搜索

[3884] 2017-06-04_CIA利用Pandemic项目将文件服务器变成恶意软件感染源

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-16
2017-06-04_CIA利用Pandemic项目将文件服务器变成恶意软件感染源 C I A 利 用 P a n d e m i c 项 目 将 文 件 服 务 器 变 成 恶 意 软 件 感 染 源 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 0 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 安 全 6 月 月 4 日 讯 日 讯   维 基 解 密 于 维 基 解 密 于 6 月 月 1 日 （ 本 周 四 ） 又 公 布 了 日 （ 本 周 四 ） 又 公 布 了 C I A 专 门 针 对 专 门 针 对 W i n d o w ， ，   属 于 属 于 C I A   V a u l t 7 项 目 代 号 为 项 目 代 号 为 “ P a n d e m i c ” 的 的 5 个 技 术 文 个 技 术 文 档 。 这 次 披 露 的 文 档 创 建 于 档 。 这 次 披 露 的 文 档 创 建 于 2 0 1 4 年 年 1 月 到 月 到 2 0 1 4 年 年 4 月 之 间 ， 且 先 后 推 出 了 月 之 间 ， 且 先 后 推 出 了 1 . 0 与 与 1 . 1 两 个 版 本 。 两 个 版 本 。 此 次 P a n d e m i c 的 泄 露 资 料 并 未 提 及 C I A 到 底 使 用 了 怎 样 的 初 始 感 染 载 体 ， 相 关 文 档 中 将 其 描 述 为 一 种 W i n d o w s 持 久 性 植 入 程 序 ， 可 以 与 本 地 网 络 中 的 远 程 用 户 共 享 文 件 （ 程 序 ） 。 P a n d e m i c 是 网 络 间 谍 通 过 即 时 将 受 感 染 服 务 器 中 的 应 用 程 序 代 码 替 换 为 有 木 马 的 版 本 ， 从 而 感 染 远 程 用 户 的 项 目 。 植 入 程 序 将 具 有 共 享 驱 动 的 本 地 网 络 电 脑 转 变 为 一 个 恶 意 软 件 分 发 中 心 ,   所 有 访 问 它 的 P C 都 会 被 感 染 。 这 就 类 似 医 学 上 患 了 传 染 病 的 感 染 源 。 在 同 一 个 本 地 网 络 当 中 ， 如 果 有 共 享 驱 动 器 的 计 算 机 感 染 了 P a n d e m i c 的 植 入 程 序 ， 一 旦 用 户 执 行 了 服 务 器 中 存 储 的 病 毒 文 件 ， 就 会 感 染 远 程 计 算 机 。     受 害 者 请 求 文 件 时 ， P a n d e m i c 工 具 不 会 更 改 系 统 中 的 文 件 ， 而 是 用 一 个 木 马 替 换 合 法 程 序 。 该 工 具 最 多 可 以 替 换 2 0 个 程 序 ， 最 大 占 用 8 0 0 M B 的 空 间 ， 且 植 入 仅 需 植 入 仅 需 1 0 至 至 1 5 秒 秒 。 而 P a n d e m i c 的 攻 击 目 标 为 使 用 S M B ( S e r v e r   M e s s a g e   B l o c k ) 远 程 协 议 的 用 户 。 自 今 年 3 月 2 3 号 以 来 ， 维 基 解 密 每 周 五 都 在 陆 续 发 布 各 类 C I A 内 部 文 件 ， 并 将 其 作 为 “ V a u l t   7 ” 曝 光 内 容 的 一 部 分 — — 然 而 ， 上 周 其 曝 光 活 动 却 意 外 中 止 。 截 至 目 前 ， 维 基 解 密 已 经 公 布 了 用 于 入 侵 三 星 智 能 电 视 的 恶 意 软 件 、 M i t M 工 具 、 一 套 用 于 提 升 恶 意 软 件 归 因 与 分 析 难 度 的 框 架 以 及 一 款 用 于 创 建 定 制 化 恶 意 软 件 安 装 器 的 平 台 等 等 。
维 基 解 密 在 推 迟 上 周 曝 光 行 动 的 同 时 ， 恰 逢 俄 罗 斯 政 府 再 次 否 认 其 曾 对 2 0 1 6 年 美 国 总 统 大 选 作 出 干 涉 — — 这 种 “ 巧 合 ” 使 得 部 分 情 报 界 成 员 认 定 ， 维 基 解 密 的 作 法 可 能 是 在 服 务 于 其 它 一 些 目 的 ， 而 非 单 纯 是 在 揭 露 C I A 的 活 动 。 在 此 期 间 ， 影 子 经 纪 人 组 织 也 起 到 了 煽 风 点 火 的 作 用 — — 其 不 仅 向 维 基 解 密 提 供 了 针 对 主 流 网 络 浏 览 器 、 移 动 手 机 以 及 W i n d o w s   1 0 计 算 机 的 国 安 局 漏 洞 信 息 ， 同 时 还 窃 取 到 了 据 称 来 自 中 国 、 伊 朗 、 俄 罗 斯 与 朝 鲜 的 月 度 核 武 器 与 导 弹 数 据 信 息 。 影 子 经 纪 人 组 织 已 经 披 露 了 大 量 与 W i n d o w s 系 统 相 关 的 漏 洞 信 息 ， 而 其 中 最 为 严 重 的 后 果 在 于 其 4 月 公 布 的 “ 永 恒 之 蓝 ” 漏 洞 （ 为 已 经 于 3 月 被 微 软 方 面 修 复 的 S M B 漏 洞 ） 在 3 周 之 前 被 勒 索 软 件 W a n n a C r y 所 利 用 ， 并 在 全 球 范 围 内 引 发 极 为 重 大 的 影 响 与 损 失 。 维 基 解 密 过 去 几 个 月 披 露 的 C I A   V a u l t   7 内 部 文 件 如 下 ： 2 0 1 7 年 6 月 1 日 - P a n d e m i c   ： 用 于 在 本 地 网 络 中 植 入 感 染 源 。 2 0 1 7 年 5 月 1 9 日 - A t h e n a   ： A s s a s s i n 是 一 款 与 A f t e r M i d n i g h t 类 似 的 恶 意 软 件 。 2 0 1 7 年 5 月 1 2 日 - A f t e r M i d n i g h t   ： C I A 用 来 创 建 针 对 W i n d o w s 的 自 定 义 恶 意 软 件 框 架 。 2 0 1 7 年 5 月 5 日 - A r c h i m e d e s   ： C I A 针 对 L A N 网 计 算 机 的 工 具 。 2 0 1 7 年 4 月 2 8 日 - S c r i b b l e s   ： 用 于 文 件 追 踪 。 2 0 1 7 年 4 月 2 1 日 - W e e p i n g   A n g e l ： C I A 使 用 这 种 技 术 来 渗 透 智 能 电 视 。 2 0 1 7 年 4 月 1 4 日 - H i v e ： 多 平 台 入 侵 植 入 和 管 理 控 制 工 具 。 2 0 1 7 年 4 月 7 日 - G r a s s h o p p e r   ： 揭 露 了 C I A 入 侵 W i n d o w s 和 绕 过 反 病 毒 保 护 的 自 定 义 恶 意 软 件 框 架 。 2 0 1 7 年 3 月 3 1 日 - M a r b l e   F r a m e w o r k ： C I A 用 来 隐 藏 网 络 攻 击 归 因 的 框 架 。 2 0 1 7 年 3 月 2 3 日 - D a r k   M a t t e r ： 包 含 i P h o n e 和 M a c 黑 客 漏 洞 利 用 工 具 。 相 关 阅 读 ： 相 关 阅 读 ： C I A 泄 露 的 恶 意 间 谍 软 件 泄 露 的 恶 意 间 谍 软 件 “ 雅 典 娜 雅 典 娜 ” 威 胁 所 有 威 胁 所 有 W i n d o w s 版 本 版 本 C I A   V a u l t 7 新 文 件 曝 光 ： 新 文 件 曝 光 ： C I A 针 对 针 对 W i n d o w 系 统 定 制 恶 意 软 件 平 台 系 统 定 制 恶 意 软 件 平 台 维 基 解 密 再 爆 维 基 解 密 再 爆 C I A   M i t M 攻 击 【 工 具 】 攻 击 【 工 具 】 部 分 部 分 C I A 的 漏 洞 利 用 工 具 干 货 请 查 收 的 漏 洞 利 用 工 具 干 货 请 查 收 美 情 报 系 统 身 陷 破 窗 效 应 ： 维 基 解 密 再 曝 美 情 报 系 统 身 陷 破 窗 效 应 ： 维 基 解 密 再 曝 C I A 惊 天 内 幕 【 附 下 载 】 惊 天 内 幕 【 附 下 载 】 安 全 专 家 全 方 位 解 读 安 全 专 家 全 方 位 解 读 N S A 和 和 C I A 数 据 泄 露 事 件 数 据 泄 露 事 件 P a n d e m i c 介 绍 介 绍
P a n d e m i c 是 一 个 以 内 核 s h e l l c o d e 运 行 安 装 文 件 系 统 过 滤 器 驱 动 程 序 的 工 具 。 当 远 程 用 户 通 过 S M B ( S e r v e r   M e s s a g e   B l o c k ) 远 程 协 议 获 取 文 件 时 ， 过 滤 器 就 会 自 动 用 木 马 替 换 目 标 文 件 。 而 P a n d e m i c 工 具 运 行 的 机 器 在 打 开 文 件 时 ， 目 标 文 件 不 会 被 替 换 。 P a n d e m i c 工 具 的 攻 击 目 标 是 远 程 使 用 S M B 下 载 或 执 行 P E 文 件 的 用 户 。 P a n d e m i c 工 具 目 前 可 以 在 3 2 位 或 者 6 4 位 的 系 统 中 执 行 。 流 行 病 植 入 1 . 0 版 本 仅 适 用 于 6 4 位 机 器 。 而 流 行 病 植 入 1 . 1 版 本 增 加 了 定 位 和 替 换 多 个 文 件 的 功 能 ， 最 多 可 达 2 0 个 文 件 。 此 外 ， 流 行 病 植 入 1 . 1 版 本 将 动 态 调 整 输 出 b i n 文 件 的 大 小 ， 以 适 合 加 载 所 有 载 荷 数 据 ， 因 此 对 于 输 出 b i n 的 大 小 没 有 绝 对 上 限 。 然 而 目 前 该 工 具 硬 编 码 了 替 换 文 件 大 小 的 上 限 ， 上 限 为 8 0 0 M B 。 大 流 行 植 入 1 . 1 版 本 的 改 变 提 高 了 替 换 机 制 的 鲁 棒 性 。 ( 1 ) 文 件 注 册 表 访 问 文 件 注 册 表 访 问 P a n d e m i c 工 具 使 用 W i n d o w s 的 F l t   * 功 能 注 册 一 个 微 型 驱 动 程 序 。 因 此 ， F l t M g r 要 求 所 有 注 册 为 微 型 计 算 机 的 驱 动 程 序 都 包 含 注 册 表 项 。 P a n d e m i c 工 具 使 用 “ N U L L ” 服 务 键 值 （ 在 所 有 W i n d o w s 系 统 上 ） 作 为 自 己 的 驱 动 程 序 服 务 键 。 该 工 具 将 在 注 册 表 中 的 “ N U L L ” 服 务 键 下 创 建 2 个 子 键 和 3 个 值 。 在 工 具 卸 载 时 ， 这 些 键 值 会 被 移 除 。 但 是 系 统 重 启 ， 这 些 键 值 不 会 被 删 除 。 ( 2 ) 工 具 安 装 与 操 作 工 具 安 装 与 操 作 P a n d e m i c 工 具 将 通 过 S h e l l t e r m 的 s h e l l c o d e 安 装 程 序 进 行 安 装 。 通 过 P y t h o n 脚 本 在 S h e l l t e r m 中 启 用 s h e l l c o d e 安 装 程 序 功 能 。 要 使 用 改 脚 本 首 先 要 将 其 拷 贝 到 S h e l l t e r m 所 在 的 文 件 夹 中 。 一 旦 安 装 成 功 ， 就 连 接 到 目 标 活 动 会 话 ， 并 确 保 生 成 的 . b i n 文 件 位 于 S h e l l t e r m 机 器 上 。 ( 3 ) 验 证 和 卸 载 验 证 和 卸 载 通 过 C o n t r o l . d l l 动 态 链 接 库 文 件 ， 可 以 执 行 两 种 不 同 的 功 能 ： P a n d e m i c 工 具 的 安 装 和 卸 载 。 但 是 工 具 仍 然 存 在 一 些 问 题 。 比 如 目 标 文 件 是 P e x p l o r e r . e x e ， 大 小 为 4 . 5   M B 。 该 替 换 文 件 是 N O T E P A D . e x e ， 大 小 为 6 7   K B 。 且 远 程 用 户 复 制 将 p e x p l o r e r . e x e 下 载 到 具 有 相 同 文 件 名 的 本 地 文 件 夹 ， 那 么 W i n d o w s 将 会 询 问 用 户 是 否 要 覆 盖 / 取 消 副 本 。 但 是 ， 之 后 操 作 完 成 后 ， 用 户 只 能 下 载 更 换 的 5 0 0   K B 的 P E ， 如 下 图 所 示 。 系 统 自 查 方 案 系 统 自 查 方 案 需 要 检 查 注 册 表 “ H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s ” 是 否 存 在 “ N U L L ” 服 务 。 若 存 在 ， 即 说 明 系 统 感 染 了 P a n d e m i c
c m d 控 制 台 输 入 ： r e g   - q   H K L M S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s N u l l 本 次 泄 露 文 件 地 址 本 次 泄 露 文 件 地 址 : h t t p s : / / w i k i l e a k s . o r g / v a u l t 7 / # P a n d e m i c P a n d e m i c 项 目 文 档 下 载 ： h t t p : / / p a n . b a i d u . c o m / s / 1 p K 9 z v c v 4 E 安 全 要 闻 简 讯 安 全 要 闻 简 讯 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月   0 1 全 球 因 H a d o o p 服 务 器 配 置 不 当 导 致 的 数 据 泄 露 或 达 5 1 2 0 T B 0 2 保 障 信 息 安 全 不 得 不 做 的 功 课 ： 大 数 据 与 机 器 学 习 0 3 一 款 名 为 “ 替 身 ” 的 U 盘 病 毒 正 在 全 国 范 围 内 大 量 交 叉 感 染 0 4 俄 罗 斯 央 行 将 创 造 优 于 比 特 币 的 国 家 虚 拟 货 币 0 5   C I A 利 用 P a n d e m i c 项 目 将 文 件 服 务 器 转 换 为 恶 意 软 件 感 染 源 0 6 勒 索 病 毒 背 后 的 “ 比 特 币 ”
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理