搜索

[3797] 2017-05-04_美安全企业称中国TA459APT组织利用微软漏洞攻击中亚国家

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2017-05-04_美安全企业称中国TA459APT组织利用微软漏洞攻击中亚国家 美 安 全 企 业 称 中 国 T A 4 5 9   A P T 组 织 利 用 微 软 漏 洞 攻 击 中 亚 国 家 原 创   E 安 全   E 安 全   2 0 1 7 - 0 5 - 0 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 安 全 5 月 月 4 日 讯 日 讯     来 自 美 国 网 络 来 自 美 国 网 络 安 全 企 业 安 全 企 业 P r r o f P o i n t 公 司 的 公 司 的 研 究 人 员 报 告 称 ， 中 国 研 究 人 员 报 告 称 ， 中 国 T A 4 5 9   A P T 已 经 利 用 已 经 利 用 C V E - 2 0 1 7 - 0 1 9 9 安 全 漏 洞 对 多 家 安 全 漏 洞 对 多 家 金 融 企 业 实 施 攻 击 。 金 融 企 业 实 施 攻 击 。 P r o o f P o i n t 公 司 的 安 全 研 究 人 员 发 布 了 一 份 针 对 T A 4 5 9   A P T 间 谍 活 动 的 详 尽 分 析 报 告 ， 确 认 其 已 经 利 用 C V E - 2 0 1 7 - 0 1 9 9 首 个 M i c r o s o f t   O f f i c e R T F 漏 洞 对 多 家 主 要 金 融 企 业 的 分 析 师 进 行 攻 击 。 报 告 还 提 到 T A 4 5 9   A P T 组 织 利 用 此 项 漏 洞 对 俄 罗 斯 及 白 俄 罗 斯 的 多 个 军 事 及 航 空 航 天 机 构 实 施 入 侵 。 P r o o f P o i n t 公 司 在 发 布 的 分 析 报 告 中 表 示 正 在 追 踪 相 关 攻 击 方 ， 且 认 定 相 关 恶 意 活 动 源 自 中 国 T A 4 5 9 间 谍 活 动 组 织 ， 该 组 织 至 少 自 2 0 1 3 年 以 来 就 一 直 处 于 活 跃 状 态 ， 经 常 使 用 经 常 使 用 N e t T r a v e l e r 、 、 P l u g X 、 、 S a k e r 、 、 N e t b o t 、 、 D a r k S t R a t 以 及 以 及 Z e r o T 等 多 种 恶 意 软 件 等 多 种 恶 意 软 件 ， 主 要 面 向 包 括 俄 罗 斯 、 白 俄 罗 斯 以 及 蒙 古 等 中 亚 国 家 各 组 织 机 构 实 施 间 谍 入 侵 。         T A 4 5 9   A P T 组 织 的 此 轮 攻 击 活 动 则 明 显 针 对 电 讯 行 业 分 析 师 ， 而 且 根 据 P r o o f P o i n t 公 司 研 究 人 员 们 的 推 测 ， 此 番 入 侵 很 可 能 属 于 2 0 1 5 年 夏 季 曾 经 出 现 的 恶 意 活 动 的 后 续 计 划 。 当 时 这 起 攻 击 活 动 被 研 究 人 员 认 为 是 一 起 针 对 俄 罗 斯 电 信 及 军 事 机 构 的 间 谍 活 动 。 T A 4 5 9   A P T 组 织 采 用 鱼 叉 式 钓 鱼 攻 击
T A 4 5 9   A P T 组 织 通 过 鱼 叉 式 钓 鱼 邮 件 利 用 武 器 化 W o r d 文 档 以 触 发 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 。 事 实 上 ， 黑 客 们 在 微 软 发 布 相 关 修 复 补 丁 的 数 天 之 后 即 开 始 利 用 这 一 O f f i c e 安 全 漏 洞 。 当 受 害 者 打 开 诱 饵 文 件 时 ， 其 将 自 动 下 载 一 个 被 伪 装 为 R T F 文 档 的 H T M L 应 用 （ 简 称 H T A ） 文 件 。 此 种 攻 击 手 段 利 用 P o w e r S h e l l 下 载 并 执 行 一 套 脚 本 ， 从 而 获 取 并 运 行 Z e r o T 下 载 器 。 攻 击 者 利 用 C V E - 2 0 1 7 - 0 1 9 9 通 过 名 为 0 7 2 1 . d o c 的 M i c r o s o f t   W o r d 文 档 对 目 标 展 开 攻 击 。 图 ： W o r d 文 档 0 7 2 1 . d o c 该 文 档 使 用 这 个 逻 辑 漏 洞 首 次 从 h x x p : / / 1 2 2 . 9 . 5 2 [ . ] 2 1 5 / n e w s / p o w e r . r t f 下 载 文 件 p o w e r . r t f 。 有 效 载 荷 实 际 上 是 一 个 H T M L 应 用 文 件 （ H T A 文 件 ） ， 并 非 R T F 文 件 。 图 ： 漏 洞 文 档 下 载 的 首 个 脚 本 为 H T A 文 件 从 上 图 可 以 看 出 ， H T A 的 V B S c r i p t 更 改 窗 口 大 小 和 位 置 ， 之 后 利 用 P o w e r S h e l l 下 载 另 一 个 脚 本 ： p o w e r . p s 1 。 这 是 一 个 下 载 并 运 行 Z e r o T   有 效 载 荷 c g i . e x e 的 P o w e r S h e l l 脚 本 。
图 ： 漏 洞 文 档 下 载 的 第 二 个 脚 本 为 P o w e r S h e l l 脚 本 图 ： 网 络 流 量 显 示 文 档 下 载 有 效 载 荷 P r o o f p o i n t 公 司 同 时 注 意 到 此 次 使 用 的 Z e r o T 最 新 版 本 已 有 所 改 进 ， 包 括 使 用 合 法 的 M c A f e e 程 序 以 进 行 旁 侧 加 载 ， 而 非 继 续 使 用 原 本 的 N o r m a n   S a f e g r o u n d 程 序 。 P r o o f p o i n t 公 司 认 为 自 上 一 次 分 析 以 来 ， 该 攻 击 集 团 已 经 对 Z e r o T 进 行 了 渐 进 式 改 进 。 尽 管 其 仍 继 续 使 用 R A R   S F X 格 式 作 为 初 始 有 效 载 荷 ， 但 Z e r o T 现 在 开 始 使 用 一 个 名 为 m c u t . e x e 的 合 法 M c A f e e 实 用 程 序 ， 而 非 继 续 沿 用 原 本 的 N o r m a n   S a f e g r o u n d   A S 作 为 旁 侧 加 载 途 径 。 名 为 M c t l . m u i 的 加 密 Z e r o T 载 荷 将 在 内 存 中 进 行 解 码 ， 其 显 示 出 与 此 前 类 似 的 经 篡 改 P E 标 题 头 ， 且 与 此 前 分 析 的 Z e r o T 有 效 载 荷 相 比 仅 在 代 码 层 面 作 出 小 幅 改 动 。 当 Z e r o T 运 行 时 ， P r o o f p o i n t 公 司 称 观 察 到 请 求 中 使 用 的 伪 造 用 户 代 理 从 以 下 的 ： M o z i l l a / 6 . 0   ( c o m p a t i b l e ;   M S I E   1 0 . 0 ;   W i n d o w s   N T   6 . 2 ;   T z c d r n t / 6 . 0 ) 更 改 为 ： M o z i l l a / 6 . 0   ( c o m p a t i b l e ;   M S I E   1 1 . 0 ;   W i n d o w s   N T   6 . 2 ) 因 此 删 除 了 先 前 版 本 中 出 现 的 T z c d r n t 的 字 样 。 i n d e x . p h p 的 初 始 信 标 （ B e a c o n ） 更 改 为 i n d e x . t x t ， 但 是 Z e r o T 仍 使 用 静 态 密 钥 “ ( * ^ G F ( 9 0 4 2 & * ” 进 行 R C 4 加 密 响 应 。      
图 ： Z e r o T   H T T P 初 始 信 标 请 求 U R L 配 置 接 下 来 ， Z e r o T 使 用 H T T P 信 标 将 被 感 染 系 统 的 相 关 信 息 传 输 到 C & C 服 务 器 ， 所 有 文 件 都 经 过 加 密 处 理 。 之 后 ， 第 二 阶 段 的 有 效 载 荷 仍 被 检 索 为 B i t m a p （ B M P ） 图 片 ， 而 B M P 图 片 使 用 最 低 有 效 位 （ L S B ） 隐 写 术 （ S t e g a n o g r a p h y ） 隐 藏 真 实 的 有 效 载 荷 。 这 些 图 片 在 图 像 查 看 器 中 看 似 正 常 。 图 ： B M P 图 片 ， 包 含 使 用 L S B 隐 写 术 隐 藏 的 第 二 阶 段 有 效 载 荷 第 二 阶 段 有 效 载 荷 是 发 送 信 标 到 C & C 服 务 器 w w w [ . ] i c e f i r e b e s t [ . ] c o m 和 w w w [ . ] i c e k k k [ . ] n e t 的 P l u g X 。
图 ： Z e r o T 和 P l u g X   H T T P 网 络 活 动 另 一 个 有 趣 的 Z e r o T 样 本 （ S H A 2 5 6   b c 2 2 4 6 8 1 3 d 7 2 6 7 6 0 8 e 1 a 8 0 a 0 4 d a c 3 2 d a 9 1 1 5 a 1 5 b 1 5 5 0 b 0 c 4 8 4 2 b 9 d 6 e 2 e 7 d e 3 7 4 ） 包 含 在 R A R   S F X 存 档 中 的 可 执 行 文 件 0 2 2 8 . e x e 和 诱 饵 文 件 0 2 2 8 . d o c 中 。 P r o o f p o i n t 认 为 ， 捆 绑 诱 饵 文 件 是 该 组 织 的 常 用 策 略 。 执 行 恶 意 有 效 载 荷 时 ， R A R   S F X   指 令 用 于 显 示 诱 饵 。 图 ： 诱 饵 文 件
图 ： 诱 饵 文 件 内 容 的 可 能 来 源 攻 击 指 示 器 （ 攻 击 指 示 器 （ I n d i c a t o r s   o f   C o m p r o m i s e ） ） 攻 击 指 示 器 （ 攻 击 指 示 器 （ I n d i c a t o r s   o f   C o m p r o m i s e ） ） - -   相 关 相 关
P r o o f p o i n t 公 司 报 告 称 ， T A 4 5 9   A P T 组 织 曾 在 上 一 波 攻 击 活 动 当 中 同 时 使 用 P l u g X 外 加 一 种 被 命 名 为 P C r a t / G h o s t 的 木 马 。 安 全 专 家 们 向 相 关 多 国 组 织 机 构 发 出 警 告 ， 提 醒 其 保 持 警 惕 并 强 调 攻 击 者 在 此 类 网 络 间 谍 活 动 当 中 开 始 采 用 更 为 复 杂 的 恶 意 软 件 。 P r o o f p o i n t 公 司 总 结 表 示 像 T A 4 5 9 这 样 的 黑 客 组 织 一 直 在 进 行 持 续 攻 击 ， 且 利 用 较 为 传 统 的 恶 意 软 件 威 胁 、 网 络 钓 鱼 活 动 以 及 社 交 工 程 等 较 为 传 统 的 恶 意 软 件 威 胁 、 网 络 钓 鱼 活 动 以 及 社 交 工 程 等 手 段 瞄 准 从 事 特 定 研 究 工 作 并 拥 有 专 业 知 识 的 相 关 专 家 手 段 瞄 准 从 事 特 定 研 究 工 作 并 拥 有 专 业 知 识 的 相 关 专 家 ， 这 一 切 都 令 目 标 组 织 机 构 的 安 全 状 况 呈 现 出 更 为 复 杂 的 态 势 。 0 4 E 安 全 要 闻 简 讯 安 全 要 闻 简 讯 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 5 月 月   0 1 F B I 局 长 答 参 议 员 提 问 ： 俄 罗 斯 仍 是 对 美 威 胁 最 大 的 国 家 0 2 如 何 在 学 校 进 行 黑 客 技 术 教 学 和 开 放 教 育 0 3 中 国 3 0 1 个 僵 尸 网 络 C & C 服 务 器 被 S h o d a n 搜 出   新 型 爬 虫 功 不 可 没 0 4 当 前 信 息 安 全 意 识 教 育 体 系 之 我 见 0 5 微 信 群 大 量 被 收 购   神 秘 不 卡 群 庄 家 可 日 入 十 万 0 6 教 育 部 办 公 厅 印 发 《 2 0 1 7 年 教 育 信 息 化 工 作 要 点 》 0 7 大 数 据 新 机 遇 ， 教 育 系 统 将 建 设 完 整 安 全 体 系 0 8 美 国 高 校 的 网 络 安 全 教 育 难 跟 时 代 步 伐 0 9 车 联 网 安 全 ： 如 果 防 御 车 辆 犯 罪
1 0 【 漏 洞 预 警 】 W o r d P r e s s   4 . 6 远 程 代 码 执 行 漏 洞 ， 附 P o c 1 1 黑 客 针 对 谷 歌 在 线 文 档 D o c s 发 起 大 规 模 钓 鱼 攻 击 1 2 还 有 什 么 是 不 能 破 解 的 ？ U H D 蓝 光 碟 疑 似 已 遭 盗 版 者 破 解 1 3 美 安 全 企 业 称 中 国 T A 4 5 9   A P T 组 织 利 用 微 软 漏 洞 攻 击 中 亚 国 家 1 4 印 度 1 . 3 5 亿 公 民 身 份 信 息 和 1 亿 条 银 行 账 户 信 息 被 泄 露 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理