线 索 ， 声 称 中 国 黑 客 组 织 继 续 发 布 线 索 ， 声 称 中 国 黑 客 组 织 G o b l i n   P a n d a 曾 针 对 柬 曾 针 对 柬 埔 寨 和 韩 国 发 起 了 埔 寨 和 韩 国 发 起 了 A P T 攻 击 。 在 这 篇 文 章 中 ， 攻 击 。 在 这 篇 文 章 中 ， S e b a s t i e n 披 露 了 披 露 了 G o b l i n   P a n d a 针 对 柬 埔 寨 针 对 柬 埔 寨 A P T 攻 击 中 所 所 使 用 的 攻 击 中 所 所 使 用 的 恶 意 文 档 。 恶 意 文 档 。 恶 意 文 档 相 关 信 息 恶 意 文 档 相 关 信 息 R T F 文 档 S H A 2 5 6 :   9 d 0 c 4 e c 6 2 a b e 7 9 e 7 5 4 e a a 2 f d 7 6 9 6 f 9 8 4 4 1 b c 7 8 3 7 8 1 d 8 6 5 6 0 6 5 c d d f a e 3 d b f 5 0 3 e 攻 击 者 利 用 该 文 档 ， 可 在 目 标 系 统 中 生 成 一 个 合 法 文 件 。 核 心 的 远 控 程 序 （ R A T ） S H A 2 5 6 :   7 7 3 6 1 b 1 c a 0 9 d 6 8 5 7 d 6 8 c e a 0 5 2 a 0 b b 8 5 7 e 0 3 d 7 7 6 d 3 e 1 9 4 3 8 9 7 3 1 5 a 8 0 a 1 9 f 2 0 f c 2 d l l 文 件 S H A 2 5 6 :   4 a 5 b f 0 d f 9 e e 2 2 2 d a c 8 7 e 2 f 1 b 3 8 b 1 8 6 6 0 e b b 9 2 d e 8 b a 3 f 1 c b c 8 4 5 f 9 4 5 a 7 6 6 d d 6 a 6 C 2 d l l 文 件 会 回 连 域 名 w e a t h e r . g b a y c r u i s e . c o m ， 该 域 名 对 应 I P 为 1 0 3 . 1 9 3 . 4 . 1 0 6 ， 它 与 早 前 S e b a s t i e n 发 现 的 中 国 黑 客 组 织 针 对 越 南 政 府 A P T 攻 击 的 另 一 使 用 I P 地 址 1 0 3 . 1 9 3 . 4 . 1 1 5 ， 有 多 处 网 络 架 构 重 合 。
另 外 有 意 思 的 是 ， 对 柬 对 越 攻 击 中 用 到 的 所 有 域 名 都 是 通 过 注 册 机 构 N A M E C H E A P   I N C 注 册 的 ， 并 且 使 用 的 是 同 一 个 域 名 服 务 器 ， 同 时 ， 其 中 一 个 S H A 2 5 6 为 0 e 3 2 c e 9 e 0 c 3 0 9 8 5 9 f d 0 d 1 1 9 3 f 5 4 c a d 0 d d e 7 9 2 8 0 5 3 7 9 5 8 9 2 a 0 f 6 c 8 c 9 6 c b f 6 7 5 3 d 的 d l l 文 件 ， 还 会 回 连 域 名 b a o i n . b a o t i n t u . c o m 。 S e b a s t i e n 认 为 ， 综 合 7 月 份 F i r e E y e 发 布 的 报 告 来 看 ， 他 判 断 这 个 恶 意 文 档 是 G o b l i n   P a n d a 用 来 攻 击 柬 埔 寨 政 府 的 。 F i r e E y e 曾 经 披 露 的 报 告 要 素 曾 经 披 露 的 报 告 要 素 今 年 7 月 ， F i r e E y e 披 露 调 查 线 索 ， 怀 疑 中 国 黑 客 组 织 T E M P . P e r i s c o p e 在 柬 埔 寨 大 选 前 ， 意 图 入 侵 柬 埔 寨 政 府 获 取 柬 埔 寨 大 选 相 关 信 息 。 F i r e E y e 的 调 查 要 点 如 下 ：
攻 击 者 用   c h e m s c a l e r e [ . ] c o m   和   s c s n e w s t o d a y [ . ] c o m 两 个 域 名 作 为 C 2 回 连 域 名 ， 并 在 上 面 架 设 了 网 页 服 务 ； 另 外 ， 还 利 用 第 三 个 域 名   m l c d a i l y n e w s [ . ] c o m 作 为 用 途 为 S C A N B O X 的 网 站 服 务 ； 攻 击 者 利 用 的 C 2 域 名 服 务 器 中 留 下 了 一 些 日 志 记 录 和 用 到 的 恶 意 软 件 。 F i r e E y e 通 过 反 入 侵 以 上 三 个 服 务 器 ， 获 取 了 其 中 的 日 志 和 其 它 相 关 信 息 ， 得 出 以 下 初 步 结 论 ： 攻 击 者 从 隶 属 中 国 海 南 的 某 个 I P 地 址 远 程 登 录 和 控 制 以 上 服 务 器 ， 针 对 目 标 系 统 的 恶 意 软 件 植 入 、 命 令 控 制 和 数 据 获 取 进 行 掌 控 ； 攻 击 者 的 入 侵 已 经 成 功 渗 透 到 柬 埔 寨 相 关 的 教 育 、 航 空 、 化 工 、 国 防 、 政 府 、 海 事 和 科 技 等 领 域 的 多 个 部 门 ； F i r e E y e 经 过 识 别 ， 已 经 通 知 了 所 有 的 受 害 者 单 位 ； 攻 击 者 在 入 侵 中 还 使 用 了 新 系 列 的 恶 意 软 件 ： D A D B O D   和   E V I L T E C H ， 之 前 被 识 别 的 恶 意 软 件 系 列 为 A I R B R E A K 、 E V I L T E C H 、 H O M E F R Y 、 M U R K Y T O P 、 H T R A N 和 S C A N B O X 。 F i r e E y e 通 过 C 2 服 务 器 上 的 命 令 控 制 记 录 ， 还 得 到 了 一 些 针 对 7 月 底 柬 埔 寨 大 选 进 行 网 络 攻 击 的 线 索 ： F i r e E y e 发 现 了 一 封 针 对 柬 埔 寨 反 对 派 人 士 的 钓 鱼 邮 件 ； F i r e E y e 发 现 多 个 柬 埔 寨 政 府 实 体 受 到 攻 击 ， 包 括 柬 埔 寨 的 国 家 选 举 委 员 会 、 内 政 部 、 外 交 和 国 际 合 作 部 、 柬 埔 寨 参 议 院 、 经 济 和 财 政 部 ； F i r e E y e 发 现 柬 埔 寨 国 家 救 援 党 多 个 议 员 、 人 权 和 民 主 倡 导 人 士 和 两 名 柬 埔 寨 海 外 外 交 官 成 为 攻 击 者 目 标 ； F i r e E y e 发 现 多 个 柬 埔 寨 媒 体 机 构 成 为 攻 击 者 目 标 。 其 它 发 现 其 它 发 现 S e b a s t i e n   L a r i n i e r 综 合 F i r e E y e 的 上 述 报 告 ， 他 自 己 又 发 现 了 一 个 与 此 攻 击 相 关 的 新 的 恶 意 文 档 ， c 0 b 8 d 1 5 c d 0 f 3 f 3 c 5 a 4 0 b a 2 e 9 7 8 0 f 0 d d 1 d b 5 2 6 2 3 3 b 4 0 a 4 4 9 8 2 6 b 6 a 7 c 9 2 d 3 1 f 8 d 9 ， 该 恶 意 文 档 回 连 的 I P 地 址 为 1 0 3 . 2 4 3 . 1 7 5 . 1 8 1 ， 该 I P 地 址 还 可 关 联 到 另 一 域 名 u p d a t e . w s m c o f f . c o m ， 其 对 应 的 I P 地 址 为 1 8 5 . 1 7 4 . 1 7 3 . 1 5 7 ， 最 终 ， I P 地 址 1 8 5 . 1 7 4 . 1 7 3 . 1 5 7 会 与 F i r e E y e 报 告 中 的 C 2 服 务 器 c h e m s c a l e r e . c o m 发 生 关 联 行 为 。
因 此 ， 综 合 以 上 发 现 ， S e b a s t i e n   L a r i n i e r 认 为 ， u p d a t e . w s m c o f f . c o m 也 是 T E M P . P e r i s c o p e 使 用 的 网 络 攻 击 架 构 之 一 ， G o b l i n   P a n d a 和 T E M P . P e r i s c o p e 都 曾 对 柬 埔 寨 政 府 发 起 网 络 攻 击 ， 它 们 两 个 组 织 之 间 有 着 多 个 相 同 的 技 术 能 力 特 点 。 * c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理