搜索

[14795] 2019-11-09_PKPLUG黑客组织分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-11-09_PKPLUG黑客组织分析 P K P L U G 黑 客 组 织 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 1 1 - 0 9 三 年 来 ， 研 究 人 员 发 现 并 追 踪 了 一 组 遍 布 亚 洲 的 网 络 间 谍 攻 击 活 动 ， 攻 击 中 同 时 使 用 了 公 开 和 自 定 义 恶 意 软 三 年 来 ， 研 究 人 员 发 现 并 追 踪 了 一 组 遍 布 亚 洲 的 网 络 间 谍 攻 击 活 动 ， 攻 击 中 同 时 使 用 了 公 开 和 自 定 义 恶 意 软 件 ， 研 究 人 员 将 该 黑 客 组 织 命 名 为 件 ， 研 究 人 员 将 该 黑 客 组 织 命 名 为 P K P L U G 。 但 还 不 能 确 定 这 是 一 个 黑 客 组 织 ， 还 是 多 个 黑 客 组 织 在 使 用 相 同 。 但 还 不 能 确 定 这 是 一 个 黑 客 组 织 ， 还 是 多 个 黑 客 组 织 在 使 用 相 同 的 工 具 并 有 相 同 的 任 务 。 的 工 具 并 有 相 同 的 任 务 。 P K P L U G 来 自 于 将 p l u g x 恶 意 软 件 作 为 d l l 放 入 z i p 存 档 文 件 中 的 策 略 ， z i p 文 件 格 式 的 头 中 包 含 a s c i i 字 节 “ p k ” ， 因 此 是 p k p l u g 。 在 研 究 过 程 中 ， 研 究 人 员 将 其 与 6 年 前 的 攻 击 活 动 联 系 起 来 。 关 于 P K K P U T 的 最 终 目 标 还 不 完 全 清 楚 ， 但 是 根 据 安 装 在 目 标 系 统 上 的 后 门 木 马 ， 推 断 跟 踪 目 标 和 收 集 信 息 是 该 组 织 目 的 之 一 。 受 害 者 主 要 分 布 在 亚 洲 东 南 沿 海 国 家 ， 尤 其 是 缅 甸 、 越 南 和 印 度 尼 西 亚 ， 在 亚 洲 的 其 他 地 区 也 有 出 现 ， 如 * * 、 新 疆 和 蒙 古 。 目 标 分 析 目 标 分 析 基 于 P K P U L T E 活 动 情 况 收 集 ， 受 害 者 主 要 分 布 在 南 洋 地 区 和 周 边 地 区 。 具 体 而 言 ， 目 标 国 家 （ 地 区 ） / 省 份 包 括 ， 缅 甸 和 中 国 台 湾 ， 越 南 和 印 度 尼 西 亚 。 亚 洲 其 他 地 区 的 目 标 包 括 蒙 古 、 * * 和 新 疆 。 印 度 尼 西 亚 、 缅 甸 和 越 南 是 东 盟 成 员 国 ； 蒙 古 ， 特 别 是 独 立 国 家 ， 又 称 外 蒙 古 ； * * 和 新 疆 是 中 国 的 自 治 区 。 该 地 区 的 进 一 步 紧 张 可 以 归 因 于 对 南 海 的 所 有 权 要 求 ， 包 括 捕 捞 配 额 和 尚 未 被 证 实 的 石 油 和 天 然 气 储 量 。 时 间 线 时 间 线 本 节 记 录 了 有 关 p k p l u g 的 网 络 攻 击 的 先 前 工 作 。 下 图 说 明 了 样 本 出 现 的 时 间 顺 序 ， 突 出 显 示 了 每 个 样 本 的 关 键 发 现 。 P K P A C K 已 经 活 跃 了 六 年 或 更 长 时 间 ， 有 各 种 各 样 的 目 标 和 攻 击 手 法 。 上 图 中 的 水 平 时 间 线 显 示 的 日 期 与 发 布 日 期 有 关 ， 而 不 是 活 动 攻 击 日 期 。 首 次 发 现 首 次 发 现 2 0 1 3 年 1 1 月 ， B l u e   B r a n d 实 验 室 发 布 了 一 份 报 告 ， 描 述 了 攻 击 者 使 用 P l u r x 恶 意 软 件 攻 击 蒙 古 目 标 的 情 况 。 与 过 去 十 年
或 更 长 时 间 里 许 多 其 他 攻 击 一 样 ， B l u e   B l u e 将 D L L 加 载 技 术 用 于 合 法 的 、 签 名 的 应 用 程 序 来 启 动 恶 意 有 效 负 载 ， 报 告 还 记 录 了 该 组 织 利 用 M i c r o s o f t   O f f i c e 中 的 软 件 漏 洞 进 行 攻 击 的 情 况 。 第 二 次 发 现 第 二 次 发 现 A b o r 于 2 0 1 6 年 4 月 发 布 的 一 份 报 告 详 细 说 明 了 近 十 二 个 月 来 缅 甸 和 亚 洲 其 他 国 家 遭 受 恶 意 软 件 攻 击 情 况 。 他 们 注 意 到 攻 击 者 利 用 东 盟 成 员 国 身 份 、 经 济 和 民 主 等 相 关 话 题 的 制 作 钓 鱼 邮 件 ， d l l 加 载 也 是 此 次 攻 击 活 动 中 恶 意 软 件 采 用 的 加 载 方 法 。 第 三 次 发 现 第 三 次 发 现 U n i t   4 2 发 表 了 一 项 研 究 ， 分 析 了 通 过 谷 歌 硬 盘 传 播 的 9 0 0 2 木 马 的 网 络 攻 击 。 下 载 源 于 鱼 叉 式 钓 鱼 邮 件 ， 其 中 包 含 一 个 短 链 接 ， 在 下 载 谷 歌 硬 盘 上 的 Z I P 文 件 之 前 多 次 重 定 向 。 z i p 文 件 包 含 一 个 d l l 加 载 包 ， 利 用 合 法 的 播 放 器 来 加 载 9 0 0 2 木 马 。 第 四 次 发 现 第 四 次 发 现 2 0 1 7 年 3 月 ， 研 究 人 员 发 布 了 一 份 报 告 描 述 了 香 港 网 络 安 全 公 司 V K R L 检 测 到 的 攻 击 — — 通 过 日 本 G e u r C u b e 公 司 传 播 带 有 恶 意 U R L 的 鱼 叉 式 钓 鱼 邮 件 。 恶 意 网 站 包 含 V B S c r i p t ， 从 同 一 站 点 下 载 W o r d 文 档 ， 以 及 P u f f S c r i p t 脚 本 。 另 外 还 发 现 一 份 针 对 蒙 古 的 诱 饵 文 件 ， 诱 骗 目 标 下 载 恶 意 软 件 并 通 过 W i n d o w s 来 执 行 恶 意 载 荷 。 第 五 次 发 现 第 五 次 发 现 在 2 0 1 8 年 初 ， 研 究 人 员 发 现 了 一 个 新 的 A n d r o i d 恶 意 软 件 家 族 ， 名 为 “ H e b o x ” ， 该 恶 意 家 族 活 动 可 追 溯 到 2 0 1 5 年 底 ， 现 已 经 发 现 了 4 0 0 个 样 本 。 H e n B o x 经 常 伪 装 成 合 法 的 A n d r o i d 应 用 程 序 ， 其 主 要 目 标 为 U y g h u r s ， 也 将 中 国 制 造 商 小 米 制 造 的 设 备 设 为 攻 击 目 标 。 一 旦 安 装 H e n B o x ， 恶 意 软 件 将 从 设 备 上 窃 取 个 人 信 息 ， 收 集 目 标 电 话 号 码 ， 访 问 设 备 麦 克 风 和 相 机 。 第 六 次 发 现 第 六 次 发 现 根 据 进 一 步 的 调 查 和 围 绕 H e n b o x 基 础 结 构 的 分 析 ， 研 究 人 员 发 现 了 一 个 以 前 未 知 的 W i n d o w s 木 马 F a r s e e r ， F a r s e e r 使 用 D L L 加 载 技 术 来 安 装 有 效 载 荷 。 关 联 分 析 关 联 分 析 通 过 M a l t e g o 图 显 示 了 已 发 现 的 活 动 中 恶 意 软 件 和 已 知 的 与 p k p l u g 相 关 的 恶 意 软 件 样 本 的 关 联 ， 随 着 发 现 增 多 图 表 也 在 持 续 增 长 。 图 片 的 索 引 与 上 图 时 间 线 发 现 相 对 应 。
下 图 再 次 显 示 了 六 次 发 现 的 简 化 视 图 ， 使 用 了 恶 意 软 件 精 简 的 基 础 架 构 来 突 出 一 些 核 心 重 叠 。
总 结 总 结 因 为 没 有 完 全 看 到 黑 客 组 织 每 一 次 攻 击 ， 无 法 描 述 黑 客 组 织 攻 击 的 全 貌 ， 但 可 以 利 用 现 有 相 关 数 据 （ 如 网 络 基 础 设 施 、 恶 意 软 件 行 为 等 ） 有 助 于 我 们 更 好 地 了 解 对 手 。 根 据 所 收 集 到 的 数 据 可 知 ， P K P A C K 是 一 个 持 续 活 动 的 黑 客 组 织 ， 在 过 去 的 六 年 中 使 用 了 多 个 恶 意 软 件 家 族 — — P o i s o n   I v y 、   P l u g X 、   a n d   Z u p d a x 、 9 0 0 2 、 H e b o x 和 F a S E E R 。 其 目 标 包 括 东 盟 国 家 组 织 的 成 员 国 、 中 国 自 治 区 、 中 国 一 带 一 路 倡 议 有 关 的 国 家 和 地 区 ， 以 及 南 海 国 家 和 地 区 。 P l a y b o o k   V i e w e r 有 助 于 突 出 显 示 的 P K P L U G 恶 意 软 件 的 相 似 之 处 ， 该 组 织 倾 向 于 使 用 鱼 叉 式 钓 鱼 邮 件 向 受 害 者 发 送 恶 意 软 件 和 链 接 ， 一 些 电 子 邮 件 附 件 包 含 O f f i c e 漏 洞 ， 诱 使 受 害 者 打 开 附 件 。 d l l 加 载 作 为 安 装 或 运 行 其 有 效 负 载 的 方 法 几 乎 无 处 不 在 。 A n d r o i d 恶 意 软 件 的 使 用 表 明 ， P K P L U G 的 目 标 可 能 发 生 了 变 化 。 * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理