搜索

[16162] 2020-12-03_外交部计算机被植入后门，俄罗斯APT长达5年的Crutch行动揭秘

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2020-12-03_外交部计算机被植入后门，俄罗斯APT长达5年的Crutch行动揭秘 外 交 部 计 算 机 被 植 入 后 门 ， 俄 罗 斯 A P T 长 达 5 年 的   " C r u t c h " 行 动 揭 秘 k i r a z h o u   F r e e B u f   2 0 2 0 - 1 2 - 0 3 先 前 从 未 被 记 录 的 后 门 和 文 件 窃 取 者 的 行 动 被 揭 开 了 帷 幕 。 这 是 一 场 先 前 从 未 被 记 录 的 后 门 和 文 件 窃 取 者 的 行 动 被 揭 开 了 帷 幕 。 这 是 一 场 2 0 1 5 年 至 年 至 2 0 2 0 年 初 针 对 特 定 目 标 的 恶 意 部 年 初 针 对 特 定 目 标 的 恶 意 部 署 。 署 。 新 的 恶 意 软 件 被 E S E T 研 究 人 员 命 名 为   “ C r u t c h ”   （ 拐 杖 ） ， 并 且 被 归 因 于 俄 罗 斯 A P T 组 织 T u r l a （ 又 名 毒 熊 或 毒 蛇 ） 所 为 。 T u r l a 总 部 位 于 俄 罗 斯 ， 惯 常 通 过 各 种 水 坑 和 鱼 叉 钓 鱼 活 动 对 政 府 、 大 使 馆 和 军 事 组 织 发 动 广 泛 攻 击 。 此 次 ， 除 了 发 现 2 0 1 6 年 的 一 个 C r u t c h 恶 意 软 件 样 本 与 T u r l a 另 一 个 名 为 G a z e r 的 第 二 阶 段 后 门 程 序 之 间 存 在 紧 密 联 系 外 ， 多 样 化 的 恶 意 软 件 表 明 ， T u r l a 组 织 仍 然 继 续 专 注 于 针 对 知 名 目 标 进 行 间 谍 和 侦 察 活 动 。 “ C r u t c h ”   的 目 的 在 于 将 敏 感 文 档 和 其 他 文 件 传 输 给 T u r l a 运 营 商 控 制 的 D r o p b o x 帐 户 。 而 后 门 植 入 物 被 秘 密 安 装 在 欧 盟 一 个 不 知 名 的 国 家 外 交 部 的 几 台 机 器 上 。 根 据 研 究 ， C r u t c h 要 么 通 过 S k i p p e r   s u i t e 交 付 ， 后 者 是 先 前 归 属 于 T u r l a 的 第 一 阶 段 植 入 物 ， 要 么 是 通 过 一 个 名 为 P o w e r S h e l l   E m p i r e 的 后 攻 击 代 理 。 在 2 0 1 9 年 年 中 前 后 还 发 现 了 两 个 不 同 版 本 的 恶 意 软 件 。 前 者 包 括 一 个 后 门 ， 它 使 用 官 方 H T T P   A P I 与 硬 编 码 的 D r o p b o x 帐 户 进 行 通 信 ， 以 接 收 命 令 并 上 载 结 果 ， 而 较 新 的 变 体 （ “ C r u t c h   v 4 ” ） 可 以 使 用 W i n d o w s   W g e t 实 用 程 序 自 动 将 本 地 和 可 移 动 驱 动 器 上 的 文 件 上 载 到 D r o p b o x 。 在 研 究 人 员 看 来 ， 根 据 该 组 织 复 杂 的 攻 击 和 技 术 细 节 来 看 ， T u r l a 拥 有 相 当 多 的 资 源 来 经 营 如 此 庞 大 和 多 样 化 的 军 火 库 。 并 且 C r u t c h 还 会 通 过 滥 用 合 法 的 基 础 设 施 （ 这 里 是 D r o p b o x ） 绕 过 一 些 安 全 层 ， 伪 装 成 正 常 网 络 流 量 ， 以 便 窃 取 文 档 并 从 其 运 营 商 那 里 接 收 命 令 。 参 考 来 源 t h e h a c k e r n e w s 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理