搜索

[15859] 2020-09-16_解读伊朗黑客利用VPN漏洞入侵全球企业内网事件

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-09-16_解读伊朗黑客利用VPN漏洞入侵全球企业内网事件 解 读 伊 朗 黑 客 利 用 V P N 漏 洞 入 侵 全 球 企 业 内 网 事 件 中 科 信 安 信 息 技 术   F r e e B u f   2 0 2 0 - 0 9 - 1 6 伊 朗 黑 客 组 织 这 几 个 月 以 来 一 直 在 攻 击 企 业 V P N ， 现 在 正 打 算 通 过 地 下 论 坛 向 其 他 黑 客 出 售 这 些 被 入 侵 企 业 内 部 网 络 的 权 限 ， 以 此 谋 得 巨 额 利 益 。 他 们 针 对 的 企 业 遍 布 他 们 针 对 的 企 业 遍 布 I T 、 电 信 、 油 气 、 航 空 、 政 府 和 安 全 行 业 。 、 电 信 、 油 气 、 航 空 、 政 府 和 安 全 行 业 。 一 、 伊 朗 国 家 黑 客 正 在 地 下 论 坛 出 售 受 陷 企 业 的 访 问 权 限 一 、 伊 朗 国 家 黑 客 正 在 地 下 论 坛 出 售 受 陷 企 业 的 访 问 权 限 2 0 2 0 年 9 月 1 日 ， 著 名 网 络 安 全 公 司 C r o w d s t r i k e 发 布 报 告 称 ， 一 个 由 伊 朗 国 家 资 助 的 黑 客 组 织 正 在 地 下 黑 客 论 坛 上 出 售 受 陷 企 业 网 络 的 访 问 权 限 。 C r o w d s t r i k e 安 全 公 司 将 该 黑 客 组 织 称 为   P i o n e e r   K i t t e n ， 它 也 被 称 为 “ F o x   K i t t e n ” 或 “ P a r i s i t e ” 。 1 、 黑 客 组 织 曾 多 次 入 侵 企 业 网 络 、 黑 客 组 织 曾 多 次 入 侵 企 业 网 络 C r o w d s t r i k e 安 全 公 司 认 为 这 一 黑 客 组 织 是 受 伊 朗 政 府 资 助 的 ， 并 且 他 们 在 2 0 1 9 年 多 次 通 过 V P N 和 网 络 设 备 中 的 多 个 漏 洞 入 侵 企 业 网 络 ， 例 如 ： P u l s e   S e c u r e   “ C o n n e c t ” 企 业   V P N 中 的 漏 洞   ( C V E - 2 0 1 9 - 1 1 5 1 0 ) 运 行   F o r t i O S   的 F o r t i n e t   V P N   服 务 器 中 的 漏 洞   ( C V E - 2 0 1 9 - 1 5 7 9 ) C i t r i x   “ A D C ” 服 务 器 和   C i t r i x   网 络 网 关 漏 洞   ( C V E - 2 0 1 9 - 1 9 7 8 1 ) F 5   N e t w o r k s   B I G - I P 加 载 平 衡 器   ( C V E - 2 0 2 0 - 5 9 0 2 ) 根 据 网 络 安 全 公 司 C l e a r S k y 和 D r a g o s 的 报 告 ， P i o n e e r   K i t t e n   组 织 一 直 在 使 用 如 上 这 些 漏 洞 攻 陷 网 络 ， 植 入 后 门 ， 随 后 为 其 它 伊 朗 黑 客 组 织 （ 如   A P T 3 3 、 S h a m o o n 、 A T P 3 4   或   C h a f e r ） 提 供 访 问 权 限 。 然 后 ， 这 些 其 他 黑 客 组 织 会 进 入 漏 洞 提 供 的 后 门 ， 通 过 使 用 更 高 级 的 恶 意 软 件 和 漏 洞 在 网 络 上 横 行 霸 道 ， 然 后 搜 索 并 窃 取 伊 朗 政 府 可 能 感 兴 趣 的 敏 感 信 息 ， 最 后 又 借 此 来 横 向 扩 展 P i o n e e r   K i t t e n 所 设 法 获 得 的 “ 初 始 访 问 权 限 ” 。 可 以 看 得 出 ， 他 们 在 2 0 1 9 年 做 的 是 有 预 谋 、 有 组 织 、 环 环 相 扣 的 黑 客 行 动 。
2 、 黑 客 组 织 在 地 下 论 坛 出 售 企 业 网 络 访 问 权 限 、 黑 客 组 织 在 地 下 论 坛 出 售 企 业 网 络 访 问 权 限 而 就 在 2 0 2 0 年 9 月 的 第 一 天 ， 这 一 黑 客 组 织 又 被 发 现 ， 他 们 在 黑 客 论 坛 上 出 售 对 受 陷 企 业 网 络 的 访 问 权 限 ， 并 且 这 一 行 为 至 少 是 从 今 年 7 月 开 始 的 。 C r o w d s t r i k e 安 全 公 司 认 为 这 个 黑 客 组 织 是 在 试 图 让 他 们 的 收 入 来 源 多 样 化 ， 并 且 将 一 些 对 伊 朗 情 报 机 构 没 有 任 何 价 值 的 漏 洞 ， 进 行 回 收 再 利 用 ， 二 次 开 发 变 现 ， 以 获 得 高 昂 利 润 。 伊 朗 国 家 黑 客 组 织 的 常 见 目 标 通 常 包 括 位 于 美 国 、 以 色 列 和 中 东 地 区 的 其 它 国 家 。 目 标 行 业 通 常 包 括 国 防 、 医 疗 、 技 术 和 政 府 行 业 。 其 它 可 能 并 非 伊 朗 政 府 黑 客 的 目 标 和 范 围 ， 很 可 能 是 在 地 下 黑 客 论 坛 上 出 售 。 当 前 ， “ 初 始 访 问 经 纪 人 ” （ 如   P i o n e e r   K i t t e n ） 的 最 大 客 户 群 通 常 是 勒 索 软 件 团 伙 。 是 的 ， 你 没 看 错 ， 之 所 以 称 之 为 经 纪 人 ， 是 因 为 现 在 黑 入 企 业 网 络 并 植 入 后 门 已 经 成 为 了 一 门 生 意 。 二 、 伊 朗 国 家 黑 客 滥 用 二 、 伊 朗 国 家 黑 客 滥 用 V P N 漏 洞 ， 入 侵 全 球 企 业 内 网 植 入 后 门 漏 洞 ， 入 侵 全 球 企 业 内 网 植 入 后 门 伊 朗 国 家 黑 客 其 实 早 就 被 爆 出 来 过 ， 他 们 一 直 在 入 侵 企 业 V P N 服 务 器 ， 在 世 界 各 地 的 公 司 中 植 入 后 门 。 特 别 是 2 0 1 9 年 ， 这 一 年 值 得 引 起 所 有 人 的 关 注 。 因 为 大 量 企 业 V P N 服 务 器 被 发 现 存 在 重 大 安 全 漏 洞 ， 比 如 P u l s e   S e c u r e 、 P a l o   A l t o   N e t w o r k s 、 F o r t i n e t 和 C i t r i x 出 售 的 V P N 服 务 器 。 而 今 年 2 月 的 一 份 报 告 更 是 显 示 ， 受 伊 朗 政 府 资 助 的 黑 客 组 织 在 2 0 1 9 年 以 利 用 V P N 漏 洞 作 为 首 要 任 务 ， 一 旦 这 些 漏 洞 公 开 ， 他 们 就 会 渗 透 并 在 世 界 各 地 的 公 司 植 入 后 门 。 报 告 指 出 ， 伊 朗 国 家 黑 客 针 对 的 企 业 遍 布 “ I T 、 电 信 、 油 气 、 航 空 、 政 府 和 安 全 行 业 ” 。 1 、 某 些 攻 击 仅 发 生 在 漏 洞 公 开 数 小 时 后 、 某 些 攻 击 仅 发 生 在 漏 洞 公 开 数 小 时 后 报 告 指 出 ， 伊 朗 黑 客 组 织 同 样 精 通 黑 客 技 术 ， 而 且 和 俄 罗 斯 、 朝 鲜 国 家 黑 客 组 织 等 一 样 足 智 多 谋 ， 这 一 点 和 人 们 一 贯 的 认 识 是 不 同 的 。 C l e a r S k y 公 司 指 出 ， “ 伊 朗   A P T * 组 织 已 经 开 发 出 良 好 的 技 术 攻 击 能 力 ， 而 且 能 够 在 相 对 较 短 的 时 间 内 利 用 1 天 的 漏
洞 。 ” 该 公 司 指 出 ， 在 某 些 实 例 中 发 现 ， V P N   缺 陷 遭 公 开 数 小 时 后 ， 伊 朗 国 家 黑 客 就 能 利 用 它 们 发 动 攻 击 。 （ 注 ： *   A P T 代 表 高 级 持 续 性 威 胁 ， 是 一 个 经 常 用 来 描 述 民 族 国 家 黑 客 组 织 的 术 语 。 ） 在 2 0 1 9 年 ， 伊 朗 黑 客 组 织 迅 速 利 用 V P N   漏 洞 让 漏 洞 变 成 可 以 攻 击 企 业 网 络 安 全 的 武 器 ， V P N 漏 洞 如 下 ： P u l s e   S e c u r e “ C o n n e c t ”   V P N   ( C V E - 2 0 1 9 - 1 1 5 1 0 )   、 F o r t i n e t   F o r t i O S   V P N   漏 洞   ( C V E - 2 0 1 8 - 1 3 3 7 9 )   和   P a l o   A l t o N e t w o r k s “ G l o b a l   P r o t e c t ”   V P N   漏 洞   ( C V E - 2 0 1 9 - 1 5 7 9 ) 。 虽 然 对 这 些 系 统 的 攻 击 始 于 去 年 夏 天 ， 当 时 有 关 这 些 错 误 的 详 细 信 息 已 公 开 ， 但 到 2 0 2 0 年 这 些 攻 击 仍 在 继 续 。 另 外 ， 随 着 其 它   V P N   缺 陷 遭 公 开 ， 伊 朗 黑 客 组 织 还 将 这 些 漏 洞 利 用 到 攻 击 活 动 中 （ 即 C V E - 2 0 1 9 - 1 9 7 8 1 ， 这 是 C i t r i x “ A D C ”   V P N 中 披 露 的 漏 洞 ） 。 2 、 入 侵 企 业 目 标 植 入 后 门 、 入 侵 企 业 目 标 植 入 后 门 报 告 指 出 ， 这 些 攻 击 的 目 的 是 入 侵 企 业 网 络 ， 在 内 部 系 统 中 横 向 移 动 并 在 后 续 日 期 植 入 后 门 。 第 一 阶 段 的 攻 击 （ 攻 陷   V P N ） 针 对 的 是   V P N ， 第 二 阶 段 （ 横 向 移 动 ） 涉 及 全 面 收 集 工 具 和 技 术 ， 这 说 明 近 年 来 伊 朗 黑 客 组 织 变 得 高 级 。 例 如 ， 它 们 会 滥 用 长 久 已 知 的 技 术 ， 通 过 “ S t i c k y K e y s ” 访 问 性 工 具 在 W i n d o w s   系 统 上 获 取 管 理 员 权 限 。 它 们 还 利 用 开 源 的 黑 客 工 具 如   J u i c y P o t a t o   和   I n v o k e   t h e   H a s h ， 而 且 使 用 合 法 的 系 统 管 理 员 软 件 如   P u t t y 、 P l i n k | N g r o k 、 S e r v e o   或   F R P 。 另 外 ， 黑 客 如 果 找 不 到 开 源 工 具 或 本 地 工 具 助 力 ， 则 会 开 发 定 制 化 恶 意 软 件 。 报 告 指 出 发 现 了 伊 朗 黑 客 组 织 使 用 的 工 具 ， 如 ： S T S R C h e c k ： 自 开 发 数 据 库 和 开 放 端 口 映 射 工 具 P O W S S H N E T ： 自 开 发 的 用 于   R D P - o v e r - S S H   隧 道 的 后 门 恶 意 软 件 C u s t o m   V B S c r i p t s ： 用 于 从 命 令 和 控 制 服 务 器 下 载   T X T   文 件 并 将 这 些 文 件 统 一 到 可 移 植 的 可 执 行 文 件 c s . e x e   上 基 于 套 接 字 的 后 门 ： 用 于 开 放 硬 编 码   I P   地 址 基 于 套 接 字 连 接 的 一 个   E X E   文 件 P o r t . e x e ： 扫 描   I P   地 址 预 定 义 端 口 的 工 具
3 、 多 个 黑 客 组 织 统 一 行 动 、 多 个 黑 客 组 织 统 一 行 动 报 告 指 出 ， 伊 朗 国 家 黑 客 组 织 似 乎 互 相 协 作 并 统 一 行 动 ， 这 种 行 为 模 式 此 前 是 未 曾 出 现 的 。 之 前 关 于 伊 朗 黑 客 活 动 的 报 告 详 细 说 明 了 活 动 的 不 同 集 群 ， 通 常 是 单 个 黑 客 组 织 所 为 。 报 告 强 调 称 ， 针 对 全 球   V P N 服 务 器 的 攻 击 似 乎 至 少 由 三 个 伊 朗 黑 客 组 织 联 合 所 为 ， 即   A P T 3 3 （ E l f i n 、 S h a m o o n ） 、 A P T 3 4   ( O i l r i g )   和 A P T 3 9 ( C h a f e r ) 。 4 、 数 据 清 洗 攻 击 、 数 据 清 洗 攻 击 当 前 ， 这 些 攻 击 的 目 的 似 乎 是 执 行 侦 察 和 为 实 施 监 控 活 动 植 入 后 门 。 然 而 ， 报 告 指 出 这 些 受 感 染 企 业 网 络 的 所 有 访 问 权 限 未 来 也 可 被 武 器 化 ， 用 于 部 署 数 据 清 洗 恶 意 软 件 ， 从 而 蓄 意 破 坏 企 业 并 使 其 宕 机 ， 导 致 业 务 受 损 。 这 些 场 景 是 完 全 有 可 能 发 生 ， 而 且 也 说 得 通 的 。 自 2 0 1 9 年 9 月 以 来 ， 两 款 新 型 数 据 清 洗 恶 意 软 件 （ Z e r o C l e a r e   和   D u s t m a n ） 就 已 遭 披 露 并 被 指 和 伊 朗 黑 客 组 织 有 关 。 另 外 ， 报 告 指 出 ， 并 不 排 除 伊 朗 国 家 黑 客 组 织 可 能 利 用 了 受 陷 企 业 访 问 权 限 从 而 在 客 户 端 实 施 供 应 链 攻 击 的 可 能 性 。 这 一 理 论 的 支 持 事 实 是 ， 2 月 早 些 时 候 ， F B I   警 告 美 国 私 营 企 业 警 惕 针 对 软 件 供 应 链 企 业 的 攻 击 ， “ 包 括 支 持 全 球 能 源 产 出 、 传 输 和 分 发 的 工 控 系 统 的 实 体 ” 。 工 控 和 能 源 行 业 过 去 一 直 是 伊 朗 国 家 黑 客 组 织 的 传 统 攻 击 目 标 。 F B I   在 这 份 警 告 中 还 说 明 了 攻 击 中 所 部 署 的 恶 意 软 件 和   A P T 3 3 所 使 用 代 码 之 间 的 关 联 ， 强 有 力 地 证 明 了 伊 朗 黑 客 可 能
是 这 些 攻 击 幕 后 黑 手 的 可 能 性 。 另 外 ， 报 告 还 指 出 ， 针 对 巴 林 国 家 石 油 公 司   B a p c o   的 攻 击 也 使 用 了 相 同 的 “ 攻 陷   V P N   → 横 向 移 动 ” 的 技 术 。 C l e a r S k y 安 全 公 司 警 告 称 ， 攻 击 过 去 数 月 时 间 后 ， 最 终 修 复 其   V P N   服 务 器 的 公 司 应 该 扫 描 内 网 找 到 攻 陷 迹 象 。 报 告 中 还 提 出 了 安 全 团 队 可 用 于 扫 描 日 志 和 内 部 系 统 以 发 现 伊 朗 黑 客 组 织 入 侵 迹 象 的 受 陷 指 标   ( I O C s ) 。 5 、 新 型 、 新 型   V P N   缺 陷 缺 陷 C l e a r S k y 在 报 告 总 结 部 分 指 出 ， 预 计 伊 朗 国 家 黑 客 组 织 将 在 新 型   V P N   缺 陷 遭 公 开 后 寻 找 利 用 它 们 的 机 会 。 也 就 是 说 预 计 伊 朗 国 家 黑 客 组 织 很 可 能 会 在 未 来 利 用   S o n i c W a l l   S R A   和   S M A   V P N   服 务 器 ， 因 为 刚 不 久 前 安 全 研 究 员 曾 发 布 了 关 于 影 响 这 两 款 产 品 的 六 个 漏 洞 的 详 情 。 总 结 总 结 这 几 年 ， 伊 朗 国 家 黑 客 已 被 爆 出 多 次 滥 用 企 业 V P N 漏 洞 ， 有 目 的 地 入 侵 全 球 企 业 内 网 并 植 入 后 门 ， 还 将 访 问 权 限 公 然 挂 在 暗 示 中 贩 卖 以 获 利 。 这 意 味 着 随 着 互 联 网 时 代 的 到 来 ， 高 科 技 技 术 给 人 们 带 来 方 便 的 同 时 ， 背 后 是 无 数 的 漏 洞 攻 击 带 来 的 网 络 信 息 安 全 隐 患 ， 这 一 隐 患 应 引 起 我 们 的 高 度 重 视 。 国 内 信 息 安 全 与 数 据 处 理 领 域 的 先 进 企 业 ， 可 以 将 安 全 与 数 据 处 理 的 产 品 研 发 、 生 产 和 销 售 为 一 体 ， 为 政 府 部 门 和 金 融 、 石 油 石 化 、 电 力 、 煤 炭 等 行 业 企 业 提 供 先 进 、 安 全 的 产 品 及 解 决 方 案 ， 帮 助 用 户 提 升 网 络 信 息 安 全 的 防 护 能 力 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理