搜索

[3453] 2017-01-12_恶意软件Shamoon2再现变种针对华为的云计算产品

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-16
2017-01-12_恶意软件Shamoon2再现变种针对华为的云计算产品 恶 意 软 件 S h a m o o n   2 再 现 变 种   针 对 华 为 的 云 计 算 产 品 原 创   E 安 全   E 安 全   2 0 1 7 - 0 1 - 1 2 E 安 全 1 月 1 2 日 讯   P a l o   A l t o   N e t w o r k s 的 研 究 人 员 发 现 S h a m o o n   2 恶 意 软 件 的 第 二 个 变 种 ， 针 对 虚 拟 化 产 品 展 开 攻 击 。 S h a m o o n ， 这 种 病 毒 被 注 名 为 “ W 3 2 . D i s t t r a c k ” 以 及 “ W 3 2 . E r a s e M B R ” ， 也 被 称 为 D i s t t r a c k 。 S h a m o o n 的 主 要 能 力 是 可 以 从 受 感 染 的 设 备 上 清 除 数 据 。 执 行 文 件 里 包 含 了 “ w i p e r ” 字 段 ， 以 及 “ A r a b i a n G u l f ” 字 段 。 这 一 字 段 也 曾 在 F l a m e 病 毒 中 出 现 过 ， F l a m e 曾 被 认 为 是 由 美 国 和 以 色 列 政 府 共 同 研 发 用 以 攻 击 伊 朗 核 能 源 部 门 的 恶 意 攻 击 软 件 。 2 0 1 2 年 ， S h a m o o n 首 次 被 发 现 对 沙 特 阿 拉 伯 的 目 标 企 业 展 开 攻 击 ， 其 中 的 受 害 者 ， 包 括 石 油 巨 头 阿 美 石 油 公 司 （ S a u d i   A r a m c o ） 。 在 针 对 阿 美 石 油 公 司 的 攻 击 中 ， S h a m o o n 清 除 了 超 过 3 万 台 计 算 机 上 的 数 据 ， 并 用 一 张 焚 烧 美 国 国 旗 的 图 片 改 写 了 硬 盘 的 主 引 导 记 录 （ M a s t e r B o o t   R e c o r d ， M B R ） 卡 巴 斯 基 实 验 室 首 次 发 现 这 款 恶 意 软 件 ， 并 分 析 了 威 胁 的 一 些 实 例 。 S h a m o o n 的 分 析 人 员 S e c u l e r t 发 现 ， 该 恶 意 软 件 还 有 能 力 改 写 设 备 的 M B R 。 将 受 感 染 的 计 算 机 变 得 无 法 使 用 之 前 ， S h a m o o n 会 收 集 受 害 者 的 数 据 ， 窃 取 信 息 ， 从 W i n d o w s 计 算 机 的 用 户 （ U s e r s ） 、 文 件 和 设 置 （ D o c u m e n t s   a n d   S e t t i n g s ） 、 S y s t e m 3 2 / D r i v e r s 和 S y s t e m 3 2 / C o n f i g 文 件 夹 中 获 取 数 据 ， 并 将 数 据 发 送 至 相 同 内 网 上 的 另 一 台 受 感 染 的 计 算 机 。 去 年 1 2 月 ， P a l o   A l t o   N e t w o r k s 和 赛 门 铁 克 的 恶 意 软 件 研 究 人 员 发 现 S h a m o o n 变 种 ， 将 其 称 之 为 “ S h a m o o n   2 ” 。 攻 击 者 利 用 该 变 种 对 沙 特 阿 拉 伯 民 用 航 空 管 理 局 （ S a u d i   A r a b i a ’ s   G e n e r a l   A u t h o r i t y   o f   C i v i l   A v i a t i o n ， G A C A ） 发 起 有 针 对 性 的 攻 击 。 赛 门 铁 克 报 告 称 ， “ S h a m o o n 在 四 年 沉 寂 之 后 突 然 回 归 ， 其 原 因 不 明 。 但 是 ， 凭 借 极 具 破 坏 性 的 有 效 载 荷 ， 很 显 然 ， 攻 击 者 希 望 目 标 对 它 刮 目 相 看 。 ”
P a l o   A l t o   N e t w o r k s 发 布 分 析 报 告 表 示 ， “ 上 周 ， 威 胁 情 报 小 组 U n i t   4 2 发 现 D i s t t r a c k 新 样 本 被 用 来 实 施 升 级 版 攻 击 。 这 起 攻 击 的 受 害 者 至 少 包 含 一 个 沙 特 阿 拉 伯 组 织 机 构 ， 这 与 S h a m o o n 攻 击 的 初 始 目 标 符 合 。 似 乎 ， 新 D i s t t r a c k 样 本 集 中 实 施 破 坏 ， 因 为 这 些 样 本 配 置 了 不 可 操 作 的 命 令 与 控 制 服 务 器 ， 报 告 并 设 定 于 2 0 1 6 年 1 1 月 1 7 日 2 0 : 4 5 开 始 擦 除 数 据 。 新 D i s t t r a c k 样 本 与 S h a m o o n 还 存 在 另 一 相 似 之 处 ， 攻 击 时 间 为 沙 特 阿 拉 伯 的 工 作 周 结 束 之 时 （ 他 们 的 工 作 时 间 从 周 日 到 周 四 ） ， 这 款 恶 意 软 件 可 能 在 整 个 周 末 进 行 散 播 。 S h a m o o n 攻 击 发 生 在 “ 吉 庆 夜 ” （ L a i l a t   a l Q a d r ， 穆 斯 林 国 家 一 年 之 中 最 神 圣 的 夜 晚 ） 。 ” S h a m o o n   2 的 第 二 个 变 种 经 配 置 开 始 在 1 1 月 2 9 日 凌 晨 1 : 3 0 （ 沙 特 阿 拉 伯 时 间 ） 清 除 被 感 染 系 统 的 数 据 ， 这 个 时 间 段 ， 目 标 机 构 的 员 工 可 能 在 家 休 息 。 经 专 家 分 析 ， S h a m o o n   2 的 第 一 个 变 种 进 行 了 默 认 配 置 ， 在 沙 特 阿 拉 伯 当 地 时 间 1 1 月 1 7 日 晚 上 8 : 4 5 执 行 磁 盘 清 除 操 作 。 考 虑 到 沙 特 阿 拉 伯 的 工 作 日 是 从 周 日 到 周 四 ， 攻 击 者 设 法 利 用 空 档 ， 将 攻 击 效 果 最 大 化 。 两 个 变 种 的 有 效 载 荷 相 似 ， 但 专 家 经 过 分 析 后 发 现 存 在 不 同 之 处 。 S h a m o o n   2 的 第 二 个 变 种 包 含 华 为 虚 拟 产 品 凭 证 ， 针 对 的 目 标 是 虚 拟 桌 面 基 础 架 构 （ 的 第 二 个 变 种 包 含 华 为 虚 拟 产 品 凭 证 ， 针 对 的 目 标 是 虚 拟 桌 面 基 础 架 构 （ V i r t u a l   D e s k t o p   I n f r a s t r u c t u r e ， ， V D I ） 产 品 ， 例 ） 产 品 ， 例 如 华 为 云 计 算 解 决 方 案 如 华 为 云 计 算 解 决 方 案 F u s i o n C l o u d 。 。 虚 拟 机 感 染 D i s t t r a c k   W i p e r 后 无 法 引 导 这 种 情 况 表 明 ， 攻 击 者 意 识 到 目 标 机 构 在 使 用 这 款 虚 拟 化 产 品 。 这 种 情 况 表 明 ， 攻 击 者 意 识 到 目 标 机 构 在 使 用 这 款 虚 拟 化 产 品 。 黑 客 使 用 产 品 官 方 文 档 中 记 录 的 默 认 凭 证 ， 这 意 味 着 黑 客 希 望 目 标 机 构 未 做 改 动 。 专 家 表 示 ， 威 胁 攻 击 者 可 能 访 问 了 托 管 基 础 架 构 的 设 备 。 P a l o   A l t o   N e t w o r k s 发 表 博 文 表 示 ， “ V D I 解 决 方 案 能 通 过 加 载 被 抹 系 统 的 快 照 ， 以 此 保 护 系 统 免 遭 破 坏 性 恶 意 软 件 （ 如 D i s t t r a c k ） 破 坏 。 此 外 ， 因 为 F u s i o n C l o u d 系 统 运 行 的 是 L i n u x 操 作 系 统 ，   W i n d o w s   D i s t t r a c k 恶 意 软 件 不 易 清 除 它 的 数 据 ， 这 可 以 被 看 作 是 应 对 S h a m o o n 这 类 攻 击
的 合 理 对 策 。 ” “ 但 是 ， 如 果 攻 击 者 能 使 用 账 号 凭 证 登 录 V D I 管 理 界 面 ， 他 们 便 能 对 V D I 部 署 和 快 照 展 开 破 坏 活 动 。 ” 研 究 人 员 发 现 ， 威 胁 使 用 的 通 信 模 式 没 有 配 置 命 令 与 控 制 服 务 器 （ C 2 ） ， 该 模 块 在 配 置 内 完 全 缺 乏 C 2   服 务 器 的 I P 地 址 或 域 名 。 可 点 击 “ 阅 读 原 文 ” 查 看 P a l o   A l t o   N e t w o r k s 针 对 S h a m o o n   2 的 分 析 报 告 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理