搜索

[16350] 2021-01-22_FireEye发布了检测SolarWinds的审计工具

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-01-22_FireEye发布了检测SolarWinds的审计工具 F i r e E y e 发 布 了 检 测   S o l a r W i n d s 的 审 计 工 具 A v e n g e r   F r e e B u f   2 0 2 1 - 0 1 - 2 2 网 络 安 全 公 司   F i r e E y e   今 天 发 布 了 一 份 报 告 ， 详 细 介 绍 了 攻 入 其 内 部 网 络 的   S o l a r W i n d s   所 使 用 的 技 术 。 与 该 报 告 一 起 发 布 的 还 有 一 个 名 为   A z u r e   A D   I n v e s t i g a t o r   的 审 计 工 具   ， F i r e E y e   表 示 该 工 具 可 以 帮 助 公 司 确 定 该 工 具 可 以 帮 助 公 司 确 定 S o l a r W i n d s （ 也 被 称 为 （ 也 被 称 为   U N C 2 4 5 2 ） 是 否 在 其 网 络 中 使 用 了 任 何 一 种 相 关 技 术 ） 是 否 在 其 网 络 中 使 用 了 任 何 一 种 相 关 技 术 。 与   F i r e E y e   步 调 一 致 ， M i c r o s o f t   和   C r o w d S t r i k e   也 对   S o l a r W i n d s   供 应 链 攻 击 进 行 了 深 入 的 调 查 。 S o l a r W i n d s   供 应 链 攻 击 于   2 0 2 0   年   1 2   月   1 3   日 被 曝 光 ， 由   F i r e E y e   和   M i c r o s o f t   确 认 攻 击 者 攻 陷 了   I T   软 件 提 供 商   S o l a r W i n d s ， 并 利 用 软 件 更 新 将 后 门 植 入 受 害 者 。 该 恶 意 软 件 被 称 为   S u n b u r s t （ 或   S o l o r i g a t e ） ， 用 于 收 集 有 关 受 害 者 的 信 息 。 安 装 被 植 入 后 门 的 安 装 被 植 入 后 门 的   O r i o n   应 用 程 序 的 应 用 程 序 的
1 8 0 0 0   个 个   S o l a r W i n d s   客 户 中 的 大 多 数 公 司 都 被 攻 击 者 忽 略 了 ， 但 是 针 对 某 些 特 定 的 目 标 ， 攻 击 者 部 署 了 第 二 种 客 户 中 的 大 多 数 公 司 都 被 攻 击 者 忽 略 了 ， 但 是 针 对 某 些 特 定 的 目 标 ， 攻 击 者 部 署 了 第 二 种 恶 意 软 件 恶 意 软 件   T e a r d r o p ， 然 后 使 用 多 种 技 术 横 向 平 移 到 网 络 内 部 以 及 公 司 的 云 资 源 ， 特 别 着 重 于 攻 陷 ， 然 后 使 用 多 种 技 术 横 向 平 移 到 网 络 内 部 以 及 公 司 的 云 资 源 ， 特 别 着 重 于 攻 陷   M i c r o s o f t 3 6 5 。 在   F i r e E y e   长 达   3 5   页 的 报 告 中 ， F i r e E y e   细 致 而 又 深 入 地 介 绍 了 这 些 技 术 ， 以 及 可 以 应 用 的 检 测 和 修 复 策 略 。 例 如 ： 窃 取   A c t i v e   D i r e c t o r y   F e d e r a t i o n   S e r v i c e s   ( A D   F S )   令 牌 签 名 证 书 ， 并 使 用 它 为 任 意 用 户 伪 造 令 牌 。 这 使 攻 击 者 可 以 以 任 何 用 户 身 份 通 过   F e d e r a t i o n   S e r v i c e s （ 例 如   M i c r o s o f t   3 6 5 ） 的 认 证 ， 而 无 需 该 用 户 的 密 码 或 它 们 相 应 的 多 因 子 认 证 在   A z u r e   A D   中 修 改 或 添 加 受 信 任 的 域 以 添 加 由 攻 击 者 控 制 的 新 的 I d e n t i t y   P r o v i d e r   ( I d P ) 。 这 使 攻 击 者 可 以 为 任 意 用 户 伪 造 令 牌 ， 被 称 为   A z u r e   A D   后 门 攻 陷 高 权 限 用 户 （ 例 如 ， 全 局 管 理 员 或 应 用 程 序 管 理 员 ） 的   M i c r o s o f t   3 6 5   同 步 的 本 地 用 户 帐 户 的 凭 据 通 过 向 其 添 加 恶 意 凭 证 来 劫 持 现 有 的   M i c r o s o f t   3 6 5   应 用 程 序 ， 以 便 使 用 分 配 给 该 应 用 程 序 的 合 法 权 限 。 例 如 能 够 绕 过 双 因 子 认 证 读 取 电 子 邮 件 、 以 任 意 用 户 身 份 发 送 电 子 邮 件 、 访 问 用 户 日 历 等 F i r e E y e   表 示 ： “ 虽 然   U N C 2 4 5 2   表 现 出 一 定 程 度 的 技 术 复 杂 性 和 逃 避 检 测 性 ， 但 观 察 到 的 技 术 仍 然 是 可 检 测 到 的 ” 。 实 际 上 ， 正 是 因 为   F i r e E y e   能 够 在 自 己 的 网 络 中 检 测 到 这 些 技 术 ， 才 触 发 了 对 攻 击 的 调 查 从 而 确 认 了 攻 击 ， 随 后 发 现 了 更 广 泛 的   S o l a r W i n d s   供 应 链 攻 击 。 审 计 工 具 审 计 工 具 美 国 网 络 安 全 和 基 础 设 施 安 全 局 和   C r o w d S t r i k e   也 已 经 发 布 了 类 似 的 审 计 工 具   。
名 称 名 称 来 源 来 源 地 址 地 址 S p a r r o w C I S A h t t p s : / / g i t h u b . c o m / c i s a g o v / S p a r r o w C R T C r o w d S t r i k e h t t p s : / / w w w . c r o w d s t r i k e . c o m / b l o g / c r o w d s t r i k e - l a u n c h e s - f r e e - t o o l - t o - i d e n t i f y - a n d - h e l p - m i t i g a t e - r i s k s - i n - a z u r e - a c t i v e - d i r e c t o r y / A z u r e - A D - I n v e s t i g a t o r F i r e E y e h t t p s : / / g i t h u b . c o m / f i r e e y e / M a n d i a n t - A z u r e - A D - I n v e s t i g a t o r 参 考 来 源 参 考 来 源 Z D N e t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理