搜索

[28503] 2020-08-17_CactusPete瞄准东欧的军事和金融组织

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-08-17_CactusPete瞄准东欧的军事和金融组织 C a c t u s P e t e 瞄 准 东 欧 的 军 事 和 金 融 组 织 O t s 安 全   2 0 2 0 - 0 8 - 1 7 C a c t u s P e t e （ 也 称 为 K a r m a   P a n d a 或 T o n t o 团 队 ） 是 一 个 A P T 小 组 ， 至 少 从 2 0 1 3 年 起 就 已 广 为 人 知 。 该 小 组 的 某 些 活 动 先 前 已 被 多 个 消 息 来 源 公 开 描 述 。 多 年 来 ， 我 们 也 一 直 在 调 查 和 私 下 报 告 该 小 组 的 活 动 。 从 历 史 上 看 ， 他 们 的 活 动 一 直 集 中 在 亚 洲 和 东 欧 的 军 事 ， 外 交 和 基 础 设 施 目 标 上 。 该 小 组 的 最 新 活 动 也 是 如 此 。 卡 巴 斯 基 （ K a s p e r s k y ） 在 2 0 2 0 年 2 月 底 发 现 了 一 个 新 的 C a c t u s P e t e 广 告 活 动 ， 该 活 动 表 明 该 组 织 所 偏 爱 的 目 标 类 型 保 持 不 变 。 根 据 我 们 的 遥 测 ， B i s o n a l 后 门 新 变 种 的 受 害 者 来 自 东 欧 的 金 融 和 军 事 部 门 。 我 们 的 研 究 仅 从 一 个 样 本 开 始 ， 但 是 通 过 使 用 卡 巴 斯 基 威 胁 归 因 引 擎 （ K T A E ） ， 我 们 发 现 了 3 0 0 多 个 几 乎 相 同 的 样 本 。 它 们 全 部 出 现 在 2 0 1 9 年 3 月 至 2 0 2 0 年 4 月 之 间 。 这 突 显 了 C a c t u s P e t e 的 开 发 速 度 - 每 月 超 过 2 0 个 样 本 。 目 标 位 置 迫 使 小 组 在 字 符 串 操 作 期 间 使 用 硬 编 码 的 西 里 尔 字 母 代 码 页 。 例 如 ， 在 远 程 外 壳 程 序 功 能 期 间 ， 这 对 于 正 确 处 理 已 执 行 命 令 的 西 里 尔 字 母 输 出 非 常 重 要 。 新 广 告 系 列 的 恶 意 软 件 分 发 方 法 仍 然 未 知 ， 但 是 以 前 的 广 告 系 列 表 明 这 是 他 们 分 发 恶 意 软 件 的 常 用 方 法 。 攻 击 者 传 递 恶 意 软 件 的 首 选 方 式 是 带 有 “ 魔 术 ” 附 件 的 鱼 叉 式 网 络 钓 鱼 邮 件 。 附 件 从 不 包 含 零 日 攻 击 ， 但 确 实 包 含 最 近 发 现 和 修 补 的 漏 洞 ， 或 任 何 其 他 可 能 有 助 于 其 交 付 有 效 负 载 的 狡 猾 方 法 。 运 行 这 些 附 件 会 导 致 感 染 。 一 旦 恶 意 软 件 启 动 ， 它 就 会 尝 试 到 达 硬 编 码 的 C 2 。 使 用 未 经 修 改 的 基 于 H T T P 的 协 议 进 行 通 信 ， 对 请 求 和 响 应 主 体 进 行 R C 4 加 密 ， 并 且 加 密 密 钥 也 被 硬 编 码 到 样 本 中 。 由 于 R C 4 加 密 的 结 果 可 能 包 含 二 进 制 数 据 ， 因 此 恶 意 软 件 还 会 在 B A S E 6 4 中 对 其 进 行 编 码 ， 以 匹 配 H T T P 规 范 。 握 手 包 括 几 个 步 骤 ： 初 始 请 求 ， 受 害 者 网 络 详 细 信 息 和 更 详 细 的 受 害 者 信 息 请 求 。 这 是 在 握 手 步 骤 中 发 送 给 C 2 的 特 定 于 受 害 者 的 信 息 的 完 整 列 表 ： 主 机 名 ， I P 和 M A C 地 址 ； W i n d o w s 版 本 ； 在 受 感 染 主 机 上 设 置 的 时 间 ； 指 示 恶 意 软 件 是 否 在 V M w a r e 环 境 中 执 行 的 标 志 ； 代 理 使 用 标 志 ； 系 统 默 认 的 C o d e P a g e 标 识 符 ； 握 手 完 成 后 ， 后 门 将 等 待 命 令 ， 并 定 期 p i n g   C 2 服 务 器 。 来 自 C 2   p i n g 的 响 应 正 文 可 能 包 含 命 令 和 参 数 （ 可 选 ） 。 更 新 的 B i s o n a l 后 门 版 本 保 留 了 与 以 前 使 用 相 同 代 码 库 构 建 的 后 门 类 似 的 功 能 ： 执 行 一 个 远 程 s h e l l ； 静 默 地 在 受 害 主 机 上 启 动 程 序 ； 从 受 害 主 机 获 取 进 程 列 表 ； 终 止 任 何 过 程 ； 向 / 从 受 害 者 主 机 上 传 / 下 载 / 删 除 文 件 ； 从 受 害 主 机 检 索 可 用 驱 动 器 的 列 表 ； 从 受 害 主 机 检 索 指 定 文 件 夹 的 文 件 列 表 ； 这 就 是 代 码 中 的 样 子 。 代 码 样 式 。 h t t p : / / C 2 _ D O M A I N _ I P / c h a p t e r 1 / u s e r . h t m l / B A S E 6 4 _ R C 4 _ E N C R Y P T E D _ B O D Y
C a c t u s P e t e 活 动 活 动 C a c t u s P e t e 是 一 个 讲 中 文 的 网 络 间 谍 A P T 团 体 ， 使 用 中 级 技 术 能 力 ， 其 背 后 的 人 们 已 经 在 提 高 自 己 的 游 戏 水 平 。 他 们 似 乎 获 得 了 支 持 并 可 以 访 问 更 复 杂 的 代 码 ， 例 如 S h a d o w P a d （ C a c t u s P e t e 于 2 0 2 0 年 部 署 ） 。 该 小 组 的 活 动 至 少 可 以 追 溯 到 2 0 1 3 年 ， 尽 管 韩 国 的 公 共 资 源 标 志 着 更 早 的 日 期 –   2 0 0 9 年 。 历 史 上 ， C a c t u s P e t e 的 目 标 组 织 在 有 限 的 国 家 / 地 区 范 围 内 - 韩 国 ， 日 本 ， 美 国 和 台 湾 。 去 年 的 竞 选 活 动 表 明 ， 该 组 织 已 转 向 其 他 亚 洲 和 东 欧 组 织 。 根 据 卡 巴 斯 基 的 研 究 结 果 ， 以 下 是 近 年 来 对 C a c t u s P e t e 活 动 的 概 述 ： 2 0 1 8 年 5 月 ： 新 一 波 针 对 C V E - 2 0 1 8 - 8 1 7 4 的 有 针 对 性 的 攻 击 （ 此 漏 洞 已 与 D a r k H o t e l   A P T 集 团 相 关 联 ， 如 S e c u r e l i s t   所 述 ） ， 在 亚 洲 和 东 欧 具 有 外 交 ， 国 防 ， 制 造 ， 军 事 和 政 府 目 标 ; 2 0 1 8 年 1 2 月 和 2 0 1 9 年 初 ： 针 对 东 欧 和 亚 洲 的 采 矿 ， 国 防 ， 政 府 和 技 术 研 究 目 标 中 的 组 织 ， 对 野 牛 的 后 门 进 行 了 改 造 ， 并 使 用 了 一 系 列 间 谍 有 效 载 荷 ; 2 0 1 9 年 9 月 和 1 0 月 ： 针 对 与 军 事 有 关 和 未 知 受 害 者 的 D o u b l e T 后 门 活 动 ; 2 0 1 9 年 3 月 至 2 0 2 0 年 4 月 ： 针 对 东 欧 金 融 和 军 事 机 构 中 的 组 织 进 行 野 牛 后 门 修 改 ; 2 0 1 9 年 1 2 月 至 2 0 2 0 年 4 月 ： 修 改 后 的 D o u b l e T 后 门 活 动 ， 针 对 亚 洲 和 东 欧 的 电 信 和 政 府 组 织 以 及 其 他 受 害 者 ; 2 0 1 9 年 末 和 2 0 2 0 年 ： C a c t u s P e t e 开 始 向 受 害 人 部 署 S h a d o w P a d 恶 意 软 件 ， 其 中 包 括 位 于 亚 洲 和 东 欧 的 政 府 组 织 ， 能 源 ， 矿 业 和 国 防 机 构 以 及 电 信 公 司 ; 该 A P T 组 的 已 知 替 代 名 称 ： C a c t u s P e t e ， K a r m a   P a n d a ， T o n t o   T e a m 所 使 用 的 不 同 有 效 负 载 的 已 知 替 代 名 称 ： B i s o n a l ， C u r i o u s   K o r l i a ， D o u b l e T ， D O U B L E P I P E ， C A L M T H O R N E 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理