搜索

[2951] 2016-07-08_新的“Patchwork”网络间谍组织利用复制粘贴型恶意软件实施攻击活动

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-07-08_新的“Patchwork”网络间谍组织利用复制粘贴型恶意软件实施攻击活动   新 的 “ P a t c h w o r k ” 网 络 间 谍 组 织 利 用 复 制 粘 贴 型 恶 意 软 件 实 施 攻 击 活 动 原 创   E 安 全   E 安 全   2 0 1 6 - 0 7 - 0 8 E 安 全 7 月 8 日 讯   尽 管 恶 意 软 件 编 写 水 平 还 比 较 低 ， 但 P a t c h w o r k   A P T 已 经 感 染 了 世 界 范 围 内 的 超 过 2 5 0 0 名 受 害 者 。 自 自 2 0 1 5 年 年 1 2 月 以 来 ， 一 个 新 的 网 络 间 谍 组 织 开 始 针 对 各 与 东 南 亚 周 边 及 中 国 南 海 相 关 军 事 及 政 治 任 务 存 在 密 切 联 系 的 国 家 政 府 及 机 月 以 来 ， 一 个 新 的 网 络 间 谍 组 织 开 始 针 对 各 与 东 南 亚 周 边 及 中 国 南 海 相 关 军 事 及 政 治 任 务 存 在 密 切 联 系 的 国 家 政 府 及 机 构 发 动 攻 击 侵 扰 。 构 发 动 攻 击 侵 扰 。 这 一 A P T （ 即 高 级 持 续 威 胁 ） 之 所 以 从 近 期 其 它 各 网 络 间 谍 活 动 当 中 脱 颖 而 出 ， 是 因 为 其 中 完 全 没 有 使 用 任 何 原 创 类 恶 意 软 件 — — 例 如 P a c i f i e r   A P T 。 相 反 ， 该 组 织 会 直 接 从 G i t H u b 及 黑 客 论 坛 上 复 制 粘 贴 现 成 恶 意 软 件 源 代 码 ， 从 而 拼 凑 起 自 己 的 新 型 威 胁 ， 而 这 也 正 是 其 P a t c h w o r k   A P T 名 称 的 由 来 。 P a t c h w o r k 在 过 去 七 个 月 中 已 经 至 少 侵 扰 了 在 过 去 七 个 月 中 已 经 至 少 侵 扰 了 2 5 0 0 名 受 害 者 名 受 害 者 安 全 企 业 C y m m e t r i a 公 司 表 示 ， 该 组 织 自 2 0 1 5 年 1 2 月 至 今 这 七 个 月 中 已 经 至 少 侵 扰 了 2 5 0 0 名 受 害 者 ， 但 亦 有 迹 象 表 明 其 早 在 2 0 1 4 年 即 开 始 组 织 活 动 。 在 攻 击 活 动 当 中 ， 该 组 织 使 用 了 包 含 有 P o w e r P o i n t 文 件 作 为 附 件 的 鱼 叉 式 钓 鱼 邮 件 。 大 部 分 此 类 邮 件 配 合 与 中 国 南 海 活 动 相 关 的 主 题 ， 有 时 亦 会 选 择 色 情 内 容 作 为 噱 头 。 P o w e r P o i n t 文 件 内 则 包 含 有 S a n d w o r m 漏 洞 （ C V E - 2 0 1 4 - 4 1 1 4 ） ， 其 允 许 攻 击 者 利 用 恶 意 软 件 感 染 底 层 操 作 系 统 。
P a t c h w o r k 的 恶 意 软 件 由 的 恶 意 软 件 由 P o w e r S p l o i t 、 、 M e t e r p r e t e r 、 、 A u t o I t 以 及 以 及 U A C M E 共 同 构 成 。 共 同 构 成 。 C y m m e t r i a 指 出 ， 攻 击 者 使 用 了 来 自 P o w e r S p l o i t 、 M e t e r p r e t e r 、 A u t o I t 以 及 U A C M E 等 已 知 恶 意 软 件 与 恶 意 软 件 套 件 中 的 现 成 代 码 。 这 种 混 杂 而 成 的 恶 意 软 件 能 够 有 效 创 建 后 门 木 马 ， 其 在 理 论 上 应 该 可 被 轻 松 发 现 — — 因 为 大 多 数 反 病 毒 供 应 商 都 熟 知 此 代 码 及 其 运 作 模 式 。 然 而 遗 憾 的 是 ， 直 到 2 0 1 6 年 5 月 相 关 攻 击 活 动 才 引 起 足 够 的 重 视 ， 而 C y m m e t r i a 的 安 全 产 品 最 先 将 其 发 现 。 攻 击 者 们 利 用 此 恶 意 软 件 对 被 感 染 主 机 上 的 数 种 文 件 类 型 进 行 扫 描 ， 而 后 将 其 从 服 务 器 内 提 取 出 来 。 如 果 目 标 包 含 有 价 值 数 据 ， 攻 击 者 还 会 部 署 第 二 阶 段 恶 意 软 件 — — 同 样 属 于 现 成 代 码 的 复 制 粘 贴 成 果 。 第 二 阶 段 恶 意 软 件 会 在 被 感 染 网 络 中 横 向 移 动 ， 并 搜 索 其 它 包 含 有 价 值 信 息 的 设 备 。 从 受 感 染 网 络 中 提 取 数 据 攻 击 来 源 难 以 确 定 ， 印 度 嫌 疑 较 高 在 这 一 系 列 攻 击 活 动 的 归 属 方 面 ， 目 前 尚 没 有 明 确 的 答 案 。 C y m m e t r i a 公 司 的 专 家 对 此 做 出 了 如 下 说 明 ： “ 这 轮 攻 击 活 动 中 的 主 要 目 标 为 印 度 各 邻 国 ， 其 它 目 标 亦 表 现 出 较 为 明 确 的 针 对 性 （ 鱼 叉 式 钓 鱼 内 容 与 目 标 的 兴 趣 及 职 业 相 关 ） 。 有 鉴 于 此 ， 我 们 认 为 其 掌 握 的 情 报 可 能 意 味 着 攻 击 源 自 某 亲 印 度 组 织 。 ” 具 体 证 据 包 括 恶 意 软 件 的 编 辑 时 间 （ 按 时 区 换 算 ） 、 目 标 指 向 印 度 各 邻 国 以 及 C & C 服 务 器 的 每 日 活 跃 时 段 等 。 截 至 目 前 ， 印 度 尚 未 被 视 为 网 络 间 谍 活 动 的 温 床 。 由 于 向 来 在 恶 意 软 件 开 发 技 术 方 面 表 现 不 佳 ， 因 此 印 度 确 实 有 可 能 选 择 利 用 现 成 代 码 拼 凑 起 自 己 的 A P T 方 案 。 然 而 ， 安 全 专 家 们 还 指 出 ， 这 些 证 据 本 身 也 可 能 是 反 印 度 组 织 所 刻 意 留 下 ， 旨 在 把 锅 甩 到 印 度 头 上 。 截 至 目 前 ， 我 们 还 无 法 确 切 判 断 其 真 实 归 属 。
“ P a t c h w o r k ” 的 工 作 流 程 感 兴 趣 的 朋 友 可 以 点 击 此 处 查 看 C y m m e t r i a 在 《 披 露 P a t c h w o r k 的 复 制 粘 贴 式 A P T 》 报 告 中 对 P a t c h w o r k   A P T 的 行 为 、 所 用 恶 意 软 件 以 及 鱼 叉 式 钓 鱼 战 术 等 做 出 的 分 析 （ 请 在 E 安 全 微 信 公 众 号 内 回 复 “ P a t c h w o r k   A P T ” 获 取 ） 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： w e i b o . c o m / E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 更 多 全 球 网 络 安 全 最 新 资 讯 ， 欢 迎 使 用 E 安 全 A P P 客 户 端 。
点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理