搜索

[13441] 2018-11-20_赛门铁克发现朝鲜APT组织Lazarus攻击金融机构的关键性工具

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-11-20_赛门铁克发现朝鲜APT组织Lazarus攻击金融机构的关键性工具 赛 门 铁 克 发 现 朝 鲜 A P T 组 织 L a z a r u s 攻 击 金 融 机 构 的 关 键 性 工 具 c l o u d s   F r e e B u f   2 0 1 8 - 1 1 - 2 0 1 0 月 2 日 ， 美 国 国 土 安 全 部 （ D H S ） 下 属 的 U S - C E R T 发 表 了 一 则 针 对 朝 鲜 A P T 组 织 L a z a r u s （ H i d d e n   C o b r a ） 的 技 术 性 预 警 公 告 ， 公 告 指 出 ， 在 D H S 、 D o T （ 财 政 部 ） 和 F B I 的 共 同 努 力 下 ， 发 现 了 L a z a r u s 用 于 在 全 球 实 施 A T M 网 络 犯 罪 的 恶 意 软 件 样 本 和 多 个 威 胁 指 标 （ I O C s ） ， D H S 把 L a z a r u s 组 织 的 该 系 列 恶 意 网 络 犯 罪 命 名 为 “ F A S T C a s h ” 攻 击 。 1 0 月 8 日 ， 安 全 公 司 赛 门 铁 克 （ S y m a n t c ） 发 表 报 告 声 称 ， 已 经 发 现 了 L a z a r u s 组 织 用 于 “ F A S T C a s h ” 攻 击 的 关 键 性 工 具 。 自 2 0 1 4 年 以 来 ， L a z a r u s 在 全 球 多 个 国 家 实 施 了 多 起 网 络 犯 罪 ， 入 侵 索 尼 公 司 、 攻 击 韩 国 金 融 媒 体 机 构 、 窃 取 孟 加 拉 央 行 8 1 0 0 万 美 元 、 攻 击 美 国 国 防 承 包 商 和 比 特 币 交 易 所 、 发 起 W a n n a C r y 勒 索 攻 击 。 D H S 透 露 ， 根 据 美 国 政 府 的 可 信 合 作 伙 伴 评 估 ， L a z a r u s 仅 针 对 金 融 机 构 的 “ F A S T C a s h ” 攻 击 窃 取 金 额 就 达 数 千 万 美 元 。 赛 门 铁 克 赛 门 铁 克 的 发 现 的 发 现 赛 门 铁 克 研 究 人 员 透 露 ， L a z a r u s 组 织 在 开 展 F A S T C a s h 攻 击 时 ， 首 先 会 找 点 入 侵 目 标 银 行 的 网 络 ， 接 着 渗 透 进 入 负 责 A T M 交 易 的 交 换 应 用 服 务 器 ， 最 终 在 这 些 服 务 器 上 部 署 一 些 此 前 我 们 从 未 识 别 的 恶 意 软 件   -   ( T r o j a n . F a s t c a s h )   。 之 后 ， L a z a r u s 攻 击 人 员 会 发 起 欺 诈 性 的 现 金 提 取 请 求 ， 其 部 署 的 恶 意 软 件 则 负 责 请 求 拦 截 监 听 ， 并 会 向 负 责 A T M 交 易 的 交 换 应 用 服 务 器 返 回 假 冒 的 请 求 响 应 ， 以 此 实 现 对 A T M 系 统 的 现 金 窃 取 。 根 据 U S - C E R T 的 预 警 公 告 反 应 ， L a z a r u s 于 2 0 1 7 年 发 起 了 一 起 攻 击 事 件 ， 其 分 别 从 全 球 3 0 多 个 不 同 国 家 的 A T M 机 系 统 中 同 时 提 取 转 移 了 大 量 现 金 。 同 样 的 攻 击 也 在 2 0 1 8 年 发 生 过 ， 这 一 次 ， L a z a r u s 从 2 3 个 不 同 国 家 的 A T M 机 系 统 中 窃 取 了 大 量 现 金 。
L a z a r u s 开 展 开 展 F A S T C a s h 攻 击 的 具 体 流 程 攻 击 的 具 体 流 程 为 了 实 现 从 A T M 机 系 统 中 欺 诈 性 的 转 移 现 金 ， L a z a r u s 攻 击 者 具 体 的 做 法 是 ， 在 负 责 A T M 交 易 的 交 换 应 用 服 务 器 中 ， 向 某 个 运 行 的 合 法 进 程 注 入 一 个 高 级 交 互 执 行 程 序 （ A d v a n c e d   I n t e r a c t i v e   e X e c u t i v e ,   A I X ） ， 这 个 恶 意 的 A I X 程 序 包 含 了 构 造 假 冒 I S O   8 5 8 3 消 息 报 文 的 逻 辑 （ I S O 8 5 8 3 金 融 交 易 报 文 是 银 行 业 和 金 融 服 务 业 常 用 的 数 据 消 息 格 式 ， 常 用 于 终 端 交 易 设 备 中 ） 。 L a z a r u s 这 种 假 冒 I S O   8 5 8 3 消 息 报 文 的 技 术 此 前 未 曾 被 发 现 过 ， 通 常 的 认 为 是 L a z a r u s 通 过 使 用 脚 本 来 控 制 服 务 器 实 现 转 账 交 易 欺 骗 。 I S O 8 5 8 3 金 融 交 易 报 文 ： 是 银 行 业 和 金 融 服 务 业 常 用 的   I S O   标 准 ， 该 标 准 指 定 了 一 个 消 息 格 式 ， 设 备 和 发 卡 行 之 间 可 以 使 用 该 消 息 格 式 来 交 换 信 用 卡 数 据 和 借 记 卡 数 据 ， 该 标 准 通 常 为 销 售 点 设 备 和 自 动 取 款 机 所 采 用 。 消 息 本 身 通 常 包 含 有 关 交 易 金 额 、 交 易 发 起 位 置 、 卡 的 帐 号 以 及 银 行 分 类 代 码 的 信 息 。 接 收 数 据 的 应 用 程 序 可 以 有 多 种 用 途 ， 例 如 在 多 个 银 行 帐 户 之 间 转 移 资 金 、 支 付 账 单 或 手 机 充 值 。 赛 门 铁 克 及 时 发 现 了 这 种 注 入 到 A T M 交 易 应 用 服 务 器 中 的 恶 意 软 件 ， 并 把 它 命 名 为 T r o j a n . F a s t c a s h ， 实 质 上 它 属 于 木 马 类 恶 意 程 序 ， 且 包 含 了 两 个 主 要 功 能 ： 1 、 监 视 传 入 服 务 器 的 消 息 ， 并 在 请 求 到 达 交 易 服 务 器 之 前 ， 拦 截 攻 击 者 生 成 的 欺 诈 性 交 易 请 求 2 、 为 了 形 成 欺 诈 性 交 易 请 求 ， 其 中 包 含 了 生 成 一 个 假 冒 响 应 的 程 序 逻 辑
赛 门 铁 克 赛 门 铁 克 对 对 F A S T C a s h 攻 击 攻 击 的 的 发 现 发 现 样 本 样 本 一 旦 T r o j a n . F a s t c a s h 被 成 功 部 署 在 负 责 A T M 交 易 的 应 用 服 务 器 中 ， 其 将 会 读 取 所 有 传 入 服 务 器 的 网 络 流 量 ， 并 扫 描 流 量 中 包 含 的   I S O   8 5 8 3 报 文 请 求 ， 而 且 它 还 会 探 测 流 量 消 息 中 ， 攻 击 者 用 来 执 行 交 易 的 银 行 主 账 户 号 （ P r i m a r y A c c o u n t   N u m b e r ， P A N ） ， 如 果 有 银 行 主 账 户 号 出 现 ， T r o j a n . F a s t c a s h 就 会 尝 试 修 改 涉 及 该 账 户 号 的 消 息 。 L a z a r u s 会 根 据 不 同 的 金 融 机 构 目 标 ， 实 行 不 同 的 账 户 号 消 息 修 改 方 法 ， 如 果 消 息 修 改 成 功 ， T r o j a n . F a s t c a s h 会 针 对 向 A T M 应 用 服 务 器 发 起 的 欺 诈 请 求 ， 返 回 一 条 假 冒 的 现 金 转 账 批 准 响 应 ， 最 终 ， L a z a r u s 的 转 账 申 请 就 会 被 A T M 应 用 服 务 器 放 行 ， 从 而 成 功 实 施 了 现 金 转 账 。 经 分 析 ， 以 下 是 T r o j a n . F a s t c a s h 用 来 生 成 假 冒 批 准 响 应 的 一 个 程 序 逻 辑 。 这 个 特 殊 样 本 会 根 据 攻 击 者 传 入 的 欺 诈 请 求 ， 构 造 以 下 不 同 三 个 假 冒 响 应 之 一 。 当 I S O 8 5 8 3 报 文 消 息 的 类 型 标 识   = =   2 0 0 ， 也 就 是 A T M 发 生 交 易 行 为 ， 和 P O S 机 型 磁 条 卡 的 服 务 点 输 入 方 式 码 从 9 0 开 始 时 ， T r o j a n . F a s t c a s h 有 以 下 程 序 逻 辑 ： I f   P r o c e s s i n g   C o d e   s t a r t s   w i t h   3   ( B a l a n c e   I n q u i r y ) : O t h e r w i s e ,   i f   t h e   P r i m a r y   A c c o u n t   N u m b e r   i s   B l a c k l i s t e d   b y   A t t a c k e r s （ 否 则 ， 如 果 攻 击 者 将 主 帐 号 列 入 黑 名 单 ） ： A l l   o t h e r   P r o c e s s i n g   C o d e s   ( w i t h   n o n - b l a c k l i s t e d   P A N s ) : 在 这 种 情 况 下 ， 攻 击 者 似 乎 内 置 了 根 据 他 们 自 己 设 置 的 黑 名 单 账 户 号 有 选 择 性 地 进 行 转 账 交 易 ， 但 是 ， 该 功 能 在 这 样 本 中 并 没 有 成 功 实 现 ， 其 黑 名 单 检 查 机 制 总 是 返 回 “ F a l s e ” 。 赛 门 铁 克 发 现 了 和 T r o j a n . F a s t c a s h 相 关 的 几 种 不 同 特 洛 伊 木 马 变 种 ， 且 每 种 都 使 用 了 不 同 的 响 应 逻 辑 ， 赛 门 铁 克 认 为 这 些 变 种 都 是 针 对 不 同 金 融 机 构 的 特 定 交 易 处 理 网 络 而 定 制 的 ， 因 此 其 具 备 的 响 应 逻 辑 有 所 不 同 。 另 外 ， 被 L a z a r u s 组 织 用 于 F A S T C a s h 攻 击 的 银 行 主 账 户 号 （ P A N ） 都 是 真 实 存 在 的 ， 根 据 U S - C E R T 的 预 警 公 告 ， 这 些 被 攻 击 者 用 来 发 起 交 易 的 账 户 号 不 太 活 跃 或 是 零 余 额 状 态 ， 而 攻 击 者 控 制 这 些 账 户 号 的 方 法 也 暂 不 清 楚 ， 可 能 是 攻 击 者 的 自 行 开 卡 ， 也 可 能 是 其 它 攻 击 活 动 中 窃 取 的 账 户 。 截 至 目 前 ， 在 所 有 对 F A S T C a s h 攻 击 的 报 告 中 ， 都 提 到 了 由 于 银 行 应 用 服 务 器 的 A I X 操 作 系 统 更 新 不 及 时 ， 存 在 漏 洞 ， 导 致 被 攻 击 者 入 侵 的 说 法 。 L a z a r u s 对 金 融 机 构 的 持 续 威 胁 对 金 融 机 构 的 持 续 威 胁 最 近 的 F A S T C a s h 攻 击 表 明 ， 对 金 融 机 构 的 攻 击 不 是 L a z a r u s 的 一 时 兴 起 ， 很 有 可 能 是 其 长 期 的 主 要 活 动 。 如 同 2 0 1 6 年 的 对 孟 加 拉 国 央 行 的 现 金 转 移 案 一 样 ， F A S T C a s h 攻 击 反 映 了 L a z a r u s 对 银 行 系 统 和 交 易 处 理 协 议 有 着 深 入 的 研 究 理 解 ， 并 且 能 发 现 存 在 漏 洞 的 银 行 网 络 ， 并 成 功 从 中 窃 取 转 移 现 金 ， 作 案 手 法 相 当 专 业 。 总 之 ， L a z a r u s 会 持 续 对 金 融 部 门 造 成 严 重 威 胁 ， 相 关 单 位 和 部 门 应 采 取 必 要 措 施 ， 确 保 其 支 付 系 统 及 时 更 新 并 处 于 安 全 状 态 。 防 护 建 议 防 护 建 议       R e s p o n s e   C o d e   =   0 0   ( A p p r o v e d )         R e s p o n s e   C o d e   =   5 5     ( I n v a l i d   P I N )         R e s p o n s e   C o d e   =   0 0   ( A p p r o v e d )
1 、 及 时 更 新 操 作 系 统 和 相 关 应 用 软 件 ； 2 、 关 注 并 更 新 近 期 容 易 被 攻 击 者 利 用 的 应 用 软 件 漏 洞 ； 3 、 及 时 更 新 应 用 服 务 中 涉 及 的 A I X 操 作 系 统 。 I o C D 4 6 5 6 3 7 5 1 8 0 2 4 2 6 2 C 0 6 3 F 4 A 8 2 D 7 9 9 A 4 E 4 0 F F 3 3 8 1 0 1 4 9 7 2 F 2 4 E A 1 8 B C 2 3 C 3 B 2 7 E E   ( T r o j a n . F a s t c a s h I n j e c t o r ) C A 9 A B 4 8 D 2 9 3 C C 8 4 0 9 2 E 8 D B 8 F 0 C A 9 9 C B 1 5 5 B 3 0 C 6 1 D 3 2 A 1 D A 7 C D 3 6 8 7 D E 4 5 4 F E 8 6 C   ( T r o j a n . F a s t c a s h D L L ) 1 0 A C 3 1 2 C 8 D D 0 2 E 4 1 7 D D 2 4 D 5 3 C 9 9 5 2 5 C 2 9 D 7 4 D C B C 8 4 7 3 0 3 5 1 A D 7 A 4 E 0 A 4 B 1 A 0 E B A   ( T r o j a n . F a s t c a s h D L L ) 3 A 5 B A 4 4 F 1 4 0 8 2 1 8 4 9 D E 2 D 8 2 D 5 A 1 3 7 C 3 B B 5 A 7 3 6 1 3 0 D D D B 8 6 B 2 9 6 D 9 4 E 6 B 4 2 1 5 9 4 C   ( T r o j a n . F a s t c a s h D L L ) * 参 考 来 源 ： s y m a n t e c ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理