搜索

[28173] 2020-02-18_伊朗黑客一直在黑客VPN服务器以在世界各地的公司中植入后门

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-19
2020-02-18_伊朗黑客一直在黑客VPN服务器以在世界各地的公司中植入后门 伊 朗 黑 客 一 直 在 黑 客 V P N 服 务 器 以 在 世 界 各 地 的 公 司 中 植 入 后 门 O t s 安 全   2 0 2 0 - 0 2 - 1 8 伊 朗 黑 客 已 将 P u l s e   S e c u r e ， F o r t i n e t ， P a l o   A l t o   N e t w o r k s 和 C i t r i x   V P N 定 位 为 入 侵 大 型 公 司 的 工 具 。 记 得 2 0 1 9 年 是 许 多 企 业 V P N 服 务 器 中 披 露 主 要 安 全 漏 洞 的 一 年 ， 例 如 P u l s e   S e c u r e ， P a l o   A l t o   N e t w o r k s ， F o r t i n e t 和 C i t r i x 出 售 的 服 务 器 。 今 天 发 布 的 一 份 新 报 告 显 示 ， 伊 朗 政 府 支 持 的 黑 客 部 门 在 去 年 首 次 利 用 V P N 错 误 ， 将 其 作 为 头 等 大 事 ， 以 渗 透 并 在 全 世 界 的 公 司 中 植 入 后 门 。 根 据 网 络 安 全 公 司 C l e a r S k y 的 一 份 报 告 ， 伊 朗 黑 客 将 “   I T ， 电 信 ， 石 油 和 天 然 气 ， 航 空 ， 政 府 和 安 全 部 门 的 公 司 ” 作 为 攻 击 目 标 。 在 公 开 披 露 几 小 时 后 发 生 了 一 些 攻 击 该 报 告 消 除 了 以 下 观 念 ： 伊 朗 的 黑 客 并 不 精 通 俄 罗 斯 ， 比 俄 罗 斯 ， 中 国 或 朝 鲜 的 黑 客 没 有 才 华 。 C l e a r S k y 表 示 ： “ 伊 朗 A P T 小 组 已 经 开 发 了 良 好 的 技 术 进 攻 能 力 ， 并 且 能 够 在 相 对 较 短 的 时 间 内 利 用 1 天 漏 洞 。 ” C l e a r S k y 表 示 ， 在 某 些 情 况 下 ， 它 观 察 到 伊 朗 组 织 在 漏 洞 被 公 开 披 露 后 数 小 时 内 利 用 V P N 漏 洞 。 *   A P T 代 表 高 级 持 续 威 胁 ， 是 一 个 经 常 用 来 描 述 民 族 国 家 黑 客 组 织 的 术 语 C l e a r S k y 表 示 ， 在 2 0 1 9 年 ， 伊 朗 组 织 迅 速 利 用 P u l s e   S e c u r e “ 连 接 ”   V P N （ C V E - 2 0 1 9 - 1 1 5 1 0 ） ， F o r t i n e t   F o r t i O S   V P N （ C V E - 2 0 1 8 - 1 3 3 7 9 ） 和 P a l o   A l t o   N e t w o r k s “ 全 球 保 护 ” 中 揭 示 的 漏 洞 进 行 武 器 化 V P N （ C V E - 2 0 1 9 - 1 5 7 9 ） 。 对 这 些 系 统 的 攻 击 始 于 去 年 夏 天 ， 当 时 有 关 这 些 错 误 的 详 细 信 息 已 公 开 ， 但 到 2 0 2 0 年 这 种 攻 击 仍 在 继 续 。 此 外 ， 随 着 有 关 其 他 V P N 漏 洞 的 详 细 信 息 被 公 开 ， 伊 朗 组 织 也 在 攻 击 中 包 括 了 这 些 漏 洞 利 用 （ 即 C V E - 2 0 1 9 - 1 9 7 8 1 ， 这 是 C i t r i x “   A D C ”   V P N 中 披 露 的 漏 洞 ） 。 入 侵 企 业 目 标 以 种 植 后 门
根 据 C l e a r S k y 的 报 告 ， 这 些 攻 击 的 目 的 是 破 坏 企 业 网 络 ， 在 其 内 部 系 统 中 横 向 移 动 ， 并 植 入 后 门 以 供 日 后 利 用 。 他 们 的 攻 击 的 第 一 阶 段 （ 突 破 ） 针 对 V P N ， 而 第 二 阶 段 （ 横 向 运 动 ） 则 涉 及 全 面 的 工 具 和 技 术 ， 显 示 了 这 些 伊 朗 黑 客 部 队 近 年 来 的 发 展 水 平 。 例 如 ， 黑 客 滥 用 长 已 知 的 技 术 通 过 “ 粘 滞 键 ” 辅 助 工 具 [ 获 得 在 W i n d o w s 系 统 管 理 员 权 限 1 ， 2 ， 3 ， 4   ] 。 他 们 还 利 用 了 J u i c y P o t a t o 和 I n v o k e   t h e   H a s h 等 开 源 黑 客 工 具 ， 但 他 们 也 使 用 了 诸 如 P u t t y ， P l i n k ， N g r o k ， S e r v e o 或 F R P 之 类 的 合 法 s y s a d m i n 软 件 。 此 外 ， 在 黑 客 找 不 到 开 源 工 具 或 本 地 实 用 程 序 来 帮 助 其 进 行 攻 击 的 情 况 下 ， 他 们 还 具 有 开 发 自 定 义 恶 意 软 件 的 知 识 。 C l e a r S k y 表 示 发 现 了 以 下 工 具 ： S T S R C h e c k - 自 行 开 发 的 数 据 库 和 开 放 端 口 映 射 工 具 。 P O W S S H N E T - 自 行 开 发 的 后 门 恶 意 软 件 ， 用 于 R D P - o v e r - S S H 隧 道 。 自 定 义 V B S c r i p t s - 用 于 从 命 令 和 控 制 （ C 2 或 C ＆ C ） 服 务 器 下 载 T X T 文 件 并 将 这 些 文 件 统 一 为 可 移 植 可 执 行 文 件 的 脚 本 。 c s . e x e 上 的 基 于 套 接 字 的 后 门 - 一 个 E X E 文 件 ， 用 于 打 开 与 硬 编 码 I P 地 址 的 基 于 套 接 字 的 连 接 。 P o r t . e x e - 扫 描 预 定 义 端 口 以 查 找 I P 地 址 的 工 具 。 图 片 ： C l e a r S k y
图 片 ： C l e a r S k y 多 个 团 体 合 而 为 一 多 个 团 体 合 而 为 一 C l e a r S k y 报 告 的 另 一 个 启 示 是 ， 伊 朗 团 体 似 乎 也 正 在 合 作 并 充 当 一 个 团 体 ， 这 在 过 去 是 从 未 见 过 的 。 以 前 有 关 伊 朗 黑 客 活 动 的 报 告 详 细 介 绍 了 不 同 的 活 动 类 别 ， 通 常 是 一 个 小 组 的 工 作 。 C l e a r S k y 报 告 强 调 指 出 ， 对 全 球 V P N 服 务 器 的 攻 击 似 乎 是 至 少 三 个 伊 朗 组 织 的 工 作 - 即 A P T 3 3 （ 埃 尔 芬 ， 沙 穆 恩 ） ， A P T 3 4 （ O i l r i g ） 和 A P T 3 9 （ C h a f e r ） 。 清 除 数 据 攻 击 的 方 法 清 除 数 据 攻 击 的 方 法 当 前 ， 这 些 攻 击 的 目 的 似 乎 是 执 行 侦 察 和 为 监 视 操 作 部 署 后 门 。 但 是 ， C l e a r S k y 担 心 ， 将 来 所 有 这 些 受 感 染 的 企 业 网 络 的 访 问 也 可 能 会 被 武 器 化 ， 以 部 署 可 能 破 坏 公 司 并 破 坏 网 络 和 业 务 运 营 的 数 据 擦 除 恶 意 软 件 。 这 样 的 场 景 是 可 能 的 ， 并 且 非 常 合 理 。 自 2 0 1 9 年 9 月 以 来 ， 已 经 发 现 了 两 种 新 型 的 数 据 擦 除 恶 意 软 件 （ Z e r o C l e a r e 和 D u s t m a n ） 并 链 接 回 伊 朗 黑 客 。 此 外 ， C l e a r S k y 还 不 排 除 伊 朗 黑 客 可 能 利 用 对 这 些 违 规 公 司 的 访 问 权 对 其 客 户 进 行 供 应 链 攻 击 。 这 一 理 论 得 到 以 下 事 实 的 支 持 ： F B I 在 本 月 早 些 时 候 向 美 国 私 营 部 门 发 出 了 安 全 警 报 ， 警 告 正 在 对 软 件 供 应 链 公 司 进 行 持 续 攻 击 ， “ 包 括 支 持 工 业 控 制 系 统 （ I C S ） 进 行 全 球 能 源 生 产 ， 传 输 的 实 体 和 发 行 。 ”   过 去 ， I C S 和 能 源 行 业 一 直 是 伊 朗 黑 客 组 织 的 传 统 目 标 。 联 邦 调 查 局 （ F B I ） 的 同 一 警 报 还 指 出 ， 这 些 攻 击 中 部 署 的 恶 意 软 件 与 伊 朗 A P T 3 3 组 织 先 前 使 用 的 代 码 之 间 存 在 关 联 ， 强 烈 暗 示 伊 朗 黑 客 可 能 是 这 些 攻 击 的 幕 后 黑 手 。 此 外 ， 对 巴 林 国 家 石 油 公 司 B a p c o 的 攻 击 使 用 了 C l e a r S k y 在 其 报 告 中 描 述 的 “ 突 破 V P N - > 横 向 移 动 ” 策 略 。 C l e a r S k y 现 在 警 告 说 ， 经 过 几 个 月 的 攻 击 ， 终 于 修 补 了 V P N 服 务 器 的 公 司 也 应 该 扫 描 其 内 部 网 络 ， 以 寻 找 任 何 损 害 的 迹 象 。
该 C l e a r S k y 报 告 包 括 妥 协 的 指 标 （ 国 际 石 油 公 司 ） ， 其 安 全 团 队 可 以 通 过 伊 朗 小 组 使 用 一 种 用 于 入 侵 的 迹 象 ， 扫 描 日 志 和 内 部 系 统 。 但 是 ， 中 国 黑 客 以 及 多 个 勒 索 软 件 和 加 密 货 币 组 织 也 利 用 了 相 同 的 漏 洞 。 新 的 新 的 V P N 漏 洞 漏 洞 此 外 ， 考 虑 到 C l e a r S k y 报 告 的 结 论 ， 我 们 还 可 以 预 期 ， 伊 朗 的 黑 客 也 将 在 新 的 V P N 漏 洞 公 开 后 利 用 其 机 会 。 这 意 味 着 我 们 可 以 预 期 ， 在 本 周 早 些 时 候 安 全 研 究 人 员 公 布 了 影 响 这 两 个 产 品 的 六 个 漏 洞 的 详 细 信 息 之 后 ， 伊 朗 黑 客 很 可 能 会 在 将 来 针 对 S o n i c W a l l   S R A 和 S M A   V P N 服 务 器 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理