搜索

[15030] 2020-02-18_伊朗黑客入侵VPN服务器，意图在世界各地的公司植入后门

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-02-18_伊朗黑客入侵VPN服务器，意图在世界各地的公司植入后门 伊 朗 黑 客 入 侵 V P N 服 务 器 ， 意 图 在 世 界 各 地 的 公 司 植 入 后 门 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 2 - 1 8 伊 朗 黑 客 已 将 伊 朗 黑 客 已 将 P u l s e   S e c u r e 、 、 F o r t i n e t 、 、 P a l o   A l t o   N e t w o r k s 和 和 C i t r i x   V P N 定 位 为 入 侵 大 型 公 司 的 工 具 。 定 位 为 入 侵 大 型 公 司 的 工 具 。 2 0 1 9 年 ， 大 量 企 业 V P N 服 务 器 被 披 露 严 重 安 全 漏 洞 ， 例 如 P u l s e   S e c u r e ， P a l o   A l t o   N e t w o r k s ， F o r t i n e t 和 C i t r i x 出 售 的 服 务 器 。 根 据 网 络 安 全 公 司 C l e a r S k y 发 布 的 一 份 新 报 告 ， 去 年 ， 伊 朗 政 府 支 持 的 黑 客 组 织 将 利 用 V P N 漏 洞 作 为 头 等 大 事 ， 以 渗 透 世 界 各 地 的 公 司 并 植 入 后 门 。 报 告 显 示 ， I T 、 电 信 、 石 油 和 天 然 气 、 航 空 、 政 府 以 及 安 全 行 业 相 关 的 企 业 都 是 伊 朗 黑 客 的 攻 击 目 标 。 公 开 披 露 几 小 时 后 发 生 了 攻 击 公 开 披 露 几 小 时 后 发 生 了 攻 击 伊 朗 黑 客 组 织 完 全 不 是 想 象 中 那 么 不 够 老 练 ， 他 们 和 俄 罗 斯 等 国 家 黑 客 组 织 一 样 复 杂 。 C l e a r S k y 表 示 ： “ 伊 朗 A P T 组 织 已 经 发 展 出 良 好 的 技 术 进 攻 能 力 ， 并 且 能 够 在 相 对 较 短 的 时 间 内 利 用 0 d a y 漏 洞 。 ” 在 某 些 情 况 下 ， 伊 朗 A P T 组 织 能 够 在 漏 洞 被 公 开 披 露 后 数 小 时 内 完 成 V P N 漏 洞 利 用 。 在 2 0 1 9 年 ， 伊 朗 A P T 迅 速 利 用 了 P u l s e   S e c u r e “ C o n n e c t ” V P N   ( C V E - 2 0 1 9 - 1 1 5 1 0 )   、 F o r t i n e t   F o r t i O S   V P N   漏 洞 ( C V E - 2 0 1 8 - 1 3 3 7 9 )   和   P a l o   A l t o   N e t w o r k s “ G l o b a l   P r o t e c t ” V P N   漏 洞   ( C V E - 2 0 1 9 - 1 5 7 9 ) 。 尽 管 对 这 些 系 统 的 攻 击 始 于 去 年 夏 天 ， 当 时 有 关 这 些 安 全 漏 洞 的 详 细 信 息 也 已 经 被 公 开 ， 但 直 到 2 0 2 0 年 这 类 攻 击 仍 在 继 续 。 此 外 ， 随 着 其 他 V P N 漏 洞 的 详 细 信 息 被 公 开 ， 伊 朗 A P T 也 在 攻 击 中 利 用 了 这 些 漏 洞 （ 思 杰 “ A D C ” V P N   中 的 漏 洞 ， C V E - 2 0 1 9 - 1 9 7 8 1 ） 。 入 侵 企 业 ， 植 入 后 门 入 侵 企 业 ， 植 入 后 门 根 据 C l e a r S k y 的 报 告 ， 这 些 攻 击 的 目 的 是 破 坏 企 业 网 络 ， 在 其 内 部 系 统 中 横 向 移 动 并 植 入 后 门 以 供 日 后 利 用 。 攻 击 的 第 一 阶 段 （ 攻 陷 ） 针 对 的 是 V P N ， 而 第 二 阶 段 （ 横 向 运 动 ） 则 涉 及 到 全 面 的 工 具 和 技 术 ， 这 些 显 示 了 伊 朗 A P T 近 年 来 的 发 展 水 平 提 升 。
例 如 ， 黑 客 滥 用 已 知 的 技 术 ， 通 过 “ S t i c k y K e y s ” 辅 助 工 具 在 W i n d o w s 系 统 上 获 得 管 理 员 权 。 他 们 还 利 用 了 J u i c y P o t a t o 和 I n v o k e   t h e   H a s h 等 开 源 黑 客 工 具 ， 使 用 了 诸 如 P u t t y ， P l i n k ， N g r o k ， S e r v e o 或 F R P 之 类 的 合 法 系 统 管 理 员 软 件 。 此 外 ， 在 黑 客 找 不 到 开 源 工 具 或 本 地 实 用 程 序 来 帮 助 其 进 行 攻 击 的 情 况 下 ， 他 们 还 能 开 发 定 制 化 恶 意 软 件 。 C l e a r S k y 就 发 现 了 伊 朗 A P T 使 用 的 工 具 ： S T S R C h e c k ： 自 行 开 发 的 数 据 库 和 开 放 端 口 映 射 工 具 。 P O W S S H N E T ： 自 行 开 发 的 后 门 恶 意 软 件 ， 用 于 R D P - o v e r - S S H 隧 道 。 C u s t o m   V B S c r i p t s ： 用 于 从 命 令 和 控 制 （ C 2 或 C ＆ C ） 服 务 器 下 载 T X T 文 件 并 将 这 些 文 件 统 一 到 可 移 植 可 执 行 文 件 的 脚 本 。 c s . e x e 上 基 于 套 接 字 的 后 门 ： 用 于 打 开 到 硬 编 码 I P 地 址 的 基 于 套 接 字 连 接 的 E X E 文 件 。 P o r t . e x e ： 扫 描 预 定 义 端 口 以 查 找 I P 地 址 的 工 具 。 多 个 多 个 A P T 合 而 为 一 合 而 为 一 C l e a r S k y 报 告 的 另 一 个 启 示 是 ， 伊 朗 各 组 织 似 乎 也 在 合 作 ， 并 作 为 一 个 整 体 行 动 ， 这 在 过 去 是 不 曾 有 过 的 。 此 前 关 于 伊 朗 黑 客 活 动 的 报 告 详 细 描 述 了 不 同 的 活 动 集 群 ， 但 通 常 都 是 一 个 单 一 的 小 组 活 动 。
C l e a r S k y 的 报 告 强 调 ， 针 对 全 球 V P N 服 务 器 的 攻 击 似 乎 是 至 少 三 个 伊 朗 A P T 的 联 合 行 为 ， 即 A P T 3 3 （ E l f i n ， S h a m o o n ） 、 A P T 3 4 （ O i l r i g ） 和 A P T 3 9 （ C h a f e r ） 。 数 据 清 除 攻 击 当 前 ， 这 些 攻 击 的 目 的 似 乎 是 执 行 侦 察 和 为 监 视 目 的 而 部 署 后 门 。 但 是 ， C l e a r S k y 担 心 将 来 所 有 这 些 受 感 染 的 企 业 网 络 的 访 问 也 可 能 会 被 武 器 化 ， 被 部 署 可 能 破 坏 公 司 网 络 和 业 务 运 营 的 数 据 擦 除 恶 意 软 件 。 这 些 担 心 很 可 能 变 成 现 实 。 2 0 1 9 年 9 月 以 来 ， 已 经 发 现 了 两 种 新 型 的 数 据 擦 除 恶 意 软 件 （ Z e r o C l e a r e 和 D u s t m a n ） 并 被 指 与 伊 朗 黑 客 有 关 。 此 外 ， 也 不 排 除 伊 朗 黑 客 可 能 利 用 对 受 感 染 公 司 的 访 问 权 对 其 客 户 进 行 供 应 链 攻 击 。 这 一 理 论 得 到 以 下 事 实 的 支 持 ： F B I 在 本 月 早 些 时 候 向 美 国 私 营 部 门 发 出 了 安 全 警 报 ， 警 示 正 在 针 对 软 件 供 应 链 公 司 的 持 续 攻 击 ， “ 包 括 支 持 全 球 能 源 产 出 、 传 输 和 分 发 的 工 控 系 统 的 实 体 。 ” 过 去 ， 工 控 和 能 源 行 业 一 直 是 伊 朗 A P T 的 攻 击 目 标 。 F B I 的 同 一 警 报 还 指 出 ， 这 些 攻 击 中 部 署 的 恶 意 软 件 与 伊 朗 A P T 3 3 组 织 先 前 使 用 的 代 码 之 间 存 在 关 联 ， 强 烈 暗 示 伊 朗 黑 客 可 能 是 这 些 攻 击 的 幕 后 黑 手 。 此 外 ， 对 巴 林 国 家 石 油 公 司 B a p c o 的 攻 击 也 使 用 了 C l e a r S k y 在 其 报 告 中 描 述 的 “ 攻 陷 V P N - > 横 向 移 动 ” 策 略 。 C l e a r S k y 警 示 ， 尽 管 攻 击 过 去 了 几 个 月 ， 这 些 最 终 修 补 了 V P N 服 务 器 的 公 司 也 应 该 扫 描 其 内 部 网 络 ， 以 检 查 是 否 被 攻 陷 的 迹 象 。 同 时 ， 报 告 里 还 提 出 了 安 全 团 队 可 以 用 来 扫 描 日 志 和 内 部 系 统 以 判 断 伊 朗 黑 客 组 织 入 侵 迹 象 的 受 陷 指 标 ( I O C s ) 。 新 的 新 的 V P N 漏 洞 漏 洞 此 外 ， 考 虑 到 C l e a r S k y 报 告 的 结 论 ， 我 们 还 可 以 预 测 ， 一 旦 由 新 的 V P N 漏 洞 公 开 ， 伊 朗 的 A P T 会 马 上 利 用 该 漏 洞 。 这 也 意 味 着 伊 朗 A P T 很 可 能 会 在 针 对 S o n i c W a l l   S R A 和 S M A   V P N 服 务 器 ， 因 为 不 久 前 安 全 研 究 人 员 公 布 了 影 响 这 两 个 产 品 的 六 个 漏 洞 的 详 细 信 息 。 报 告 完 整 版 ： h t t p s : / / w w w . c l e a r s k y s e c . c o m / f o x - k i t t e n / * 参 考 来 源 ： 参 考 来 源 ： Z D N e t ， ， k i r a z h o u 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理