搜索

[4434] 2017-10-16_戴尔称“中国黑客”盯上日本企业欲窃知识产权？

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-16
2017-10-16_戴尔称“中国黑客”盯上日本企业欲窃知识产权？ 戴 尔 称 “ 中 国 黑 客 ” 盯 上 日 本 企 业 欲 窃 知 识 产 权 ？ 原 创   E 小 编   E 安 全   2 0 1 7 - 1 0 - 1 6 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 0 月 1 6 日 讯   戴 尔 旗 下 安 全 公 司 S e c u r e w o r k s ® 事 件 响 应 与 反 威 胁 单 位 ™ （ 简 称 C T U ™ ） 的 研 究 人 员 们 对 B R O N Z E B U T L E R 威 胁 组 织 （ 或 称 T i c k ） 相 关 活 动 展 开 调 查 ， S e c u r e w o r k s 公 司 称 B R O N Z E   B U T L E R 的 行 动 表 明 ， 其 长 期 以 来 一 直 试 图 渗 透 日 本 企 业 以 窃 取 知 识 产 权 及 其 它 机 密 数 据 ， 相 关 入 侵 活 动 还 证 明 ， 该 恶 意 集 团 的 入 侵 目 标 主 要 集 中 在 关 键 基 础 设 施 、 重 工 业   、 制 造 业 以 及 国 际 关 系 网 络 层 面 。 C T U ™ 研 究 人 员 怀 疑 该 组 织 可 能 位 于 中 国 。 C T U ™ 研 究 人 员 将 这 一 威 胁 组 织 的 相 关 威 胁 情 报 划 分 为 两 大 类 ： 战 略 与 战 术 。 各 企 业 高 管 可 利 用 对 相 关 持 续 威 胁 的 战 略 评 估 结 论 判 断 如 何 有 效 降 低 所 在 企 业 内 日 常 业 务 及 关 键 资 产 所 面 临 的 风 险 。 计 算 机 网 络 维 护 人 员 则 可 利 用 此 次 事 故 响 应 调 查 与 研 究 中 收 集 到 的 战 术 信 息 作 为 指 导 ， 从 而 降 低 应 对 该 威 胁 组 织 相 关 活 动 所 投 入 的 时 间 与 精 力 。 C T U ™ 研 究 的 键 点 研 究 的 键 点 分 析 B R O N Z E   B U T L E R 的 行 动 、 目 标 与 能 力 ， 帮 助 C T U ™ 研 究 人 员 评 估 该 组 织 位 于 中 国 境 内 的 可 能 性 。 该 组 织 曾 利 用 鱼 叉 式 钓 鱼 攻 击 、 战 略 性 网 络 入 侵 （ 简 称 S W C ） 以 及 一 项 零 日 漏 洞 对 目 标 系 统 实 施 入 侵 攻 击 。 在 自 网 络 中 提 取 目 标 数 据 后 ， B R O N Z E   B U T L E R 通 常 会 删 除 其 活 动 所 留 下 的 相 关 证 据 。 不 过 其 仍 会 尽 可 能 保 留 对 所 入 侵 环 境 的 持
续 访 问 能 力 ， 定 期 重 新 访 问 目 标 站 点 ， 借 以 发 现 新 的 数 据 窃 取 机 会 。 该 威 胁 组 织 成 员 似 乎 有 能 力 开 发 并 部 署 其 专 有 恶 意 软 件 工 具 。 该 组 织 的 命 令 与 控 制 （ C & C ） 协 议 经 过 加 密 ， 因 此 给 网 络 维 护 人 员 与 事 件 响 应 人 员 带 来 了 一 定 挑 战 。   C T U ™ 研 究 发 现 的 战 略 性 威 胁 情 报 研 究 发 现 的 战 略 性 威 胁 情 报 分 析 B R O N Z E   B U T L E R 组 织 的 指 向 、 来 源 以 及 能 力 ， 将 能 够 确 定 哪 些 企 业 可 能 因 此 面 临 风 险 。 此 类 信 息 能 够 帮 助 各 企 业 就 相 关 威 胁 作 出 战 略 性 防 御 决 策 。 黑 客 组 织 瞄 准 哪 些 内 容 ？ 黑 客 组 织 瞄 准 哪 些 内 容 ？ C T U ™ 分 析 结 果 表 明 ， B R O N Z E   B U T L E R 主 要 针 对 位 于 日 本 的 企 业 机 构 。 该 威 胁 组 织 曾 经 以 非 法 入 侵 与 关 键 基 础 设 施 、 重 工 业 、 制 造 业 以 及 国 际 关 系 相 关 的 组 织 机 构 的 网 络 体 系 。 S e c u r e w o r k s 分 析 师 观 察 到 ， B R O N Z E   B U T L E R 曾 提 取 以 下 几 类 数 据 内 容 ： 与 技 术 与 开 发 相 关 的 知 识 产 权 产 品 规 格 敏 感 性 业 务 与 销 售 相 关 信 息 网 络 与 系 统 配 置 文 件 邮 件 信 息 与 会 议 记 录 对 于 知 识 产 权 、 产 品 规 格 以 及 企 业 信 息 的 关 注 表 明 ， 该 威 胁 组 织 正 在 积 极 收 集 其 认 为 可 能 对 竞 争 性 企 业 具 有 实 际 价 值 的 信 息 。 而 多 样 的 目 标 设 置 则 证 明 ， B R O N Z E   B U T L E R 很 可 能 由 多 个 具 备 不 同 优 先 级 考 量 的 团 队 或 者 组 织 共 同 组 成 。 关 于 关 于 B R O N Z E   B U T L E R 组 织 的 归 因 组 织 的 归 因 以 下 特 性 使 得 C T U ™ 的 研 究 人 员 们 认 定 B R O N Z E   B U T L E R 很 可 能 位 于 中 国 ： 使 用 公 开 发 布 于 某 中 国 开 发 者 网 站 上 的 的 T - S M B 扫 描 工 具 扫 描 工 具 在 其 x x m m 后 门 的 某 一 早 期 版 本 中 ， 在 安 装 服 务 中 使 用 中 文 字 符 B R O N Z E   B U T L E R 的 恶 意 软 件   D a s e r f   后 门 工 具 与 来 自 中 国 的 N C P H 黑 客 组 织 之 间 存 在 记 录 关 联 ， 另 外 在 中 国 国 内 法 定 假 日 期 间 B R O N Z E   B U T L E R 的 活 跃 度 水 平 有 所 下 降 中 国 近 年 来 经 济 迅 猛 发 展 ， 增 长 速 度 飞 快 。 英 国 前 内 政 部 国 务 大 臣 麦 克 · 贝 茨 勋 爵 表 示 ， 中 国 经 济 增 长 奇 迹 令 世 界 叹 服 。 但 仍 有 外 媒 认 为 ， 中 国 的 网 络 间 谍 组 织 可 能 是 受 到 中 国 雄 心 勃 勃 的 经 济 增 长 目 标 的 有 力 推 动 ， 高 度 关 注 竞 争 性 经 济 但 仍 有 外 媒 认 为 ， 中 国 的 网 络 间 谍 组 织 可 能 是 受 到 中 国 雄 心 勃 勃 的 经 济 增 长 目 标 的 有 力 推 动 ， 高 度 关 注 竞 争 性 经 济
体 所 掌 握 的 知 识 产 权 与 经 济 情 报 ， 且 积 极 窃 取 可 在 国 内 实 现 竞 争 优 势 的 信 息 。 体 所 掌 握 的 知 识 产 权 与 经 济 情 报 ， 且 积 极 窃 取 可 在 国 内 实 现 竞 争 优 势 的 信 息 。 然 而 ， 中 国 的 基 础 设 施 年 支 出 已 经 超 过 了 美 国 和 欧 盟 ， 拥 有 世 界 上 最 大 的 高 速 铁 路 网 然 而 ， 中 国 的 基 础 设 施 年 支 出 已 经 超 过 了 美 国 和 欧 盟 ， 拥 有 世 界 上 最 大 的 高 速 铁 路 网 — — 截 止 截 止 2 0 1 6   年 里 程 已 达 到 约 年 里 程 已 达 到 约 2 万 公 里 ， 是 欧 洲 已 建 或 在 建 高 速 铁 路 总 长 度 的 两 倍 左 右 。 此 外 ， 自 万 公 里 ， 是 欧 洲 已 建 或 在 建 高 速 铁 路 总 长 度 的 两 倍 左 右 。 此 外 ， 自 2 0 0 7 年 以 来 ， 中 国 机 场 的 数 量 增 加 了 年 以 来 ， 中 国 机 场 的 数 量 增 加 了 6 2 % ， 高 速 ， 高 速 公 路 总 长 增 加 了 公 路 总 长 增 加 了 1 5 7 % ， 集 装 箱 码 头 的 数 量 增 加 了 ， 集 装 箱 码 头 的 数 量 增 加 了 1 3 2 % 。 而 另 一 方 面 ， 《 中 国 互 联 网 经 济 白 皮 书 ： 解 读 中 国 互 联 网 。 而 另 一 方 面 ， 《 中 国 互 联 网 经 济 白 皮 书 ： 解 读 中 国 互 联 网 特 色 》 显 示 ， 中 国 已 经 成 为 全 球 互 联 网 经 济 的 先 锋 ， 并 与 美 国 一 起 成 为 驱 动 全 球 互 联 网 发 展 的 双 引 擎 。 特 色 》 显 示 ， 中 国 已 经 成 为 全 球 互 联 网 经 济 的 先 锋 ， 并 与 美 国 一 起 成 为 驱 动 全 球 互 联 网 发 展 的 双 引 擎 。 B R O N Z E   B U T L E R 组 织 的 网 络 能 力 组 织 的 网 络 能 力 B R O N Z E   B U T L E R 曾 使 用 多 种 广 泛 公 开 （ 包 括 M i m i k a t z 与 g s e c d u m p ） 以 及 专 用 型 （ D a s e r f 与 D a t p e r ） 工 具 。 其 似 乎 拥 有 充 足 的 资 源 以 长 时 间 不 断 开 发 并 替 换 各 类 专 用 工 具 。 该 组 织 开 发 出 可 生 成 并 利 用 加 密   C & C   通 信 机 制 的 远 程 访 问 工 具 及 恶 意 软 件 ， 从 而 提 升 了 检 测 与 问 题 缓 解 工 作 的 复 杂 程 度 。 另 外 ， 其 组 织 成 员 亦 能 够 流 利 使 用 日 语 编 写 指 向 日 本 本 土 的 钓 鱼 邮 件 ， 并 可 在 日 语 环 境 中 成 功 开 展 攻 击 。 C T U ™ 分 析 结 果 表 明 ， B R O N Z E   B U T L E R 曾 经 以 购 买 形 式 获 取 到 其   C & C   基 础 设 施 当 中 一 部 分 方 案 。 其 基 础 设 施 当 中 的 相 当 一 部 分 立 足 日 本 运 行 ， 这 可 能 是 为 了 避 免 国 际 通 信 安 全 机 构 的 监 督 与 审 查 。 该 组 织 会 定 期 更 改 各 已 入 侵 网 络 的   C & C   I P 地 址 与 域 名 ， 从 而 限 制 其 基 础 设 施 被 列 入 黑 名 单 的 可 能 性 。 另 外 ， 该 组 织 还 通 过 访 问 已 入 侵 网 站 补 充 自 身 运 营 基 础 设 施 ， B R O N Z E   B U T L E R 可 能 曾 经 具 备 专 用 基 础 设 施 的 信 息 获 取 能 力 。 该 组 织 已 经 被 证 明 有 能 力 发 现 一 款 高 人 气 日 本 企 业 工 具 中 存 在 的 严 重 零 日 漏 洞 ， 而 后 通 过 扫 描 及 利 用 这 项 漏 洞 无 差 别 破 坏 日 本 国 内 各 面 向 互 联 网 的 企 业 系 统 。 该 组 织 似 乎 首 先 建 立 初 步 立 足 点 ， 而 后 有 选 择 地 对 目 标 实 施 进 一 步 入 侵 。 该 组 织 会 关 注 已 入 侵 网 络 的 变 化 ， 并 主 动 尝 试 通 过 修 改 工 具 及 入 侵 方 法 以 回 避 网 络 维 护 人 员 的 审 查 。 在 长 达 5 年 时 间 内 ， 其 始 终 成 功 潜 伏 在 多 套 已 入 侵 网 络 当 中 且 始 终 未 被 察 觉 。 C T U ™ 研 究 发 现 的 战 术 性 威 胁 情 报 研 究 发 现 的 战 术 性 威 胁 情 报 事 件 响 应 行 动 使 C T U ™ 研 究 人 员 们 得 以 深 入 了 解 B R O N Z E   B U T L E R 在 入 侵 期 间 所 使 用 的 工 具 与 具 体 策 略 。 攻 击 活 动 使 用 工 具 调 查 攻 击 活 动 使 用 工 具 调 查 C T U ™ 研 究 人 员 们 已 经 观 察 到 B R O N Z E   B U T L E R 利 用 以 下 独 有 的 工 具 方 案 。 图 一 所 示 为 该 威 胁 组 织 在 2 0 1 2 年 到 2 0 1 7 年 期 间 所 使 用 的 部 分 专 属 工 具 。
图 一 ： B R O N Z E   B U T L E R 所 使 用 恶 意 软 件 时 间 线 。 （ 来 源 ： S e c u r e w o r k s ） D a s e r   — 这 套 后 门 具 备 远 程 s h e l l 功 能 ， 可 用 于 执 行 命 令 、 上 传 与 下 载 数 据 、 捕 捉 屏 幕 截 图 以 及 击 键 记 录 。 其 采 用 R C 4 加 密 与 自 定 义 B a s e 6 4 编 码 对 H T T P 流 量 进 行 混 淆 。 C T U ™ 研 究 人 员 们 确 定 D a s e r f 拥 有 两 个 版 本 ， 分 别 在 V i s u a l   C 与 D e l p h i 中 编 写 而 成 。 编 译 时 间 戳 分 析 结 果 证 明 ， D e l p h i 版 本 属 于 V i s u a l   C 版 本 的 后 继 者 。 C T U ™ 还 通 过 分 析 发 现 ， 以 下 注 册 表 项 能 够 证 明 计 算 机 已 经 受 到 D e l p h i 版 本 D a s e r f 的 感 染 ： K e y :   H K C U S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r V a l u e :   M M I D   =   D a t p e r   —   B R O N Z E   B U T L E R 之 所 以 创 建 这 套 D e l p h i 编 码 R A T ， 可 能 是 为 了 替 代 D a s e r f 。 D a t p e r 采 用 R C 4 加 密 配 置 以 混 淆 H T T P 流 量 。 x x m m   ( 亦 被 称 为 亦 被 称 为 M i n z e n )   —   此 R A T 有 可 能 属 于 D a s e r f 的 后 继 者 ， 其 通 过 一 次 性 加 密 密 钥 实 现 A E S 加 密 H T T P 通 信 机 制 。 研 究 人 员 们 发 现 ， B R O N Z E   B U T L E R 在 其 恶 意 活 动 中 表 现 出 对 D a t p e r 与 x x m m 的 使 用 偏 好 。 C T U ™ 研 究 人 员 还 确 定 了 x x m m 的 x x m m b u i l d e r （ 详 见 图 二 ） ， 这 表 明 该 组 织 成 员 会 根 据 目 标 定 制 x x m m 恶 意 软 件 设 置 。 图 二 ： x x m m   b u i l d e r 当 中 的 可 定 制 设 置 。 （ 图 片 来 源 ： S e c u r e w o r k s ） x x m m 下 载 器 下 载 器 ( 亦 被 称 为 亦 被 称 为 K V N D M )   —   这 款 简 单 下 载 器 的 代 码 类 似 于 主 x x m m 的 有 效 载 荷 。 G o f a r e r   —   这 款 下 载 器 在 其 H T T P 通 信 中 使 用 “ M o z i l l a / 4 . 0 + ( c o m p a t i b l e ; + M S I E + 8 . 0 ; + W i n d o w s + N T + 6 . 1 ; + T r i d e n t / 4 . 0 ; ”   U s e r - A g e n t （ 详 见 图 三 ） 。
图 三 ： G o f a r e r   H T T P   G E T 请 求 。 （ 图 片 来 源 ： S e c u r e w o r k s ） M S G e t   —   这 款 持 久 下 载 器 利 用 机 密 传 递 点 解 析 器 （ 简 称 D D R ） 以 下 载 并 执 行 其 它 恶 意 有 效 载 荷 。 M S G e t 通 常 从 其 中 的 硬 编 码 U R L 处 下 载 已 编 码 二 进 制 文 件 。 在 解 码 之 后 ， M S G e t 会 将 该 二 进 制 文 件 保 存 为 % T E M P % m s D G e t   —   这 款 简 单 下 载 器 （ 详 见 图 四 ） 类 似 于 w g e t   W e b 服 务 器 检 索 工 具 。 图 四 ： D G e t 使 用 情 况 。 （ 图 片 来 源 ： S e c u r e w o r k s ） S c r e e n   C a p t u r e   T o o l   —   这 款 工 具 能 够 捕 捉 受 害 者 系 统 中 的 桌 面 图 像 （ 详 见 图 五 ） 。 图 五 ： S c r e e n   C a p t u r e   T o o l 使 用 情 况 。 （ 图 片 来 源 ： S e c u r e w o r k s ） R a r S t a r   —   这 款 定 制 化 工 具 能 够 将 R A R 归 档 文 件 以 P O S T 数 据 的 形 式 上 传 至 特 定 U R L 处 （ 详 见 图 六 ） 。 R a r S t a r 会 利 用 B a s e 6 4 与 一 套 定 制 化 X O R 算 法 对 P O S T 数 据 进 行 编 码 。
图 六 ： R a r S t a r   H T T P   P O S T 请 求 。 （ 图 片 来 源 ： S e c u r e w o r k s ） B R O N Z E   B U T L E R 还 曾 经 利 用 以 下 公 开 工 具 ， 但 C T U ™ 的 研 究 人 员 们 发 现 该 组 织 对 其 中 大 部 分 工 具 作 出 了 修 改 。 通 过 分 析 ， 研 究 人 员 确 定 其 中 曾 使 用 多 种 打 包 工 具 、 对 源 代 码 进 行 功 能 调 整 并 加 以 重 新 编 译 。 M i m i k a t z 、 、 W i n d o w s   C r e d e n t i a l   E d i t o r   ( 简 称 简 称 W C E ) 、 、 g s e c d u m p   —   这 3 款 工 具 能 够 从 内 存 中 获 取 密 码 。 T - S M B   S c a n   —   这 款 S M B 扫 描 工 具 最 初 发 布 于 中 国 某 程 序 共 享 网 站 （ p u d n . c o m ） 。 B R O N Z E   B U T L E R 删 除 了 其 中 的 辅 助 信 息 功 能 。 W i n R A R   —   这 款 工 具 能 够 在 后 续 操 作 解 压 出 其 它 工 具 ， 并 对 所 提 取 数 据 进 行 压 缩 。 从 黑 客 组 织 攻 击 过 程 可 以 得 到 哪 些 启 发 ？ 从 黑 客 组 织 攻 击 过 程 可 以 得 到 哪 些 启 发 ？ 事 件 响 应 行 动 使 得 C T U ™ 研 究 人 员 能 够 深 入 了 解 B R O N Z E   B U T L E R 在 入 侵 期 间 所 采 取 的 具 体 策 略 。 交 付 交 付 B R O N Z E   B U T L E R 利 用 鱼 叉 式 钓 鱼 邮 件 与 S W C 入 侵 目 标 网 络 ， 且 大 多 借 助 F l a s h 。 该 组 织 曾 经 利 用 包 含 F l a s h 动 画 附 件 的 钓 鱼 邮 件 下 载 并 执 行 D a s e r f 恶 意 软 件 ， 亦 利 用 F l a s h 安 全 漏 洞 进 行 S W C 攻 击 。 C T U ™ 研 究 人 员 们 观 察 到 ， B R O N Z E   B U T L E R 利 用 各 已 入 侵 网 站 （ 通 常 位 于 日 本 及 韩 国 ） 作 为 其 攻 击 基 础 设 施 的 组 成 部 分 。 该 组 织 也 表 现 出 了 在 攻 击 活 动 中 入 侵 并 利 用 大 量 网 站 的 实 际 能 力 。 由 于 在 同 一 次 攻 击 活 动 中 能 够 使 用 大 量   C & C   服 务 器 与 多 条 I P 地 址 ， 因 此 该 组 织 似 乎 也 在 购 买 服 务 器 以 攻 击 基 础 设 施 。 B R O N Z E   B U T L E R 曾 经 面 向 不 同 目 标 使 用 特 定 攻 击 基 础 设 施 ， 这 证 明 其 会 对 运 营 基 础 设 施 进 行 主 动 分 配 ， 从 而 尽 可 能 降 低 自 身 活 动 被 安 全 研 究 人 员 归 因 的 风 险 。 漏 洞 利 用 漏 洞 利 用 在 对 2 0 1 6 年 的 入 侵 事 件 进 行 调 查 时 ， S e c u r e w o r k s 事 件 响 应 人 员 发 现 ， B R O N Z E   B U T L E R 曾 利 用 S K Y S E A   C l i e n t   V i e w （ 一 款 日 本 高 人 气 企 业 I T 资 产 管 理 产 品 ） 中 当 时 尚 未 得 到 修 复 的 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 6 - 7 8 3 6 ） 。 S K Y 集 团 于 2 0 1 6 年 1 2 月 2 1 日 正 式 公 布 此 项 安 全 漏 洞 ， 但 受 害 者 在 S K Y S E A   C l i e n t   V i e w 默 认 日 志 （ C t l c l i . l o g ） 中 的 条 目 显 示 ， 至 少 自 2 0 1 6 年 6 月 以 来 ， 该 黑 客 组 织 就 已 经 开 始 利 用 这 一 漏 洞 。
图 七 ： S K Y S E A   C l i e n t   V i e w 日 志 条 目 显 示 出 C V E - 2 0 1 6 - 7 8 3 6 漏 洞 利 用 情 况 。 （ 图 片 来 源 ： S e c u r e w o r k s ） 在 将 便 携 式 连 接 设 备 — — 例 如 L T E   U S B 调 制 解 调 器 — — 接 入 企 业 设 备 时 ， 攻 击 者 即 有 机 会 利 用 此 项 漏 洞 。 事 实 上 ， 差 旅 及 远 程 协 作 的 日 本 员 工 经 常 使 用 便 携 式 连 接 设 备 以 接 入 互 联 网 及 企 业 V P N 。 然 而 ， 其 中 部 分 设 备 会 将 互 联 网 服 务 供 应 商 的 全 局 I P 地 址 分 配 给 接 入 的 笔 记 本 电 脑 。 恶 意 攻 击 者 能 够 利 用 这 一 漏 洞 来 模 拟 管 理 控 制 台 ， 同 时 破 坏 笔 记 本 电 脑 中 的 S K Y S E A 代 理 以 使 其 暴 露 在 互 联 网 之 上 。 B R O N Z E   B U T L E R 会 定 期 进 行 互 联 网 扫 描 ， 旨 在 发 现 易 受 攻 击 的 主 机 。 C T U ™ 研 究 人 员 们 证 实 ， 一 部 分 受 到 入 侵 的 系 统 并 没 有 遭 遇 进 一 步 破 坏 或 者 横 向 移 动 。 结 果 表 明 ， 该 威 胁 组 织 可 能 会 将 恶 意 软 件 部 署 到 所 有 已 发 现 的 易 受 攻 击 系 统 当 中 ， 而 后 验 证 目 标 系 统 与 自 身 关 注 点 之 间 的 联 系 ， 最 终 仅 针 对 特 定 目 标 执 行 进 一 步 活 动 。 安 装 安 装 恶 意 攻 击 者 利 用 多 种 依 赖 于 可 执 行 文 件 、 P o w e r S h e l l 脚 本 或 者 V B S / V B E 脚 本 的 定 制 化 下 载 工 具 ， 包 括 G o f a r e r 、 M S G e t 以 及 x x m m 下 载 器 。 这 些 下 载 器 使 用 H T T P 流 量 ， 以 压 缩 与 编 码 格 式 下 载 其 它 有 效 载 荷 （ 例 如 D a s e r f 、 D a p t e r 或 者 x x m m ） ， 并 通 常 会 在 文 件 解 码 之 后 执 行 下 载 完 成 的 恶 意 软 件 。 C T U ™ 研 究 人 员 识 别 出 一 款 下 载 器 程 序 中 的 代 码 ， 如 图 八 所 示 。 此 代 码 会 在 该 可 执 行 文 件 末 尾 插 入 “ 0 ” 字 符 以 将 该 文 件 大 小 提 升 至 5 0 到 1 0 0   M B ， 从 而 尝 试 逃 避 反 病 毒 软 件 的 检 测 。 在 对 B R O N Z E   B U T L E R 攻 击 进 行 分 析 时 ， C T U ™ 研 究 人 员 们 观 察 到 这 种 进 行 主 动 体 积 提 升 的 文 件 确 实 能 够 逃 过 多 种 反 病 毒 工 具 的 法 眼 。 图 八 ： 用 于 提 升 有 效 载 荷 文 件 大 小 的 下 载 器 恶 意 软 件 代 码 。 （ 图 片 来 源 ： S e c u r e w o r k s ） C T U ™ 研 究 人 员 们 还 观 察 到 ， B R O N Z E   B U T L E R 会 在 已 入 侵 系 统 上 将 下 载 器 源 代 码 下 载 至 一 个 文 件 当 中 （ d o . c s ） ， 而 后 将 其 编 译 为 可 执 行 文 件 （ d o . e x e ） 。 经 过 解 密 的 代 理 日 志 显 示 ， 恶 意 攻 击 者 确 实 在 已 入 侵 系 统 上 编 译 定 制 化 代 码 （ 详 见 图 九 ） 。
图 九 ： 解 密 代 理 日 志 显 示 ， 已 入 侵 端 点 上 曾 进 行 定 制 化 代 码 编 译 。 （ 图 片 来 源 ： S e c u r e w o r k s ） 利 用 命 令 与 控 制 （ 简 称 利 用 命 令 与 控 制 （ 简 称 C & C ） 通 信 ） 通 信 D a s e r f 、 D a t p e r 以 及 x x m m 通 过 H T T P 、 加 密 命 令 以 及 数 据 同   C & C   服 务 器 进 行 通 信 ， 具 体 加 密 算 法 如 表 一 所 示 。 只 要 已 入 侵 系 统 在 代 理 定 义 的 授 权 时 间 内 进 行 通 信 ， 这 些 工 具 即 可 利 用 I E 浏 览 器 组 件 绕 过 代 理 身 份 验 证 服 务 器 。 恶 意 软 件 H T T P   方 法 方 法                                 加 密 算 法 D a s e r f   ( V i s u a l   C ) P O S T R C 4 D a s e r f   ( D e l p h i ) G E T   ( 大 型 数 据 则 使 用 P O S T ) R C 4 D a t p e r G E T   ( 大 型 数 据 则 使 用 P O S T ) R C 4 x x m m G E T   ( 大 型 数 据 则 使 用 P O S T ) R C 4 A E S 外 加 一 次 性 加 密 密 钥 表 一 ： D a s e r f 、 D a t p e r 以 及 x x m m 加 密 算 法 。 B R O N Z E   B U T L E R 为 每 款 工 具 配 备 特 定 的   C & C   服 务 器 ， 同 时 会 定 期 更 改   C & C   服 务 器 。 该 组 织 的   C & C   服 务 器 中 有 很 大 一 部 分 位 于 日 本 。 代 理 日 志 （ 详 见 表 二 ） 中 的 特 定 U R L 模 式 能 够 揭 露 B R O N Z E   B U T L E R 的 具 体 活 动 。 恶 意 软 件 U R L 模 式 模 式                                 用 户 - 代 理 D a s e r f h t t p : / / . g i f h t t p : / / . a s p h t t p : / / . p h p ? i d = & =                     M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   8 . 0 ;   W i n d o w s   N T   6 . 0 ;   S V 1 ) I n t e r n e t   E x p l o r e r   多 个 版 本
D a t p e r h t t p : / / . p h p ? < l o w e r c a s e   c h a r a c t e r s > = 1 h t t p : / / . p h p ? = 2                               x x m m h t t p : / / . p h p ? t 0 = > & t 1 = & t 2 = & t 3 = & t 6 = h t t p : / / . p h p ? i d 0 = & i d 1 = & i d 2 = i d 3 = & i d 6 = h t t p : / / . p h p ? i d c a r d 0 = i d c a r d 1 = M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   8 . 0 ;   W i n d o w s   N T   6 . 0 ;   S V 1 ) 表 二 ： 与 B R O N Z E   B U T L E R 恶 意 活 动 相 关 的 U R L 模 式 。 B R O N Z E   B U T L E R 在 这 些 工 具 当 中 利 用 远 程 访 问 能 力 ， 通 常 借 用 现 有 P C 供 应 商 的 目 录 — — 例 如 C : D E L L 以 及 C : H P — — 作 为 入 侵 环 境 的 工 作 目 录 。 C T U 研 究 人 员 们 也 已 经 发 现 ， 这 些 恶 意 攻 击 者 亦 会 使 用 以 下 工 作 目 录 ： C : I n t e l C : I n t e l L o g s C : I n t e l E x t r e m e G r a p h i c s C U I C : P e r f L o g s A d m i n 凭 证 访 问 凭 证 访 问 B R O N Z E   B U T L E R 利 用 M i m i k a t z 以 及 W C E 等 凭 证 窃 取 工 具 从 已 入 侵 主 机 的 内 存 当 中 获 取 验 证 信 息 。 C T U 研 究 人 员 对 包 括 M i m i k a t z 在 内 的 多 份 x x m m 样 本 进 行 分 析 ， 并 发 现 其 允 许 恶 意 攻 击 者 直 接 立 足 x x m m 执 行 M i m i k a t z 命 令 （ 详 见 图 十 ） 。 另 外 ， x x m m 还 整 合 了 一 款 U A C 旁 路 工 具 ， 用 于 在 窃 取 密 码 之 前 提 升 权 限 。 图 十 ： x x m m 中 的 M i m i k a t z 命 令 。 （ 图 片 来 源 ： S e c u r e w o r k s ） C T U ™ 分 析 结 果 显 示 ， B R O N Z E   B U T L E R 还 创 建 了 伪 造 的 K e r b e r o s   T i c k e t   G r a n t i n g   T i c k e t （ 简 称 T G T ） 与 T i c k e t   G r a n t i n g S e r v i c e （ 简 称 T G S ） 标 签 ， 亦 分 别 被 称 为 ‘ 金 票 ’ 与 ‘ 银 票 ’ ， 用 以 维 持 管 理 访 问 能 力 。 图 十 一 所 示 即 为 恶 意 攻 击 者 创 建 “ 金
票 ” 的 相 关 示 例 。 图 十 一 ： B R O N Z E   B U T L E R 创 建 的 伪 造 “ 金 票 ” 。 （ 图 片 来 源 ： S e c u r e w o r k s ） 金 票 需 要 用 户 名 ， 但 域 控 制 器 不 会 验 证 其 是 否 合 法 。 C T U ™ 研 究 人 员 检 测 到 ， B R O N Z E   B U T L E R 攻 击 者 曾 使 用 过 以 下 金 票 用 户 名 ： b g t r a s b g t r s k k i r k i s e t r n e t k i n o r u m l s w e r t 主 机 列 举 主 机 列 举 攻 击 者 们 通 常 会 使 用 内 置 的 W i n d o w s   p i n g 与 n e t 命 令 进 行 网 络 与 主 机 列 举 活 动 ， 从 而 最 终 同 文 件 共 享 服 务 器 建 立 联 系 （ 详 见 图 十 二 ） 。 B R O N Z E   B U T L E R 还 利 用 T - S M B   S c a n 工 具 罗 列 当 前 可 用 S M B 主 机 ， 并 使 用 多 种 屏 幕 捕 捉 工 具 以 获 取 其 它 相 关 信 息 。 图 十 二 ： B R O N Z E   B U T L E R 的 主 机 列 举 行 为 。 （ 图 片 来 源 ： S e c u r e w o r k s ） 横 向 移 动 横 向 移 动 在 完 成 对 一 台 主 机 的 入 侵 后 ， 恶 意 攻 击 者 会 进 一 步 尝 试 在 网 络 内 移 动 以 破 坏 更 多 接 入 系 统 。 B R O N Z E   B U T L E R 通 常 利 用 以 下 流 程 实 现 横 向 移 动 ： 1 .   使 用 “ n e t   u s e ” 与 “ c o p y ” 命 令 将 来 自 已 入 侵 主 机 的 恶 意 文 件 （ 例 如 恶 意 软 件 ） 发 送 至 同 一 网 络 上 的 其 它 目 标 系 统 处 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理