搜索

[16054] 2020-11-05_朝鲜黑客组织Kimsuky战术披露，曝迄今未记录的恶意组件

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-11-05_朝鲜黑客组织Kimsuky战术披露，曝迄今未记录的恶意组件 朝 鲜 黑 客 组 织 K i m s u k y 战 术 披 露 ， 曝 迄 今 未 记 录 的 恶 意 组 件 k i r a z h o u   F r e e B u f   2 0 2 0 - 1 1 - 0 5 A P T 组 织 “   K i m s u k y ” ， 据 悉 最 早 于 2 0 1 2 年 开 始 活 动 。 该 组 织 因 为 全 球 性 的 广 泛 攻 击 行 动 而 臭 名 昭 著 ， 主 要 针 对 韩 国 智 囊 团 、 美 国 、 俄 罗 斯 和 欧 洲 各 个 国 家 。 目 前 ， K i m s u k y 已 与 多 达 三 种 迄 今 未 记 录 的 恶 意 软 件 相 关 联 ， 其 中 包 括 一 个 信 息 窃 取 程 序 ， 一 个 配 备 了 恶 意 软 件 反 分 析 功 能 的 工 具 ， 以 及 一 个 新 的 服 务 器 基 础 设 施 （ 与 旧 的 间 谍 框 架 有 很 大 的 重 叠 ） 。 技 术 细 节 技 术 细 节 上 周 ， 联 邦 调 查 局 与 国 防 部 和 国 土 安 全 部 联 合 发 布 了 一 份 备 忘 录 ， 详 细 介 绍 了 K i m s u k y 的 技 术 细 节 。 初 始 访 问 初 始 访 问 大 多 数 情 况 下 ， K i m s u k y 利 用 鱼 叉 式 网 络 钓 鱼 和 社 会 工 程 学 的 技 巧 来 获 得 对 受 害 者 网 络 的 初 步 访 问 。 此 外 ， 还 会 利 用 以 安 全 警 报 为 主 题 的 网 络 钓 鱼 电 子 邮 件 、 水 坑 攻 击 ， 通 过 t o r r e n t 共 享 站 点 分 发 恶 意 软 件 ， 以 及 指 示 受 害 者 安 装 恶 意 浏 览 器 扩 展 程 序 等 获 取 访 问 权 限 的 手 段 。 执 行 执 行 获 得 初 始 访 问 权 限 后 ， K i m s u k y 使 用 B a b y S h a r k 恶 意 软 件 和 P o w e r S h e l l 或 W i n d o w s   C o m m a n d   S h e l l 执 行 。 其 中 ， B a b y S h a r k 是 基 于 V i s u a l   B a s i c 脚 本 （ V B S ） 的 恶 意 软 件 ， 往 往 通 过 包 含 链 接 或 附 件 的 电 子 邮 件 传 递 。 维 持 权 限 维 持 权 限 K i m s u k y 通 过 使 用 恶 意 浏 览 器 扩 展 ， 修 改 系 统 进 程 ， 操 纵 执 行 ， 使 用 远 程 桌 面 协 议 （ R D P ） 以 及 更 改 应 用 程 序 的 默 认 文 件 关 联 等 手 段 ， 从 而 获 取 登 录 名 和 密 码 信 息 ， 或 在 某 些 应 用 程 序 允 许 列 表 解 决 方 案 之 外 启 动 恶 意 软 件 。 特 权 提 升 特 权 提 升 在 特 权 提 升 方 面 ， K i m s u k y 使 用 的 是 众 所 周 知 的 方 法 ： 将 脚 本 放 入 S t a r t u p 文 件 夹 ， 创 建 和 运 行 新 服 务 ， 更 改 默 认 文 件 关 联 以 及 注 入 恶 意 代 码 。
防 御 规 避 防 御 规 避 包 括 禁 用 安 全 工 具 ， 删 除 文 件 以 及 使 用 M e t a s p l o i t 等 。 凭 证 访 问 凭 证 访 问 K i m s u k y 使 用 合 法 工 具 和 网 络 嗅 探 器 从 W e b 浏 览 器 、 文 件 和 键 盘 记 录 器 中 收 集 相 关 凭 证 。 发 送 嵌 入 B a b y S h a r k 恶 意 软 件 的 电 子 邮 件 新 的 恶 意 组 件 新 的 恶 意 组 件 近 几 个 月 来 ， K i m s u k y 被 归 因 于 许 多 以 冠 状 病 毒 为 主 题 的 邮 件 攻 击 活 动 ， 以 邮 件 中 包 含 的 武 器 化 W o r d 文 档 为 其 感 染 媒 介 ， 在 受 害 者 计 算 机 上 发 起 恶 意 软 件 攻 击 。 现 在 ， 据 C y b e r e a s o n 称 ， 名 为 “   K G H _ S P Y ” 的 模 块 化 间 谍 软 件 套 件 有 了 新 功 能 ， 可 以 对 目 标 网 络 进 行 侦 察 ， 捕 获 击 键 并 窃 取 敏 感 信 息 。 除 此 之 外 ， K G H _ S P Y 后 门 还 可 以 从 C 2 服 务 器 下 载 辅 助 负 载 ， 通 过 c m d . e x e 或 P o w e r S h e l l 执 行 任 意 命 令 ， 甚 至 可 以 从 W e b 浏 览 器 ， W i n d o w s 凭 据 管 理 器 ， W I N S C P 和 邮 件 客 户 端 中 获 取 凭 据 。 同 样 值 得 注 意 的 是 ， 还 发 现 了 一 种 名 为 “   C S P Y   D o w n l o a d e r ” 的 新 恶 意 软 件 ， 该 恶 意 软 件 旨 在 逃 避 分 析 和 下 载 额 外 有 效 负 载 的 工 具 。 最 后 ， 研 究 人 员 还 发 现 了 在 2 0 1 9 - 2 0 2 0 年 之 间 注 册 的 新 工 具 集 基 础 架 构 ， 该 基 础 架 构 与 该 组 织 的 B a b y S h a r k 恶 意 软 件 重 叠 。
不 同 K i m s u k y 域 的 基 础 结 构 图 及 其 之 间 的 重 叠 最 后 ， 虽 然 这 次 活 动 的 受 害 者 仍 不 清 楚 ， 但 有 线 索 表 明 ， 这 些 基 础 设 施 针 对 的 是 处 理 侵 犯 人 权 行 为 的 组 织 。 未 来 ， K i m s u k y 可 能 会 针 对 许 多 行 业 、 组 织 和 个 人 进 行 攻 击 。 参 考 来 源 参 考 来 源 h t t p s : / / u s - c e r t . c i s a . g o v / n c a s / a l e r t s / a a 2 0 - 3 0 1 a h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 2 0 / 1 1 / n e w - k i m s u k y - m o d u l e - m a k e s - n o r t h - k o r e a n . h t m l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理