搜索

[2606] 2016-02-09_俄罗斯三大黑客集团采用APT攻击银行系统

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2016-02-09_俄罗斯三大黑客集团采用APT攻击银行系统 俄 罗 斯 三 大 黑 客 集 团 采 用 A P T 攻 击 银 行 系 统 E 安 全   2 0 1 6 - 0 2 - 0 9 银 行 劫 匪 已 经 成 为 历 史 概 念 ， 如 今 的 犯 罪 团 伙 仅 靠 敲 击 键 盘 与 强 大 的 密 码 窃 取 木 马 就 能 够 轻 松 窃 取 到 银 行 资 产 。 不 过 针 对 银 行 的 恶 意 软 件 在 不 久 之 后 可 能 已 经 无 法 满 足 劫 匪 们 的 需 要 。 如 今 越 来 越 多 的 网 络 犯 罪 团 伙 开 始 利 用 由 高 水 平 黑 客 所 采 用 的 技 术 成 果 从 银 行 及 其 它 金 融 机 构 当 中 窃 取 数 以 百 万 计 的 资 金 。 在 日 前 召 开 的 安 全 分 析 师 峰 会 上 ， 来 自 卡 巴 斯 基 实 验 室 全 球 研 究 与 分 析 团 队 的 研 究 人 员 们 披 露 了 两 项 与 新 兴 犯 罪 活 动 密 切 相 关 的 信 息 ， 其 一 为 极 端 民 族 国 家 支 持 下 的 网 络 攻 击 日 益 增 长 ， 其 二 为 网 络 犯 罪 团 伙 其 一 为 极 端 民 族 国 家 支 持 下 的 网 络 攻 击 日 益 增 长 ， 其 二 为 网 络 犯 罪 团 伙 C a r b a n a k 再 次 死 灰 复 燃 再 次 死 灰 复 燃 — — 根 根 据 报 道 ， 该 团 队 曾 在 去 年 从 超 过 据 报 道 ， 该 团 队 曾 在 去 年 从 超 过 1 0 0 家 金 融 企 业 手 中 窃 取 到 高 达 家 金 融 企 业 手 中 窃 取 到 高 达 1 0 亿 美 元 资 金 。 亿 美 元 资 金 。 而 在 最 近 亮 相 的 一 系 列 新 兴 犯 罪 势 力 当 中 ， 最 值 得 关 注 的 当 数 来 自 俄 罗 斯 的 黑 客 团 伙 M e t e l 。 该 团 伙 主 要 将 目 标 放 在 有 机 会 接 触 金 钱 交 易 的 机 器 设 备 身 上 ， 例 如 呼 叫 中 心 与 支 持 设 备 。 一 旦 成 功 入 侵 这 些 设 备 ， 攻 击 者 们 会 利 用 其 接 入 能 力 对 A T M 机 的 交 易 记 录 进 行 自 动 回 滚 。 在 对 一 台 又 一 台 A T M 设 备 进 行 入 侵 之 后 ， M e t e l 犯 罪 团 伙 得 以 成 功 入 侵 3 0 家 企 业 ， 并 成 功 保 持 被 盗 账 户 仍 然 拥 有 正 常 的 账 面 数 字 。 卡 巴 斯 基 实 验 室 指 出 ， 某 家 俄 罗 斯 银 行 在 一 夜 之 间 就 被 M e t e l 团 伙 劫 去 数 百 万 卢 布 。 “ 该 银 行 的 客 户 从 属 于 其 它 银 行 的 A T M 机 当 中 提 取 现 金 ， 并 能 够 在 拿 现 钞 的 同 时 始 终 维 持 账 目 数 字 平 衡 。 这 种 状 况 让 受 害 银 行 感 到 极 为 震 惊 — — 他 们 是 在 试 图 找 回 这 笔 款 项 时 从 其 它 合 作 银 行 处 得 到 这 一 消 息 的 。 ” 卡 巴 斯 基 实 验 室 同 时 补 充 称 ， 他 们 目 前 还 无 法 分 享 与 所 涉 及 银 行 的 相 关 细 节 ， 因 为 当 前 执 行 调 查 正 在 进 行 。 但 事 故 指 标 今 天 已 经 被 发 布 在 S e c u r e l i s t . c o m 网 站 之 上 。 M e t e l 一 词 在 俄 语 中 意 为 “ 暴 风 雪 ” ， 其 成 员 凭 借 着 经 过 精 心 设 计 的 鱼 叉 式 钓 鱼 邮 件 将 恶 意 软 件 植 入 金 融 机 构 ， 或 者 诱 导 受 害 者 访 问 托 管 有 N i t e r i s 攻 击 套 件 的 网   站 。 该 恶 意 软 件 能 够 窃 取 各 类 系 统 信 息 ， 包 括 进 程 列 表 与 截 图 ， 并 将 数 据 发 送 到 恶 意 人 士 手 中 。 他 们 随 后 会 评 估 受 感 染 的 设 备 ， 以 判 断 其 余 攻 击 者 是 否 应 当 进 一 步 向 其 中 载 入 M e t e l 恶 意 软 件 包 。
该 恶 意 软 件 由 超 过 3 0 种 模 块 共 同 构 成 — — 其 中 一 部 分 为 M e t e l 自 主 研 发 ， 另 一 部 分 由 来 自 公 共 开 放 源 。 攻 击 者 们 还 会 使 用 m i m i k a t z 等 合 法 的 渗 透 测 试 工 具 — — 这 款 工 具 可 免 费 使 用 ， 主 要 帮 助 分 析 师 们 提 取 W i n d o w s 设 备 内 存 中 的 明 文 密 码 、 散 列 值 、 P I N 码 以 及 K e r b e r o s 票 据 。 利 用 这 些 被 窃 数 据 ， 攻 击 者 们 能 够 在 内 部 环 境 下 往 来 活 动 、 收 集 更 多 凭 据 直 到 接 触 到 域 控 制 器 。 而 在 掌 握 了 域 控 制 器 之 后 ， 他 们 就 能 够 在 任 意 设 备 之 上 为 所 欲 为 。 “ 我 们 的 调 查 结 果 显 示 ， 攻 击 者 们 开 车 在 俄 罗 斯 境 内 的 多 个 城 市 往 来 活 动 ， 从 多 家 不 同 银 行 的 A T M 机 中 窃 取 现 金 ， ” 卡 巴 斯 基 实 验 室 在 日 前 发 布 的 一 份 报 告 当 中 指 出 。 “ 由 于 提 取 出 来 的 资 金 会 被 即 刻 在 账 户 上 被 填 平 ， 因 此 攻 击 者 能 够 不 断 提 取 现 钞 。 该 团 伙 专 门 挑 选 夜 间 作 案 ， 并 在 多 个 地 点 将 A T M 机 提 空 。 ” 今 天 披 露 的 第 二 个 犯 罪 团 伙 名 为 G C M A N ， 选 择 这 一 名 称 是 因 为 他 们 使 用 的 恶 意 软 件 基 于 G C C 编 译 器 进 行 代 码 编 译 。 他 们 也 利 用 了 一 部 分 A P T 式 技 术 以 实 施 隐 身 攻 击 ， 其 中 包 括 某 些 非 恶 意 软 件 方 案 ， 例 如 合 法 的 渗 透 测 试 工 具 — — V N C 、 P u t t y 以 及 M e t e r p r e t e r 。 这 些 工 具 被 用 于 在 受 感 染 网 络 当 中 任 意 接 入 — — 具 体 感 染 方 式 包 括 利 用 鱼 叉 式 钓 鱼 邮 件 或 者 使 用 伪 装 成 W o r d 文 档 的 恶 意 R A R 压 缩 包 — — 直 到 他 们 能 够 在 不 被 银 行 内 部 检 测 系 统 发 现 的 情 况 下 ， 接 入 到 用 于 向 电 子 现 金 服 务 转 移 款 项 的 对 应 计 算 机 设 备 。 卡 巴 斯 基 实 验 室 的 研 究 人 员 们 指 出 ， 在 某 次 攻 击 活 动 当 中 ， 犯 罪 分 子 们 早 在 着 手 窃 取 资 金 前 的 1 8 个 月 就 已 经 接 入 到 目 标 网 络 。 在 完 成 这 项 初 步 目 标 后 ， 他 们 利 用 C R O N 调 试 程 序 执 行 恶 意 脚 本 、 从 而 以 每 分 钟 2 0 0 美 元 的 速 度 将 资 金 转 移 至 某 个 钱 骡
账 户 。 这 些 交 易 订 单 被 直 接 发 送 至 上 游 支 付 网 关 ， 卡 巴 斯 基 实 验 室 方 面 指 出 ， 而 根 本 没 有 被 银 行 内 部 系 统 记 录 下 来 。 “ 该 团 伙 利 用 一 项 M S S Q L 注 入 手 段 处 理 运 行 在 银 行 公 共 W e b 服 务 之 上 的 商 用 软 件 ， 并 在 约 一 年 半 之 后 重 新 回 归 并 着 手 提 取 现 金 。 在 此 期 间 ， 他 们 共 侵 入 了 7 0 台 内 部 主 机 ， 破 解 了 5 6 个 账 户 并 采 用 了 1 3 9 个 攻 击 源 （ 包 括 T O R 与 受 破 解 的 家 用 路 由 器 ） ， ” 卡 巴 斯 基 实 验 室 在 日 前 发 布 的 报 告 中 解 释 称 。 “ 我 们 发 现 在 该 事 故 发 生 前 的 约 两 个 月 ， 有 人 曾 针 对 某 台 银 行 服 务 器 进 行 过 管 理 员 账 户 登 录 尝 试 。 他 们 真 的 非 常 执 着 ： 他 们 只 会 在 星 期 六 进 行 尝 试 ， 且 每 星 期 尝 试 三 次 ， 而 这 一 切 都 巧 妙 绕 过 了 检 测 机 制 的 排 查 。 ” 在 C a r b a n a k 团 伙 于 一 年 前 遭 到 驱 逐 之 后 ， 研 究 人 员 们 一 直 认 为 该 组 织 已 经 关 门 大 吉 。 然 而 就 在 去 年 9 月 ， 丹 麦 C S I S 的 研 究 人 员 发 现 了 新 的 C a r b a n a k 活 动 迹 象 。 四 个 月 之 后 ， 卡 巴 斯 基 方 面 表 示 其 在 某 家 电 信 企 业 以 及 一 家 金 融 机 构 内 部 发 现 了 C a r b a n a k 样 本 ， 并 由 此 确 认 该 组 织 仍 在 活 动 当 中 。 “ C a r b a n a k   2 . 0 的 一 种 显 著 特 征 在 于 选 取 不 同 于 以 往 的 受 害 者 目 标 ， ” 卡 巴 斯 基 实 验 室 在 其 报 告 中 指 出 。 “ 该 团 伙 已 经 将 攻 击 对 象 由 银 行 转 向 任 何 企 业 中 的 预 算 与 会 计 部 门 ， 并 继 续 使 用 同 样 的 A P T 类 工 具 及 技 术 方 案 。 ” C a r b a n a k 团 伙 中 的 犯 罪 分 子 们 利 用 指 向 企 业 内 目 标 计 算 机 的 接 入 能 力 变 更 数 据 的 所 有 权 ， 从 而 将 其 从 正 常 归 属 者 手 中 转 至 被 其 控 制 的 钱 骡 账 户 内 。 C a r b a n a k 同 时 也 觊 觎 域 控 制 器 ， 旨 在 利 用 其 从 网 络 中 转 移 资 金 与 数 据 ， 这 一 切 同 样 会 被 发 送 至 钱 骡 账 户 内 。 “ 这 些 信 息 会 经 过 修 改 以 将 钱 骡 账 户 的 身 份 信 息 及 姓 名 显 示 为 企 业 股 东 对 象 ， 他 们 会 随 后 以 技 术 手 段 证 明 该 黑 客 组 织 的 某 位 帮 凶 身 为 大 型 企 业 的 合 伙 人 ， ” 卡 巴 斯 基 实 验 室 在 其 报 告 中 表 示 。 E 安 全 / 文   转 载 请 注 明 E 安 全   新 朋 友 请 关 注 「 E 安 全 」 微 信 搜 公 众 号 E A Q a p p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理