搜索

[4447] 2017-10-19_解密黑客组织FIN7：加速创新，不断变换技术

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-10-19_解密黑客组织FIN7：加速创新，不断变换技术 解 密 黑 客 组 织 F I N 7 ： 加 速 创 新 ， 不 断 变 换 技 术 原 创   E 小 编   E 安 全   2 0 1 7 - 1 0 - 1 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 0 月 1 9 日 讯   近 日 ， 网 络 犯 罪 组 织 F I N 7 利 用 高 级 手 法 ， 调 用 微 软 动 态 数 据 交 换 （ D D E ） ， 根 本 不 用 启 用 宏 ， 就 可 在 O f f i c e 应 用 程 序 中 执 行 恶 意 软 件 。 F I N 7 灵 活 规 避 安 全 监 测 灵 活 规 避 安 全 监 测 F I N 7 （ 也 被 称 为 A n u n a k 或 银 行 大 盗 C a r b a n a k ） 是 目 前 为 止 组 织 最 为 严 密 的 复 杂 网 络 犯 罪 组 织 ， 自 2 0 1 7 年 初 起 开 始 活 跃 ， 因 攻 击 美 国 公 司 窃 取 支 付 卡 数 据 而 广 为 人 知 。 F I N 7 向 来 使 用 取 巧 、 定 制 的 鱼 叉 式 网 络 钓 鱼 诱 饵 发 动 攻 击 。 一 旦 目 标 遭 遇 感 染 ， F I N   7 会 在 网 络 中 横 向 活 动 ， 使 用 各 种 反 取 证 技 术 规 避 检 测 。 该 组 织 习 惯 于 使 用 对 象 链 接 与 嵌 入 （ O L E ） 技 术 ， 通 过 在 在 W o r d 文 档 中 嵌 入 L N K 文 件 来 分 发 恶 意 软 件 。 在 攻 击 中 经 常 采 用 “ 无 文 件 ” 攻 击 方 式 ， 即 没 有 文 件 写 入 磁 盘 。 I C E B R G 的 安 全 研 究 团 队 （ S R T ） 在 最 近 发 现 F I N 7 已 经 切 换 到 使 用 C M D 文 件 而 不 是 L N K 文 件 ， 这 样 做 很 可 能 是 为 了 逃 避 检 测 。 今 年 6 月 ，   F I N 7 利 用 新 的 无 文 件 多 段 式 攻 击 瞄 准 美 国 连 锁 餐 厅 ； 今 年 5 月 ， 与 C a r b a n a k   G a n g 存 在 关 系 的 F I N 7 利 用 W i n d o w s 兼 容 性 修 复 程 序 S h i m 攻 击 美 国 证 券 交 易 委 员 会 （ S E C ） 。 M o r p h i s e c   研 究 人 员 总 结 了 F I N 7 组 织 不 同 攻 击 途 径 的 时 间 ， 研 究 人 员 表 示 ， F I N 7 通 常 会 在 攻 击 被 发 现 几 天 内 采 用 新 技 术 。
M o r p h i s e c 研 究 人 员 通 过 V i r u s T o t a l 分 析 了 F I N 7 诱 饵 附 件 的 检 出 率 。 M o r p h i s e c 在 其 报 告 中 指 出 ， V i r u s   T o t a l 的 检 出 率 显 示 ， 当 F I N 7 刚 开 始 活 跃 时 ， 大 多 数 安 全 解 决 方 案 检 测 不 到 。 一 旦 安 全 解 决 方 案 更 新 模 式 ， 这 些 文 件 的 检 出 率 提 升 至 1 0 / 5 6 或 更 高 。 这 个 时 候 ， F I N 7 简 单 调 整 代 码 或 安 全 软 件 寻 找 的 其 它 模 式 部 署 新 工 具 。 这 种 技 术 让 基 于 模 式 的 被 动 检 测 规 则 形 同 虚 设 。 其 它 研 究 人 员 分 析 F I N 7 的 战 术 后 指 出 ， F I N 7 遵 循 着 高 超 黑 客 惯 用 的 模 式 ： 初 步 攻 击 建 立 立 足 点 提 权 维 持 持 久 性 横 向 活 动 最 终 完 成 任 务 。 M o r p h i s e c 总 结 称 ， 不 断 改 变 攻 击 模 式 是 F I N 7 的 核 心 商 业 模 式 。 F I N 7 每 起 攻 击 包 含 足 够 多 的 新 功 能 躲 避 检 测 。 当 安 全 厂 商 设 法 跟 上 步 伐 时 ， F I N 7 已 经 在 准 备 下 一 起 攻 击 。 事 实 上 ， 快 速 采 用 新 技 术 使 欧 洲 信 息 安 全 技 术 展 览 会 （ I n f o s e c u r i t y   E u r o p e ） 一 名 研 究 人 员 对 F I N 7 做 出 这 样 的 评 价 ： 大 多 数 环 境 不 可 能 防 住 F I N 7 ， 检 测 是 能 指 望 的 最 佳 防 御 措 施 。 研 究 人 员 发 现 研 究 人 员 发 现 F I N 7 运 作 模 式 的 过 程 运 作 模 式 的 过 程 今 年 早 些 时 候 ， F I N 7 就 与 响 应 事 件 的 M o r p h i s e c 一 名 研 究 人 员 “ 交 过 手 ” ， F I N 组 织 首 先 阻 止 了 这 名 研 究 人 员 使 用 的 I P 地 址 ， 然 后 放 弃 了 整 个 命 令 与 控 制 基 础 设 施 。 F I N 组 织 是 首 批 采 用 高 级 隐 秘 无 文 件 恶 意 软 件 的 组 织 。 为 了 规 避 检 测 ， 黑 客 利 用 无 文 件 恶 意 软 件 规 避 下 载 并 安 装 极 易 被 检 测 的 恶 意 软 件 ， 黑 客 会 选 择 使 用 目 标 电 脑 上 已 经 安 装 的 工 具 ， 直 接 向 目 标 电 脑 的 工 作 内 存 （ W o r k i n g   M e m o r y ） 注 入 恶 意 代 码 。 网 络 钓 鱼 仍 是 高 水 平 攻 击 的 惯 用 手 法 网 络 钓 鱼 仍 是 高 水 平 攻 击 的 惯 用 手 法 执 行 这 种 操 作 的 命 令 通 常 隐 藏 在 附 件 内 ， 滥 用 V i s u a l   B a s i c 、 O b j e c t   L i n k i n g 或 D D E （ 动 态 数 据 交 换 ） 等 功 能 作 为 附 件 诱 饵 。 研 究 人 员 分 析 这 些 附 件 诱 饵 后 发 现 ， 这 些 诱 饵 依 赖 社 会 工 程 — — 微 软 用 户 一 般 会 收 到 如 下 弹 出 框 ， 询 问 用 户 是 否 “ 启 用 内 容 ” 或 “ 更 新 链 接 ” — — 通 常 用 来 针 对 少 量 目 标 发 起 鱼 叉 式 网 络 钓 鱼 。 今 年 早 些 时 候 ， F I N 7 涉 嫌 发 送 看 似 来 自 美 国 证 券 交 易 委 员 会 （ S E C ） E D G A R （ 电 子 化 数 据 收 集 、 分 析 及 检 索 系 统 ） 的 电 子 邮 件 ， 而 这 些 邮 件 携 带 着 标 题 为 “ 年 度 报 表 （ 1 0 K ） 的 重 大 变 化 ” 。
1 0 K 报 表 是 上 市 公 司 每 年 必 须 向 S E C 提 交 的 报 表 ， F I N 瞄 准 的 目 标 为 提 交 给 S E C 文 件 中 出 现 的 人 ， 这 通 常 意 味 着 这 些 人 的 电 子 邮 箱 出 现 在 公 共 文 件 中 。 上 周 ， 思 科 T a l o s 团 队 的 研 究 人 员 发 现 包 含 欺 骗 性 S E C 地 址 的 鱼 叉 式 网 络 钓 鱼 邮 件 ， 携 带 的 附 件 使 用 D D E 发 起 复 杂 的 多 段 式 感 染 过 程 ， 这 是 F I N 7 的 典 型 做 法 。 关 于 该 组 织 的 活 跃 记 录 关 于 该 组 织 的 活 跃 记 录 F I N 7 黑 客 组 织 自 2 0 1 3 年 开 始 活 动 以 来 ， 卡 巴 斯 基 实 验 室 2 0 1 5 年 首 次 发 现 F I N 7 犯 罪 团 伙 。 该 组 织 使 用 木 马 恶 意 软 件 对 全 球 的 银 行 发 起 针 对 性 攻 击 ， 盗 取 3 0 国 银 行 1 0 亿 美 元 之 后 ， 该 组 织 的 活 动 才 被 浮 出 水 面 ， 其 在 2 0 1 3 年 至 2 0 1 4 年 间 ， 从 3 0 个 国 家 1 0 0 家 银 行 盗 窃 逾 1 0 亿 美 元 。 2 0 1 6 年 年 初 ， 该 组 织 主 要 针 对 美 国 和 中 东 的 银 行 和 金 融 机 构 发 起 攻 击 。 2 0 1 6 年 1 1 月 ， 该 组 织 针 对 酒 店 行 业 的 组 织 机 构 发 起 新 一 轮 攻 击 。 2 0 1 7 年 1 月 ， F I N 7 开 始 利 用 G o o g l e 服 务 进 行 命 令 与 控 制 （ C & C ） 通 信 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 3 0 6 6 7 8 0 1 5 . s h t m l 相 关 阅 读 ：
渗 透 美 国 和 欧 洲 电 网 后   俄 罗 斯 黑 客 组 织 “ 蜻 蜓 ” 埋 伏 以 待 利 用 K O N N I 木 马 攻 击 朝 鲜 的 黑 客 或 属 于 D a r k H o t e l 组 织 最 新 证 据 ： A P T 3 2 黑 客 组 织 或 与 越 南 有 关 俄 罗 斯 黑 客 组 织 A P T 2 8 的 新 目 标 ： 黑 山 政 府 黑 客 组 织 利 用 E l   M a c h e t e 窃 取 全 球 政 府 超 过 1 0 0 G 数 据 避 免 总 统 大 选 再 被 干 涉 ， 美 国 将 选 举 系 统 定 位 “ 关 键 基 础 设 施 ” ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理