搜索

[3455] 2017-01-13_FireEye发布报告《APT28：暴风中心》剖析俄罗斯网络行动

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-01-13_FireEye发布报告《APT28：暴风中心》剖析俄罗斯网络行动 F i r e E y e 发 布 报 告 《 A P T 2 8 ： 暴 风 中 心 》   剖 析 俄 罗 斯 网 络 行 动 原 创   E 安 全   E 安 全   2 0 1 7 - 0 1 - 1 3 E 安 全 1 月 1 3 日 讯   2 0 1 7 年 1 月 6 日 ， 美 国 国 家 情 报 总 监 发 布 情 报 机 构 评 估 报 告 ： 《 评 估 俄 干 涉 美 国 大 选 的 活 动 与 意 图 》 。 关 于 俄 干 涉 美 国 大 选 的 话 题 仍 在 继 续 。 俄 罗 斯 政 府 是 否 下 令 实 施 了 入 侵 并 泄 露 了 数 据 ？ 如 果 果 真 如 此 ， 是 否 能 简 单 界 定 为 可 接 受 的 国 家 间 谍 活 动 ， 或 俄 罗 斯 是 否 越 线 ？ 入 侵 D N C 是 否 是 俄 罗 斯 政 府 干 涉 美 国 大 选 的 行 动 之 一 ？ 最 重 要 的 问 题 仍 悬 而 未 决 ： 俄 罗 斯 将 如 何 继 续 通 过 各 种 方 法 （ 包 括 入 侵 和 泄 露 数 据 ） 破 坏 俄 罗 斯 政 府 认 为 限 制 和 谴 责 其 追 求 国 家 目 标 的 体 系 、 政 策 和 参 与 者 。 美 国 网 络 安 全 厂 商 火 眼 ( F i r e E y e ) 近 日 发 布 关 于 俄 罗 斯 黑 客 网 络 行 动 的 报 告 ， F i r e E y e 认 为 A P T 2 8 是 俄 罗 斯 政 府 支 持 的 黑 客 组 织 。 F i r e E y e 表 示 了 解 了 A P T 2 8 的 一 些 政 府 目 标 、 目 的 及 其 促 成 这 些 目 的 活 动 。 F i r e E y e 通 过 多 次 调 查 、 端 点 和 网 络 监 测 以 及 持 续 监 控 追 踪 并 剖 析 了 该 组 织 。 F i r e E y e 识 别 了 A P T 2 8 截 至 2 0 1 7 年 的 行 动 ， 了 解 到 A P T 2 8 的 恶 意 软 件 、 行 动 变 化 和 动 机 。 这 些 情 报 有 助 于 保 护 和 通 知 F i r e E y e 客 户 ， 暴 露 该 组 织 的 威 胁 ， 并 进 一 步 确 信 A P T 2 8 为 俄 罗 斯 政 府 支 持 的 组 织 。
E 安 全 （ 微 信 公 众 号 E 安 全 ） 独 家 为 各 位 读 者 译 制 了 这 份 报 告 主 要 核 心 内 容 的 中 文 版 ， 需 要 原 文 完 整 版 的 读 者 可 在 文 末 下 载 。 《 《 A P T 2 8 ： 风 暴 中 心 》 ： 风 暴 中 心 》 俄 罗 斯 俄 罗 斯 实 施 实 施 战 略 性 网 络 行 动 战 略 性 网 络 行 动 概 述 概 述
2 0 1 6 年 1 2 月 2 9 日 ， 美 国 国 土 安 全 部 （ D H S ） 和 联 邦 调 查 局 （ F B I ） 发 布 联 合 分 析 报 告 ， 证 实 A P T 2 8 是 俄 罗 斯 政 府 支 持 的 组 织 。 至 少 自 2 0 0 7 年 以 来 ， A P T 2 8 参 与 大 量 行 动 支 持 俄 罗 斯 的 战 略 利 益 。 几 乎 可 以 肯 定 的 是 ， 该 组 织 由 复 杂 和 多 产 的 开 发 人 员 与 操 作 人 员 组 成 。 A P T 2 8 已 经 收 集 了 国 防 和 地 缘 政 治 问 题 方 面 的 情 报 。 A P T 2 8 间 谍 活 动 主 要 针 对 美 国 、 欧 洲 和 前 苏 联 国 家 的 实 体 ， 包 括 政 府 和 军 事 单 位 、 国 防 机 构 、 媒 体 实 体 、 持 不 同 政 见 者 和 俄 罗 斯 政 府 的 反 对 者 。 过 去 2 年 ， 俄 罗 斯 似 乎 越 来 越 多 地 利 用 A P T 2 8 实 施 符 合 广 泛 战 略 军 事 政 策 的 信 息 行 动 （ I n f o r m a t i o n   O p e r a t i o n ） 。 攻 击 受 害 组 织 机 构 后 ， A P T 2 8 会 窃 取 内 部 数 据 ， 之 后 泄 露 给 与 俄 罗 斯 利 益 一 致 的 政 治 论 坛 和 网 站 。 到 目 前 为 止 ， 这 些 活 动 包 括 叙 利 亚 冲 突 、 北 约 - 乌 克 兰 关 系 、 欧 盟 难 民 和 移 民 危 机 、 2 0 1 6 奥 运 会 和 残 奥 会 俄 罗 斯 运 动 员 兴 奋 剂 丑 闻 、 公 开 指 控 俄 罗 斯 政 府 支 持 黑 客 行 为 和 俄 国 干 涉 2 0 1 6 美 国 大 选 。 该 报 告 详 细 介 绍 了 A P T 2 8 的 目 标 和 入 侵 行 为 。 我 们 还 会 介 绍 该 组 织 的 工 具 开 发 和 使 用 ， 并 总 结 A P T 2 8 攻 击 受 害 者 使 用 的 战 术 。 A P T 2 8 的 目 标 的 目 标 与 与 入 侵 活 动 入 侵 活 动 2 0 1 4 年 1 0 月 ， F i r e E y e 发 布 《 A P T 2 8 ： 窥 探 俄 罗 斯 网 络 间 谍 行 动 的 窗 口 》 ， 并 认 定 A P T 2 8 的 活 动 符 合 俄 罗 斯 的 战 略 情 报 要 求 。 通 过 追 踪 ， 我 们 注 意 到 A P T 2 8 对 外 国 政 府 和 军 事 单 位 （ 尤 其 是 欧 洲 、 东 欧 国 家 ） 、 以 及 地 区 安 全 组 织 机 构 感 兴 趣 ， 例 如 北 大 西 洋 公 约 组 织 （ N A T O ） 、 欧 洲 安 全 与 合 作 组 织 （ O S C E ， 欧 安 组 织 ） 等 。 下 表 强 调 了 近 期 A P T 2 8 的 活 动 ：
自 2 0 1 4 年 以 来 ， A P T 2 8 网 络 活 动 可 能 支 持 影 响 外 国 国 内 政 治 的 信 息 行 动 。 这 些 行 动 包 括 扰 乱 或 篡 改 网 站 ， 使 用 虚 假 黑 客 角 色 开 展 伪 旗 行 动 ， 窃 取 数 据 ， 并 公 开 泄 露 数 据 。 下 表 强 调 ， 经 追 踪 ， F i r e E y e   i S i g h t 情 报 、 其 它 当 局 等 遭 受 的 网 络 攻 击 事 件 均 是 A P T 2 8 所 为 。 所 有 这 些 行 动 旨 在 实 现 类 似 的 目 标 ： 确 保 达 成 有 利 于 俄 罗 斯 的 政 治 结 果 。

从 奥 运 会 到 数 据 泄 露 从 奥 运 会 到 数 据 泄 露 随 着 D N C 遭 遇 入 侵 的 新 闻 传 播 开 来 ， A P T 2 8 正 在 准 备 另 一 系 列 行 动 。 俄 罗 斯 和 许 多 国 家 一 样 ， 一 直 把 奥 运 会 的 成 功 作 为 国 家 声 誉 和 世 界 舞 台 软 实 力 的 来 源 。 兴 奋 剂 指 控 和 禁 令 进 一 步 排 斥 俄 罗 斯 ， 并 且 可 能 为 俄 罗 斯 企 图 损 害 反 兴 奋 剂 机 构 和 政 策 的 动 机 。 我 们 针 对 A P T 2 8 攻 击 W A D A 网 络 事 件 展 开 调 查 ， 并 对 周 围 事 件 进 行 观 察 ， 其 结 果 揭 示 了 俄 罗 斯 如 何 阻 碍 对 其 不 利 的 言 论 ， 并 非 法 使 这 些 机 构 处 于 被 批 评 的 风 口 浪 尖 。   俄 罗 斯 运 动 员 大 范 围 使 用 兴 奋 剂 的 指 控 俄 罗 斯 运 动 员 大 范 围 使 用 兴 奋 剂 的 指 控 2 0 1 5 年 1 1 月   —   W A D A 宣 布 俄 罗 斯 反 兴 奋 剂 组 织 （ R U S A D A ） 违 反 规 定 。 2 0 1 6 年 7 月 1 8 日   —   W A D A   委 托 报 告 文 件 证 明 俄 罗 斯 运 动 员 大 规 模 服 用 兴 奋 剂 。 2 0 1 6 年 8 月 4 日   —   俄 罗 斯 运 动 员 被 禁 参 加 奥 运 会 。   A P T 2 8 攻 击 攻 击 W A D A 2 0 1 6 年 8 月 初   —   A P T 2 8   向 W A D A 员 工 发 送 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 。 2 0 1 6 年 8 月 1 0 日   —   A P T 2 8 使 用 俄 罗 斯 运 动 员 的 合 法 账 号 登 录 W A D A 反 兴 奋 剂 行 政 和 管 理 系 统 （ A n t i - D o p i n g   A d m i n i s t r a t i o n   a n d   M a n a g e m e n t S y s t e m ， A D A M S ） 数 据 库 。 2 0 1 6 年 8 月 2 5 日 - 9 月 1 2 日   —   进 入 专 为 2 0 1 6 奥 运 会 创 建 的 国 际 奥 林 匹 克 委 员 会 账 号 ， 查 看 并 下 载 运 动 员 数 据 。   假 黑 客 身 份 声 称 攻 击 假 黑 客 身 份 声 称 攻 击 W A D A ， 并 泄 露 了 运 动 员 数 据 ， 并 泄 露 了 运 动 员 数 据 8 月 9 日 —   “ A n o n y m o u s   P o l a n d ” （ @ a n p o l a n d ） 声 称 篡 改 了 W A D A 的 网 站 8 月 1 1 日   —   @ a n p o l a n d 威 胁 对 W A D A 实 施 D D o S 攻 击 ， 并 泄 露 数 据 ， 但 最 终 并 未 坚 持 实 施 攻 击 。 9 月 1 2 日   —   “ F a n c y   B e a r s 的 黑 客 组 织 ” （ F a n c y   B e a r s ’   H a c k   T e a m ） ， 一 个 以 前 未 知 的 黑 客 组 织 声 称 是 知 名 黑 客 组 织 “ 匿 名 者 ” 旗 下 的 组 织 。 该 组 织 通 过 T w i t t e r 声 称 攻 击 了 W A D A ， 并 将 用 户 引 导 至 托 管 被 盗 文 件 的 网 站 。 该 组 织 向 国 际 记 者 推 文 ， 并 通 过 T w i t t e r 账 户 散 布 黑 客 和 信 息 安 全 新 闻 ， “ F a n c y   B e a r s 的 黑 客 组 织 ” 声 称 掌 握 有 美 国 运 动 员 服 用 兴 奋 剂 的 证 据 。 9 月 1 3 日   —   W A D A 发 布 声 明 证 实 遭 遇 入 侵 ， 并 认 为 是 A P T 2 8 攻 击 并 窃 取 了 运 动 员 的 医 疗 数 据 。 9 月 1 5 日 - 3 0 日   —   “ F a n c y   B e a r s 的 黑 客 组 织 ” 公 布 了 另 5 批 的 医 疗 记 录 （ 属 于 多 名 国 家 知 名 运 动 员 ） ， 包 括 美 国 。 美 国 已 申 请 并 收 到 治 疗 用 药 豁 免 申 请 （ T h e r a p e u t i c   U s e   E x e m p t i o n s ， T U E s ） 批 准 。 “ F a n c y   B e a r s 的 黑 客 组 织 ” 声 称 支 持 “ 公 平 竞 赛 ” ， 并 将 T U E s 称 之 为 服 用 兴 奋 剂 的 许 可 证 。 基 于 泄 露 和 威 胁 活 动 的 时 间 ， 再 加 上 @ a n p o l a n d 和 “ F a n c y   B e a r s 黑 客 组 织 ” 在 特 点 和 散 布 方 式 上 存 在 惊 人 的 相 似 之 处 ， 很 可 能 是 同 一 组 织 在 分 饰 两 角 。 W A D A 官 员 援 引 执 法 部 门 提 供 的 证 据 指 出 ， 威 胁 活 动 源 于 俄 罗 斯 ， 可 能 是 为 了 报 复 W A D A ， 因 为 W A D A 暴 露 了 俄 罗 斯 大 规 模 服 用 兴 奋 剂 的 行 为 。 俄 罗 斯 政 府 及 时 予 以 否 认 。 俄 罗 斯 体 育 部 长 V i t a l y   M u t k o 质 问 到 ， “ 你 们 怎 么 证 明 这 些 黑 客 就 是 俄 罗 斯 人 ？ 你 们 对 俄 罗 斯 的 一 切 胡 乱 指 责 一 通 ， 现 在 已 经 见 怪 不 怪 了 。 ”  
总 结 ： 总 结 ： 自 2 0 1 4 年 发 布 报 告 之 后 ， 我 们 继 续 评 估 A P T 2 8 是 俄 罗 斯 政 府 支 持 的 黑 客 组 织 。 通 过 进 一 步 评 估 ， 我 们 认 为 ， W A D A 、 D N C 和 2 0 1 6 年 美 国 大 选 相 关 实 体 遭 遇 的 黑 客 事 件 是 A P T 2 8 所 为 。 这 些 黑 客 行 动 包 括 窃 取 内 部 数 据 （ 大 多 数 为 电 子 邮 件 ） ， 之 后 战 略 性 地 通 过 多 个 论 坛 ， 并 以 可 计 算 的 方 式 传 播 ， 几 乎 可 以 肯 定 其 目 的 是 为 了 推 进 俄 罗 斯 政 府 的 特 定 目 标 。 2 0 1 7 年 1 月 7 日 发 布 的 一 份 报 告 中 ， 美 国 国 家 情 报 局 （ D i r e c t o r a t e   o f N a t i o n a l   I n t e l l i g e n c e ， D N I ） 将 这 项 活 动 描 述 “ 影 响 活 动 ” （ I n f l u e n c e   C a m p a i g n ） 。 这 种 影 响 活 动 （ 将 网 络 攻 击 和 后 续 数 据 泄 露 相 结 合 ） 与 俄 罗 斯 军 方 公 开 表 达 的 意 图 和 能 力 密 切 相 关 。 影 响 行 动 ， 还 常 被 称 为 “ 信 息 行 动 ” （ I n f o r m a t i o n   O p e r a t i o n s ） ， 长 期 以 来 都 是 俄 罗 斯 战 略 政 策 的 一 部 分 ， 并 随 着 互 联 网 的 出 现 有 意 发 展 、 部 署 并 将 行 动 现 代 化 。 美 国 的 最 近 一 起 活 动 只 是 俄 罗 斯 政 府 实 施 的 影 响 行 动 之 一 ， 以 支 持 其 战 略 政 治 目 标 。 随 着 2 0 1 7 年 欧 洲 选 举 临 近 ， 尤 其 德 国 、 法 国 和 荷 兰 ， 俄 罗 斯 此 前 曾 在 欧 洲 等 地 使 用 过 类 似 的 手 段 。   A P T 2 8 的 工 具 、 战 术 和 行 动 变 化 的 工 具 、 战 术 和 行 动 变 化 2 0 1 4 年 发 布 的 报 告 中 ， 我 们 怀 疑 A P T 2 8 是 俄 罗 斯 政 府 支 持 的 间 谍 组 织 。 我 们 得 出 这 个 结 论 是 基 于 A P T 2 8 自 2 0 0 7 年 以 来 使 用 的 恶 意 软 件 取 证 细 节 。 A P T 2 8 的 工 具 集 的 主 要 特 点 包 括 ： 的 工 具 集 的 主 要 特 点 包 括 ： 灵 活 的 、 模 块 化 框 架 灵 活 的 、 模 块 化 框 架 让 A P T 2 8 自 2 0 0 7 年 以 来 一 直 在 不 断 改 进 工 具 集 。 使 用 正 规 的 编 码 环 境 使 用 正 规 的 编 码 环 境 开 发 工 具 ， 允 许 A P T 2 8 在 后 门 内 创 建 并 部 署 自 定 义 模 块 。 结 合 反 分 析 能 力 结 合 反 分 析 能 力 ， 包 括 运 行 时 检 查 识 别 分 析 环 境 ， 运 行 时 的 混 淆 解 包 字 符 串 ， 并 包 括 未 使 用 的 设 备 指 令 ， 从 而 影 响 分 析 。 在 莫 斯 科 时 区 的 正 常 工 作 日 ， 并 在 俄 语 构 建 环 境 中 编 译 。 在 莫 斯 科 时 区 的 正 常 工 作 日 ， 并 在 俄 语 构 建 环 境 中 编 译 。 超 过 9 7 % 的 A P T 2 8 恶 意 软 件 样 本 在 工 作 周 编 译 。 8 8 % 的 样 本 于 本 地 时 区 （ 包 括 俄 罗 斯 大 城 市 ， 例 如 莫 斯 科 和 圣 彼 得 堡 ） 早 上 8 : 0 0 到 下 午 6 : 0 0 编 译 。 此 外 ， A P T 2 8 的 开 发 人 员 2 0 1 3 年 以 前 在 俄 罗 斯 语 言 设 置 中 持 续 创 建 恶 意 软 件 。 自 自 2 0 1 4 年 以 来 ， 年 以 来 ， A P T 2 8 网 络 行 动 的 变 化 网 络 行 动 的 变 化 几 乎 可 以 肯 定 的 是 ， A P T 2 8 继 续 改 进 工 具 ， 并 完 善 战 术 ， 是 为 了 努 力 保 护 面 对 公 众 暴 露 的 操 作 有 效 性 和 审 查 。 除 了 继 续 改 进 第 一 阶 段 的 工
具 ， 我 们 还 注 意 到 A P T 2 8 ： 利 用 A d o b e   F l a s h   P l a y e r 、 J a v a 和 W i n d o w s 中 的 零 日 漏 洞 ， 包 括 C V E - 2 0 1 5 - 1 7 0 1 、 C V E - 2 0 1 5 - 2 4 2 4 、 C V E - 2 0 1 5 - 2 5 9 0 、   C V E - 2 0 1 5 - 3 0 4 3 、 C V E - 2 0 1 5 - 5 1 1 9 和   C V E - 2 0 1 5 - 7 6 4 5 。 使 用 剖 析 （ P r o f i l i n g ） 脚 本 更 具 选 择 性 地 部 署 零 日 和 其 它 工 具 ， 降 低 研 究 人 员 和 其 它 人 获 得 工 具 的 几 率 。 日 益 依 赖 公 共 代 码 库 ， 例 如 C a r b e r p 、   P o w e r S h e l l   E m p i r e 、 P . A . S .   w e b s h e l l ,   M e t a s p l o i t 模 块 等 ， 以 加 速 开 发 周 期 ， 并 提 供 似 是 而 非 的 否 认 。 通 过 伪 造 的 G o o g l e 应 用 程 序 授 权 和 O a u t h 访 问 要 求 获 取 凭 证 ， 绕 过 双 因 素 认 证 和 其 它 安 全 措 施 。 仅 通 过 受 害 者 系 统 中 已 经 存 在 的 合 法 工 具 在 网 络 中 横 向 活 动 ， 有 时 会 放 弃 传 统 的 工 具 延 续 攻 击 时 间 。 这 些 变 化 不 仅 说 明 A P T 2 8 具 备 的 技 能 ， 还 表 明 该 组 织 足 智 多 谋 ， 并 希 望 保 持 行 动 有 效 性 ， 同 时 也 突 出 了 该 组 织 的 任 务 长 期 性 ， 以 及 在 可 预 见 的 将 来 继 续 活 动 的 意 图 。 A P T 2 8 的 关 键 战 术 的 关 键 战 术 我 们 已 经 观 察 到 A P T 2 8 在 设 法 攻 击 预 定 目 标 时 ， 主 要 依 赖 四 个 关 键 战 术 。 这 些 战 术 包 括 ： 发 送 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 ， 以 此 传 送 漏 洞 利 用 文 件 ， 将 恶 意 软 件 部 署 在 用 户 的 系 统 上 ， 或 在 电 子 邮 件 中 包 含 恶 意 U R L ， 用 来 获 取 收 件 人 的 电 子 邮 件 凭 证 ， 并 访 问 他 们 的 账 户 。 A P T 2 8 还 感 染 ， 并 将 恶 意 软 件 放 在 合 法 网 站 上 ， 意 图 感 染 网 络 访 客 ， 并 通 过 感 染 组 织 机 构 面 向 W e b 的 服 务 器 ， 以 此 访 问 组 织 机 构 的 网 络 。
E 安 全 为 大 家 提 供 了 原 文 报 告 ， 可 点 击 “ 阅 读 原 文 ” 下 载 《 A P T 2 8 ： 暴 风 中 心 》 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理