搜索

[15509] 2020-06-18_当黑客给你发offer……

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-06-18_当黑客给你发offer…… 当 黑 客 给 你 发 o f f e r … … S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 6 - 1 8 依 托 社 交 媒 体 开 展 的 间 谍 活 动 近 年 来 不 在 少 数 ， 伪 装 、 假 冒 、 社 会 工 程 学 等 手 段 也 是 层 出 不 穷 。 近 日 ， 依 托 社 交 媒 体 开 展 的 间 谍 活 动 近 年 来 不 在 少 数 ， 伪 装 、 假 冒 、 社 会 工 程 学 等 手 段 也 是 层 出 不 穷 。 近 日 ， E S E T 网 络 安 全 研 究 人 员 发 现 了 一 场 针 对 欧 洲 和 中 东 航 空 航 天 和 军 事 组 织 的 网 络 间 谍 活 动 ， 这 场 活 动 背 后 的 攻 击 者 不 网 络 安 全 研 究 人 员 发 现 了 一 场 针 对 欧 洲 和 中 东 航 空 航 天 和 军 事 组 织 的 网 络 间 谍 活 动 ， 这 场 活 动 背 后 的 攻 击 者 不 仅 将 目 标 瞄 准 航 空 航 天 和 军 事 组 织 的 高 层 人 员 ， 还 企 图 获 取 金 钱 利 益 。 仅 将 目 标 瞄 准 航 空 航 天 和 军 事 组 织 的 高 层 人 员 ， 还 企 图 获 取 金 钱 利 益 。 因 为 涉 及 “ 盗 版 ” 恶 意 软 件 样 本 ， 这 场 间 谍 活 动 被 称 为 “ 盗 版 行 动 ” 。 据 悉 ， 这 场 活 动 活 跃 于 2 0 1 9 年 9 月 至 1 2 月 。 这 次 攻 击 组 织 主 要 的 目 标 还 是 在 于 开 展 间 谍 行 动 。 在 行 动 后 期 ， 他 们 企 图 通 过 B E C 攻 击 来 获 取 人 员 的 电 子 邮 件 账 户 。 从 该 组 织 以 往 的 攻 击 对 象 和 背 后 动 机 ， 研 究 人 员 猜 测 这 个 组 织 是 L a z a r u s   团 伙 ， 代 表 朝 鲜 政 府 并 为 该 国 的 非 法 武 器 和 导 弹 计 划 筹 集 资 金 。 L a z a r u s 组 织 还 被 认 为 是 大 规 模 W a n n a C r y 勒 索 软 件 攻 击 ， 2 0 1 6 年 一 系 列 S W I F T 攻 击 以 及 S o n y   P i c t u r e s 黑 客 事 件 的 罪 魁 祸 首 。 领 英 的 社 会 工 程 学 领 英 的 社 会 工 程 学 一 开 始 的 时 候 ， 这 场 活 动 目 标 明 确 ， 具 有 高 度 针 对 性 ， E S E T 认 为 攻 击 者 利 用 社 会 工 程 学 的 技 巧 诱 骗 这 些 目 标 组 织 的 员 工 ， 伪 装 成 知 名 航 空 航 天 和 军 事 企 业 的 H R ， 通 过 领 英 发 送 虚 假 岗 位 信 息 。 研 究 人 员 提 及 ： “ 一 旦 建 立 起 联 系 ， 攻 击 者 就 会 将 恶 意 文 件 伪 装 成 相 关 职 业 o f f e r 发 给 对 方 。 ”
作 为 诱 饵 的 R A R 存 档 文 件 直 接 通 过 聊 天 窗 口 进 行 发 送 ， 或 通 过 虚 假 的 领 英 账 号 （ 指 向 O n e D r i v e 链 接 ） 直 接 发 送 到 电 子 邮 箱 中 ， 表 面 上 ， 其 中 包 含 P D F 文 档 ， 详 细 说 明 特 定 职 位 和 薪 水 信 息 ， 而 实 际 上 ， 它 执 行 W i n d o w s 命 令 提 示 符 实 用 程 序 ， 执 行 一 系 列 操 作 ： 将 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n 命 令 行 工 具 （ w m i c . e x e ） 复 制 到 特 定 文 件 夹 ； 伪 装 命 名 以 逃 避 检 测 （ 例 如 ， I n t e l ， N V i d i a ， S k y p e ， O n e D r i v e 和 M o z i l l a ） ； 创 建 计 划 任 务 ， 这 些 任 务 通 过 W M I C 执 行 远 程 X S L 脚 本 。 攻 击 者 针 对 目 标 企 业 完 成 第 一 步 之 后 ， 便 继 续 使 用 自 定 义 恶 意 软 件 下 载 器 ， 该 下 载 器 可 下 载 之 前 未 记 录 的 第 二 阶 段 有 效 负 载 ， 一 个 C   + + 后 门 ， 可 定 期 将 请 求 发 送 到 攻 击 者 控 制 的 服 务 器 ， 根 据 接 收 到 的 命 令 执 行 预 定 义 的 操 作 ， 并 通 过 d b x c l i 的 修 改 版 d r o p b o x 的 开 源 命 令 行 客 户 端 ， 将 收 集 到 的 信 息 作 为 R A R 文 件 进 行 提 取 。 攻 击 者 除 了 使 用 W M I C 解 释 远 程 X S L 脚 本 外 ， 还 滥 用 本 机 W i n d o w s 实 用 程 序 ， 例 如 “   c e r t u t i l ” 来 解 码 b a s e 6 4 编 码 的 下 载 负 载 ， 以 及 “   r u n d l l 3 2 ” 和 “   r e g s v r 3 2 ” 来 运 行 其 自 定 义 恶 意 软 件 。 “ 目 前 该 黑 客 组 织 是 国 家 间 谍 的 证 据 还 在 寻 找 中 ， 当 然 ， 我 们 也 不 会 坐 以 待 毙 ， 已 经 开 始 删 除 一 些 虚 假 账 号 。 ” 领 英 的 安 全 部 负 责 人 表 示 。 经 济 动 机 引 发 经 济 动 机 引 发 B E C 攻 击 攻 击 不 只 是 想 窃 取 相 关 人 员 的 账 号 和 信 息 ， 攻 击 者 还 企 图 利 用 感 染 账 号 窃 取 公 司 资 金 。 首 先 ， 利 用 受 害 者 电 子 邮 件 中 的 现 有 通 信 ， 攻 击 者 试 图 操 纵 目 标 公 司 的 客 户 ， 以 将 待 处 理 的 发 票 支 付 到 他 们 的 银 行 帐 户 。 为 了 与 客 户 进 行 进 一 步 的 交 流 ， 他 们 使 用 了 自 己 的 电 子 邮 件 地 址 来 模 仿 受 害 者 的 电 子 邮 件 地 址 。 所 幸 ， 这 一 计 划 并 没 有 成 功 。
该 组 织 依 靠 领 英 和 自 定 义 的 多 阶 段 恶 意 软 件 进 行 社 会 工 程 。 为 了 完 成 这 一 计 划 ， 攻 击 者 经 常 重 新 编 译 其 恶 意 软 件 ， 滥 用 本 机 W i n d o w s 实 用 程 序 ， 并 假 冒 合 法 软 件 和 公 司 。 * 本 文 作 者 ： 本 文 作 者 ： S a n d r a 1 4 3 2 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理