搜索

[2610] 2016-02-10_解析“海神波塞冬”：一支目标明确的全球性高水平网络间谍组织

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-02-10_解析“海神波塞冬”：一支目标明确的全球性高水平网络间谍组织 解 析 “ 海 神 波 塞 冬 ” ： 一 支 目 标 明 确 的 全 球 性 高 水 平 网 络 间 谍 组 织 E 安 全   2 0 1 6 - 0 2 - 1 0 2 0 1 5 年 下 半 年 ， 来 自 卡 巴 斯 基 实 验 室 G R e A T （ 即 全 球 研 究 与 分 析 团 队 ） 的 研 究 人 员 们 遭 遇 到 一 项 难 解 的 谜 题 ， 而 其 背 后 的 答 案 则 指 向 某 个 名 为 “ 波 塞 冬 （ P o s e i d o n ） ” 的 葡 语 针 对 性 攻 击 集 团 。 该 集 团 已 经 拥 有 相 当 “ 悠 久 ” 的 发 展 历 程 ， 据 信 其 在 2 0 0 5 年 甚 至 更 早 就 已 经 相 当 活 跃 ， 而 最 初 诞 生 之 迹 象 则 可 追 溯 至 2 0 0 1 年 。 考 虑 到 这 些 因 素 ， 我 们 可 以 想 见 “ 波 塞 冬 ” 已 经 拿 出 大 量 时 间 构 建 其 攻 击 框 架 。 那 么 为 什 么 “ 波 塞 冬 ” 威 胁 势 力 能 够 经 过 十 余 年 的 潜 伏 而 不 被 人 们 所 察 觉 ？ 事 实 上 ， 其 此 前 曾 经 显 露 过 形 迹 。 其 恶 意 活 动 的 大 多 数 样 本 都 被 及 时 发 现 ， 只 不 过 “ 波 塞 冬 ” 一 直 作 为 一 支 “ 定 制 化 高 针 对 性 极 强 的 恶 意 软 件 ” 开 发 团 队 存 在 ， 这 就 导 致 安 全 研 究 人 员 并 没 能 将 其 同 具 体 攻 击 活 动 联 系 起 来 。 而 作 为 其 鲜 明 特 征 ， “ 波 塞 冬 ” 会 在 不 同 攻 击 行 动 中 使 用 各 具 特 色 的 举 措 及 手 段 ， 有 时 候 甚 至 会 开 发 出 独 一 无 二 的 恶 意 工 具 。 第 一 支 葡 语 网 络 攻 击 集 团 第 一 支 葡 语 网 络 攻 击 集 团 # T h e P o s e i d o n A P T 面 向 全 球 企 业 发 动 攻 击 面 向 全 球 企 业 发 动 攻 击 # T h e S A S 2 0 1 6 我 们 的 研 究 团 队 得 以 努 力 追 查 波 塞 冬 工 具 的 演 变 进 程 ， 从 而 逐 步 掌 握 他 们 的 思 路 与 特 定 实 践 是 如 何 感 染 并 敲 诈 受 害 者 ， 最 终 以 此 为 线 索 拼 凑 出 了 事 情 的 完 整 样 貌 。 凭 借 着 开 发 出 的 一 系 列 各 具 针 对 性 的 信 息 收 集 与 权 限 提 升 手 段 ， 由 波 塞 冬 所 代 表 的 新 兴 黑 客 势 力 已 经 表 现 出 极 强 的 技 术 能 力 与 攻 击 途 径 复 杂 程 度 。 如 今 ， 这 些 区 域 性 恶 意 人 士 在 技 术 水 平 方 面 早 已 不 逊 于 全 球 领 先 的 各 大 知 名 针 对 性 攻 击 实 施 者 。 为 了 对 波 塞 冬 集 团 的 活 动 进 行 了 解 ， 研 究 人 员 耐 心 地 拆 解 其 作 案 手 法 ， 并 深 入 挖 掘 他 们 部 署 至 每 个 选 定 目 标 当 中 的 、 用 于 实 现 感 染 的 定 制 化 工 具 方 案 。 在 这 个 过 程 当 中 ， 我 们 发 现 其 恶 意 软 件 在 开 发 上 显 示 出 高 度 区 域 化 特 征 ， 且 在 地 理 上 趋 近 于 受 害 者 — — 这 种 状 况 在 欧 洲 这 样 网 络 犯 罪 行 业 高 度 成 熟 的 地 区 当 然 不 足 为 奇 。 他 们 打 造 出 的 持 续 发 展 当 中 的 工 具 包 仍 在 进 行 不 停 迭 代 甚 至 足 以 避 过 安 全 人 员 的 重 重 检 测 ， 不 过 为 了 对 其 进 行 全 面 审 视 ， 我 们 首 先 应 当 着 眼 于 其 发 展 历 程 。
常 见 问 题 常 见 问 题 波 塞 冬 集 团 到 底 是 怎 么 回 事 ？ 波 塞 冬 集 团 到 底 是 怎 么 回 事 ？ 波 塞 冬 集 团 是 一 支 长 期 面 向 各 个 领 域 运 作 的 团 队 ， 包 括 陆 、 海 、 空 等 各 个 层 面 。 他 们 致 力 于 推 进 有 针 对 性 的 攻 击 活 动 ， 并 通 过 在 鱼 叉 式 钓 鱼 邮 件 中 的 办 公 文 档 及 广 泛 的 横 向 移 动 工 具 内 嵌 入 可 执 行 元 素 以 积 极 收 集 企 业 内 部 环 境 的 网 络 信 息 。 经 过 筛 选 的 信 息 而 后 会 被 用 于 向 受 害 企 业 发 出 勒 索 ， 而 波 塞 冬 集 团 则 会 以 安 全 厂 商 的 姿 态 出 现 。 而 且 即 使 双 方 已 经 达 成 合 作 协 议 ， 波 塞 冬 集 团 往 往 仍 会 继 续 感 染 或 者 间 隔 一 段 时 间 再 重 新 进 行 恶 意 扩 散 ， 从 而 在 超 出 协 议 之 外 的 领 域 继 续 疯 狂 收 集 敏 感 数 据 。 波 塞 冬 集 团 一 直 非 常 活 跃 ， 而 且 自 2 0 0 5 年 甚 至 更 早 时 即 使 用 自 定 义 代 码 及 开 发 工 具 包 开 发 立 足 于 英 语 及 葡 萄 牙 语 版 本 的 W i n d o w s 操 作 系 统 ， 而 采 取 的 渗 透 方 法 则 包 括 劫 持 卫 星 连 接 等 。 直 到 目 前 ， 波 塞 冬 集 团 仍 处 于 活 跃 状 态 。 为 什 么 要 使 用 为 什 么 要 使 用 “ 波 塞 冬 集 团 的 高 级 针 对 性 攻 击 方 案 波 塞 冬 集 团 的 高 级 针 对 性 攻 击 方 案 ” 这 种 表 述 ？ 这 种 表 述 ？ 根 据 与 之 相 关 的 可 执 行 文 件 中 的 部 分 字 符 串 ， 研 究 人 员 发 现 相 关 攻 击 者 表 现 出 对 希 望 神 话 的 热 衷 与 喜 爱 ， 特 别 是 关 于 海 神 波 塞 冬 （ 这 同 时 也 表 现 为 他 们 近 来 利 用 卫 星 通 信 机 制 对 海 上 船 舶 服 务 进 行 入 侵 这 同 时 也 表 现 为 他 们 近 来 利 用 卫 星 通 信 机 制 对 海 上 船 舶 服 务 进 行 入 侵 ） 。 而 高 级 元 素 则 体 现 在 他 们 不 断 对 感 染 手 段 加 以 调 整 ， 从 而 适 应 每 位 潜 在 客 户 的 定 制 要 求 ， 包 括 利 用 自 适 应 型 工 具 包 实 现 横 向 移 动 以 及 数 据 收 集 等 等 。 他 们 的 业 务 周 期 当 中 包 含 利 用 窃 取 到 的 信 息 进 行 所 谓 “ 财 务 预 测 ” ， 因 为 我 们 可 以 说 由 波 塞 冬 集 团 发 起 的 针 对 性 攻 击 不 仅 堪 称 精 品 ， 甚 至 可 以 说 是 恶 意 活 动 中 的 珍 宝 。 这 项 威 胁 是 如 何 被 察 觉 的 ？ 谁 对 其 进 行 了 上 报 ？ 这 项 威 胁 是 如 何 被 察 觉 的 ？ 谁 对 其 进 行 了 上 报 ？ 我 们 注 意 到 ， 一 部 分 安 全 厂 商 以 及 相 关 安 全 爱 好 者 多 年 以 来 已 经 不 得 不 报 道 了 一 系 列 与 波 塞 冬 集 团 相 关 的 消 息 。 然 而 ， 并
没 有 人 意 识 到 这 些 碎 片 信 息 能 够 拼 凑 起 来 并 指 向 单 一 威 胁 发 起 者 。 也 许 这 是 因 为 该 集 团 针 对 特 定 设 备 使 用 定 制 化 攻 击 手 段 ， 而 且 同 时 使 用 英 语 与 葡 萄 牙 语 ， 并 使 用 位 于 国 家 的 不 同 临 时 性 命 令 与 控 制 服 务 器 ， 甚 至 借 各 恶 意 企 业 之 名 发 布 不 同 凭 证 等 等 。 通 过 对 各 类 证 据 进 行 悉 心 收 集 ， 并 借 此 对 攻 击 者 时 间 轴 加 以 重 构 ， 我 们 发 现 其 最 终 指 向 的 是 同 一 个 组 织 — — 其 活 跃 周 期 最 迟 开 始 于 2 0 0 5 年 ， 甚 至 直 到 目 前 仍 活 跃 在 市 场 之 上 。 了 解 到 这 一 点 ， G R e A T 研 究 人 员 们 得 以 从 广 泛 的 报 道 当 中 突 破 混 淆 信 息 并 提 取 出 性 状 相 似 的 恶 意 活 动 线 索 。 但 2 0 1 5 年 内 得 到 的 样 本 变 种 信 息 仍 然 非 常 有 限 ， 目 前 得 到 的 主 要 是 与 波 塞 冬 集 团 相 关 的 领 导 者 及 其 秘 密 文 件 消 息 。 你 们 是 何 时 发 现 这 类 针 对 性 攻 击 的 ？ 你 们 是 何 时 发 现 这 类 针 对 性 攻 击 的 ？ 卡 巴 斯 基 实 验 室 发 现 的 首 例 该 集 团 恶 意 活 动 样 本 源 自 2 0 0 0 年 初 。 然 而 正 如 前 面 所 提 到 ， 要 对 相 关 迹 象 及 证 据 加 以 整 理 从 而 拼 凑 出 事 件 的 原 貌 确 实 相 当 困 难 。 直 到 2 0 1 5 年 年 中 ， 整 条 脉 络 才 得 到 最 终 捋 顺 ， 这 意 味 着 我 们 能 够 确 定 期 间 的 全 部 事 件 都 源 自 同 一 威 胁 实 施 方 — — 也 就 是 我 们 所 谓 的 波 塞 冬 集 团 。 受 害 者 有 哪 些 ？ 受 害 者 有 哪 些 ？ / 能 否 透 露 攻 击 目 标 的 相 关 信 息 ？ 能 否 透 露 攻 击 目 标 的 相 关 信 息 ？ 攻 击 对 象 主 要 包 括 各 能 源 与 公 共 事 业 、 电 信 、 公 共 关 系 、 媒 体 、 金 融 机 构 、 政 府 机 关 、 一 般 性 服 务 以 及 制 造 行 业 企 攻 击 对 象 主 要 包 括 各 能 源 与 公 共 事 业 、 电 信 、 公 共 关 系 、 媒 体 、 金 融 机 构 、 政 府 机 关 、 一 般 性 服 务 以 及 制 造 行 业 企 业 。 受 害 者 的 地 理 分 布 在 很 大 程 度 上 今 生 于 巴 西 、 美 国 、 法 国 、 哈 萨 克 斯 坦 、 阿 联 酋 、 印 度 与 俄 罗 斯 。 很 多 受 害 者 业 。 受 害 者 的 地 理 分 布 在 很 大 程 度 上 今 生 于 巴 西 、 美 国 、 法 国 、 哈 萨 克 斯 坦 、 阿 联 酋 、 印 度 与 俄 罗 斯 。 很 多 受 害 者 在 巴 西 拥 有 合 资 企 业 或 者 合 作 运 营 伙 伴 。 受 害 者 的 重 要 性 并 非 表 现 在 数 量 层 面 ， 因 为 波 塞 冬 集 团 针 对 的 受 害 者 普 遍 在 巴 西 拥 有 合 资 企 业 或 者 合 作 运 营 伙 伴 。 受 害 者 的 重 要 性 并 非 表 现 在 数 量 层 面 ， 因 为 波 塞 冬 集 团 针 对 的 受 害 者 普 遍 为 大 型 （ 多 为 跨 国 ） 企 业 。 为 大 型 （ 多 为 跨 国 ） 企 业 。 他 们 从 目 标 设 备 中 窃 取 到 了 哪 些 信 息 ？ 他 们 从 目 标 设 备 中 窃 取 到 了 哪 些 信 息 ？ 波 塞 冬 集 团 的 一 大 特 征 在 于 ， 其 拥 有 一 套 活 跃 的 基 于 域 的 网 络 发 现 体 系 。 而 这 样 的 网 络 拓 扑 结 构 在 典 型 的 公 司 与 企 业 当 中 极 为 常 见 。 这 些 公 司 中 最 具 价 值 的 资 产 感 戴 其 专 有 信 息 、 技 术 以 及 业 务 敏 感 信 息 ， 包 括 与 投 资 以 及 股 票 估 值 等 重 要 数 据 。 波 塞 冬 集 团 积 极 在 企 业 环 境 中 针 对 此 类 知 识 产 权 及 商 业 信 息 进 行 窃 取 ， 此 外 偶 尔 也 会 收 集 与 高 管 相 关 的 个 人 信 息 。 波 塞 冬 的 波 塞 冬 的 A P T 高 级 工 具 如 何 感 染 目 标 计 算 机 ？ 高 级 工 具 如 何 感 染 目 标 计 算 机 ？ 波 塞 冬 集 团 的 主 要 感 染 途 径 是 利 用 包 含 R T F / D O C 文 件 的 鱼 叉 式 钓 鱼 电 子 邮 件 ， 且 主 要 配 合 与 人 力 资 源 相 关 之 引 诱 信 息 。 这 些 可 执 行 文 件 也 常 常 配 合 数 字 签 名 ， 有 时 甚 至 会 被 藏 在 备 用 数 据 流 内 以 骗 过 目 标 的 安 全 防 御 措 施 。 波 塞 冬 的 工 具 包 涉 及 波 塞 冬 的 工 具 包 涉 及 大 量 杀 毒 软 件 供 应 商 ， 并 凭 借 着 多 年 经 验 以 攻 击 或 者 欺 诈 这 些 防 御 体 制 ， 并 以 此 作 为 极 为 有 效 的 感 染 手 段 。 大 量 杀 毒 软 件 供 应 商 ， 并 凭 借 着 多 年 经 验 以 攻 击 或 者 欺 诈 这 些 防 御 体 制 ， 并 以 此 作 为 极 为 有 效 的 感 染 手 段 。 一 旦 感 染 成 功 ， 其 将 会 向 命 令 与 控 制 服 务 器 提 交 报 告 ， 而 后 实 施 复 杂 的 横 向 移 动 。 此 阶 段 通 常 会 利 用 一 款 能 够 自 动 收 集 广 泛 信 息 的 特 定 工 具 ， 具 体 包 括 凭 证 、 群 组 管 理 策 略 甚 至 是 系 统 日 志 ， 旨 在 更 好 地 实 施 进 一 步 攻 击 并 确 保 其 恶 意 软 件 得 以 执 行 。 通 过 这 种 方 式 ， 攻 击 者 们 能 够 在 不 致 引 发 警 报 及 网 络 管 理 员 注 意 的 前 提 下 了 解 到 自 己 所 能 利 用 的 应 用 程 序 及 命 令 。
波 塞 冬 集 团 的 目 的 是 什 么 ？ 目 标 设 备 被 感 染 后 又 会 发 生 什 么 ？ 波 塞 冬 集 团 的 目 的 是 什 么 ？ 目 标 设 备 被 感 染 后 又 会 发 生 什 么 ？ 一 旦 目 标 设 备 被 成 功 侵 入 ， 攻 击 者 会 首 先 检 查 目 标 系 统 中 的 所 有 服 务 以 及 运 行 在 系 统 中 的 全 部 进 程 。 在 此 之 后 ， 攻 击 者 会 在 本 地 设 备 与 网 络 当 中 搜 索 全 部 管 理 员 账 户 。 这 项 技 术 允 许 他 们 实 现 网 络 资 源 映 射 并 在 网 络 当 中 采 取 后 续 操 作 ， 从 而 顺 利 登 陆 至 最 适 合 进 行 恶 意 操 作 的 目 标 设 备 。 由 此 可 见 ， 波 塞 冬 集 团 对 于 W i n d o w s 网 络 管 理 机 制 非 常 熟 悉 。 在 多 数 情 况 下 ， 他 们 最 感 兴 趣 的 是 域 控 制 器 。 除 此 之 外 ， 恶 意 软 件 还 会 面 向 硬 编 码 命 令 与 控 制 服 务 器 进 行 报 告 并 建 立 后 门 连 接 ， 这 样 攻 击 者 就 能 够 拥 有 一 条 永 远 性 远 程 连 接 。 波 塞 冬 集 团 使 用 哪 些 恶 意 工 具 ？ 它 们 各 拥 有 哪 些 具 体 功 能 ？ 波 塞 冬 集 团 使 用 哪 些 恶 意 工 具 ？ 它 们 各 拥 有 哪 些 具 体 功 能 ？ 波 塞 冬 集 团 利 用 多 种 工 具 实 现 恶 意 目 标 。 他 们 的 主 要 感 染 工 具 自 2 0 0 5 年 以 来 就 一 直 在 悄 然 演 进 ， 而 且 除 了 一 部 分 残 存 代 码 仍 在 继 续 使 用 外 ， 其 余 部 分 一 直 针 对 新 型 操 作 系 统 及 特 定 活 动 而 进 行 调 整 。 值 得 强 调 的 是 ， 除 了 波 塞 冬 工 具 包 之 后 他 们 还 采 用 I G T   s u p e r t o o l （ 信 息 收 集 工 具 包 ） ， 这 个 体 积 为 （ 信 息 收 集 工 具 包 ） ， 这 个 体 积 为 1 5 M B 的 可 执 行 文 件 能 够 对 一 系 列 不 同 信 息 收 集 步 骤 、 筛 选 机 制 的 可 执 行 文 件 能 够 对 一 系 列 不 同 信 息 收 集 步 骤 、 筛 选 机 制 以 及 整 理 组 件 进 行 编 排 。 以 及 整 理 组 件 进 行 编 排 。 这 款 工 具 的 设 计 初 衷 似 乎 是 为 了 操 作 各 类 高 价 值 企 业 系 统 ， 例 如 域 控 制 器 或 者 I I S 服 务 器 等 有 价 值 信 息 资 源 库 ， 特 别 是 用 于 实 现 横 向 移 动 。 另 外 ， 信 息 收 集 工 具 （ 简 称 I G T ） 利 用 D e l p h i 进 行 编 码 并 包 含 有 跨 越 十 几 项 不 同 功 能 模 块 的 p o w e r s h e l l 与 S Q L 组 件 。 这 款 工 具 还 包 含 多 个 由 不 同 编 程 语 言 编 写 的 其 它 可 执 行 文 件 ， 从 V i s u a l   B a s i c   6 到 C # 皆 有 涉 及 ， 这 些 文 件 各 自 拥 有 明 确 的 任 务 以 自 对 象 处 收 集 更 多 信 息 。 I G T 工 具 的 主 要 目 标 在 于 对 所 指 向 系 统 进 行 调 查 ， 保 存 来 自 网 络 接 口 及 地 址 的 信 息 、 归 属 于 域 及 数 据 库 服 务 器 的 凭 证 、 运 行 自 操 作 系 统 的 各 项 服 务 以 及 其 它 一 切 能 够 帮 助 波 塞 冬 集 团 以 定 制 化 方 式 对 受 害 者 发 起 攻 击 的 资 讯 。 攻 击 者 们 是 否 有 使 用 零 日 漏 洞 ？ 攻 击 者 们 是 否 有 使 用 零 日 漏 洞 ？ 对 相 关 样 本 的 分 析 并 没 有 发 现 任 何 零 日 漏 洞 。 波 塞 冬 集 团 通 常 诱 导 用 户 点 击 包 含 在 W o r d 以 及 R T F 文 档 文 件 中 的 可 执 行 文 件 ， 即 利 用 这 种 包 含 有 恶 意 宏 脚 本 的 带 毒 文 件 侵 入 其 既 定 攻 击 目 标 。 根 据 我 们 就 其 它 针 对 性 活 动 开 展 的 调 查 ， 社 交 工 程 与 精 心 设 计 的 鱼 叉 式 钓 鱼 攻 击 仍 然 充 当 着 高 效 入 侵 目 标 系 统 的 重 要 途 径 。 这 是 否 属 于 单 纯 面 向 这 是 否 属 于 单 纯 面 向 W i n d o w s 系 统 的 威 胁 ？ 哪 些 系 统 的 威 胁 ？ 哪 些 W i n d o w s 版 本 会 受 到 影 响 ？ 版 本 会 受 到 影 响 ？ 波 塞 冬 集 团 主 要 面 向 微 软 W i n d o w s 操 作 系 统 家 族 ， 特 别 是 针 对 各 个 版 本 推 出 定 制 化 感 染 方 案 ， 从 而 收 集 不 同 信 息 并 在 初 步 感 染 成 功 后 潜 藏 自 身 行 迹 。 其 它 常 见 于 企 业 环 境 中 的 产 品 — — 例 如 S Q L 服 务 器 — — 则 会 被 用 于 实 现 横 向 移 动 ， 同 时 由 波 塞 冬 集 团 精 心 设 计 的 定 制 化 工 具 集 实 现 凭 证 收 集 。 由 于 波 塞 冬 集 团 已 经 拥 有 相 当 长 的 发 展 历 史 ， 因 此 其 针 对 W i n d o w s 系 统 的 恶 意 活 动 样 本 可 以 追 溯 到 W i n d o w s   N T   4 . 0   S e r v e r 以 及 W i n d o w s   9 5   W o r k s t a t i o n 时 代 ， 而 如 今 受 影 响 的 新 版 本 则 包 括 W i n d o w s   8 . 1 及 其 同 时 代 服 务 器 版 本 （ 服 务 器 版 本 对 他 们 非 常 重 要 ， 特 别 是 考 虑 到 其 在 企 业 环 境 下 对 域 控 制 器 的 高 度 重 视 ） 。 波 塞 冬 集 团 的 方 案 与 其 它 针 对 性 攻 击 有 何 不 同 ？ 波 塞 冬 集 团 的 方 案 与 其 它 针 对 性 攻 击 有 何 不 同 ？
其 恶 意 活 动 区 别 于 其 它 组 织 的 主 要 特 征 在 于 勒 索 元 素 。 他 们 之 所 以 要 收 集 敏 感 数 据 ， 是 为 了 强 迫 受 害 者 与 之 交 换 竞 争 对 手 信 息 或 者 利 用 其 支 持 波 塞 冬 作 为 正 常 企 业 的 所 谓 “ 财 务 预 测 ” 产 品 ， 并 借 此 威 胁 到 行 业 间 的 正 常 竞 争 关 系 。 另 外 ， 这 也 有 史 以 来 首 例 为 公 众 所 知 晓 的 葡 萄 牙 语 针 对 性 攻 击 活 动 。 波 塞 冬 集 团 的 恶 意 软 件 是 否 存 在 多 个 变 种 ？ 各 变 种 之 间 是 否 存 在 明 显 区 别 ？ 波 塞 冬 集 团 自 2 0 0 5 年 左 右 起 即 持 续 对 自 身 工 具 包 加 以 演 进 。 该 恶 意 软 件 并 不 能 回 避 检 测 ， 但 其 表 现 并 不 起 眼 ， 研 究 人 员 起 初 从 未 怀 疑 过 其 与 大 量 恶 意 活 动 有 关 — — 即 充 当 这 些 恶 意 活 动 的 初 始 手 段 。 而 另 一 大 完 全 不 同 的 组 件 则 会 在 波 塞 冬 方 面 接 触 到 关 键 性 设 备 时 起 效 — — 例 如 企 业 中 的 域 控 制 器 。 而 主 要 收 集 任 务 则 由 I G T （ 即 信 息 收 集 工 具 ） 工 具 包 负 责 实 现 。 波 塞 冬 集 团 使 用 的 命 令 与 控 制 服 务 器 是 否 仍 处 于 活 动 状 态 ？ 你 们 能 否 定 位 到 任 何 命 令 与 控 制 波 塞 冬 集 团 使 用 的 命 令 与 控 制 服 务 器 是 否 仍 处 于 活 动 状 态 ？ 你 们 能 否 定 位 到 任 何 命 令 与 控 制 服 务 器 ？ 服 务 器 ？ 波 塞 冬 集 团 在 命 令 与 控 制 服 务 器 的 使 用 方 面 拥 有 诸 多 非 常 有 趣 的 作 法 ， 包 括 在 特 定 活 动 结 束 后 对 命 令 与 控 制 服 务 器 进 行 快 速 清 理 与 丢 弃 。 这 实 际 上 让 我 们 得 以 快 速 定 位 到 几 个 相 关 域 。 其 中 一 部 分 仍 然 处 于 活 动 状 态 并 试 图 向 命 令 与 控 制 服 务 器 发 送 报 告 ， 这 又 给 故 事 增 添 了 新 的 乐 趣 。 正 如 卡 巴 斯 基 实 验 室 发 布 的 安 全 网 络 空 间 报 告 所 显 示 ， 我 们 已 经 确 定 并 接 触 了 多 位 受 害 者 ， 为 他 们 提 供 安 全 解 决 方 案 乃 至 违 规 指 标 （ 简 称 I O C ） 机 制 以 应 对 这 类 主 动 感 染 。 在 这 一 过 程 中 ， 我 们 也 得 以 确 认 之 前 提 到 的 波 塞 冬 集 团 所 采 取 之 行 动 流 程 。 这 是 否 属 于 民 族 国 家 支 持 之 攻 击 ？ 谁 该 为 此 负 责 ？ 这 是 否 属 于 民 族 国 家 支 持 之 攻 击 ？ 谁 该 为 此 负 责 ？ 我 们 认 为 这 不 太 可 能 属 于 民 族 国 家 支 持 之 攻 击 活 动 ， 而 更 像 是 商 业 威 胁 行 为 。 通 过 与 信 息 共 享 合 作 伙 伴 与 受 害 者 的 协 作 ， 我 们 意 识 到 相 关 事 故 中 更 多 复 杂 的 商 业 周 期 情 报 ， 这 也 为 我 们 追 踪 相 关 活 动 带 来 了 巨 大 帮 助 。 该 恶 意 软 件 在 设 计 上 旨 在 针 对 采 用 英 语 及 葡 萄 牙 语 的 系 统 ， 而 这 也 是 我 们 发 现 的 首 个 葡 萄 牙 语 针 对 性 攻 击 案 例 。 这 些 攻 击 者 的 活 动 周 期 已 有 多 长 时 间 ？ 这 些 攻 击 者 的 活 动 周 期 已 有 多 长 时 间 ？ 这 些 攻 击 者 的 活 动 周 期 已 经 超 过 十 年 。 其 早 期 活 动 样 本 可 追 溯 至 2 0 0 5 年 ， 而 且 在 此 之 前 也 出 现 过 某 些 异 常 状 况 。
面 向 台 式 计 算 机 的 W i n d o w s   9 5 以 及 面 向 服 务 器 的 W i n d o w s   N T 等 操 作 系 统 版 本 当 时 还 不 太 常 见 ， 而 波 塞 冬 集 团 在 此 之 后 一 直 在 针 对 微 软 各 操 作 系 统 旗 舰 版 本 进 行 持 续 演 进 。 最 近 的 几 次 活 动 样 本 显 著 其 已 经 将 重 心 转 向 W i n d o w s   2 0 1 2   S e r v e r 以 及 W i n d o w s   8 . 1 。 攻 击 者 们 有 否 使 用 某 些 有 趣 攻 击 者 们 有 否 使 用 某 些 有 趣 / 先 进 的 技 术 ？ 先 进 的 技 术 ？ 在 某 次 特 定 活 动 当 中 ， 波 塞 冬 集 团 被 证 实 利 用 I P 解 析 进 行 卫 星 上 行 链 路 定 向 。 被 其 掌 控 的 网 络 原 本 用 于 为 海 上 航 行 的 船 舶 提 供 互 联 网 通 信 服 务 ， 其 能 够 覆 盖 跨 度 极 大 的 地 理 区 域 ， 而 且 下 行 链 路 几 乎 毫 无 安 全 保 障 机 制 可 言 。 该 恶 意 软 件 的 编 写 者 们 也 非 常 了 解 受 害 者 的 执 行 策 略 ， 并 借 其 制 度 对 其 加 以 操 纵 。 他 们 能 够 将 具 备 数 字 签 名 的 恶 意 软 件 同 G P O （ 即 组 策 略 对 象 执 行 管 理 ） 相 结 合 以 回 避 感 染 阶 段 可 能 遭 遇 的 检 测 或 者 阻 挡 。 这 些 数 字 证 书 通 常 以 流 氓 及 合 法 企 业 的 名 义 发 出 ， 从 而 避 免 研 究 人 员 及 紧 急 响 应 人 员 因 此 受 到 怀 疑 。 卡 巴 斯 基 实 验 室 是 否 已 经 检 测 到 该 恶 意 软 件 的 全 部 变 种 ？ 卡 巴 斯 基 实 验 室 是 否 已 经 检 测 到 该 恶 意 软 件 的 全 部 变 种 ？ 是 的 ， 全 部 样 本 目 前 都 已 经 由 签 名 及 启 发 式 机 制 所 检 测 到 。 在 对 卡 巴 斯 基 实 验 室 的 反 恶 意 软 件 解 决 方 案 进 行 完 整 更 新 后 ， 所 有 客 户 现 在 都 已 经 受 到 严 格 保 护 。 卡 巴 斯 基 实 验 室 的 产 品 检 测 到 波 塞 冬 集 团 所 使 用 的 恶 意 软 件 包 含 以 下 检 测 名 称 ： B a c k d o o r . W i n 3 2 . N h o p r o H E U R : B a c k d o o r . W i n 3 2 . N h o p r o . g e n H E U R : H a c k t o o l . W i n 3 2 . N h o p r o . g e n
你 们 已 经 发 现 了 多 少 家 受 害 者 ？ 你 们 已 经 发 现 了 多 少 家 受 害 者 ？ 目 前 能 够 确 定 至 少 有 3 5 家 受 害 企 业 被 波 塞 冬 集 团 作 为 主 要 攻 击 目 标 ， 其 中 包 括 金 融 与 政 府 机 构 、 电 信 、 制 造 、 能 源 与 其 它 服 务 实 体 企 业 外 加 媒 体 与 公 共 关 系 公 司 。 对 这 样 一 个 长 期 存 在 的 恶 意 组 织 进 行 追 踪 使 得 受 害 者 的 具 体 身 份 变 得 非 常 复 杂 。 我 们 发 现 有 几 十 家 企 业 存 在 遭 受 针 对 性 攻 击 的 痕 迹 。 另 外 ， 受 害 企 业 的 确 切 数 量 实 际 上 可 能 也 存 在 误 差 。 因 为 波 塞 冬 集 团 已 经 存 在 十 年 以 上 ， 因 此 相 当 一 部 分 受 害 者 已 经 完 全 不 可 能 被 准 确 识 别 出 来 。 目 前 ， 我 们 正 在 积 极 接 触 主 动 感 染 的 受 害 者 并 为 其 提 供 补 救 性 方 案 、 I O C 以 及 完 整 的 情 报 报 告 ， 保 证 其 更 为 有 效 地 消 除 此 类 威 胁 。 任 何 关 注 此 类 受 害 者 或 者 潜 在 目 标 的 朋 友 都 请 通 过 i n t e l r e p o r t s @ k a s p e r s k y . c o m 与 我 们 联 系 。 谁 是 这 些 攻 击 的 幕 后 黑 手 ？ 谁 是 这 些 攻 击 的 幕 后 黑 手 ？ 我 们 不 会 对 其 归 属 做 出 猜 测 。 通 过 编 译 过 程 的 植 入 内 容 以 及 用 于 描 述 其 组 件 使 用 方 式 的 某 些 命 令 语 言 代 码 ， 我 们 可 以 看 出 其 实 际 属 于 巴 西 境 内 的 葡 萄 牙 语 用 法 。 另 外 ， 葡 萄 牙 语 字 符 串 与 对 葡 萄 牙 语 系 统 的 偏 好 倾 向 在 整 体 样 本 当 中 非 常 突 出 。 波 塞 冬 集 团 的 活 动 目 的 似 乎 高 度 关 注 通 过 间 谍 活 动 实 现 商 业 利 益 ， 因 此 任 何 进 一 步 猜 测 都 是 毫 无 根 据 的 。 E 安 全 / 文   转 载 请 注 明 E 安 全   新 朋 友 请 关 注 「 E 安 全 」 微 信 搜 公 众 号 E A Q a p p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理