搜索

[4525] 2017-11-10_网络间谍组织“Tick”采用隐写术隐藏后门木马

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2017-11-10_网络间谍组织“Tick”采用隐写术隐藏后门木马 网 络 间 谍 组 织 “ T i c k ” 采 用 隐 写 术 隐 藏 后 门 木 马 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 1 0 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 1 0 日 讯   趋 势 科 技 发 布 报 告 指 出 ， 网 络 间 谍 组 织 “ T i c k ” 使 用 隐 写 术 能 够 够 更 好 地 隐 藏 后 门 木 马 。 T i c k （ 又 称 为 B r o n z e   B u t l e r 和 R E D B A L D K N I G H T ） 将 主 要 目 标 瞄 向 日 本 的 组 织 机 构 ， 包 括 生 物 科 技 、 电 子 制 造 、 工 业 化 学 实 体 和 政 府 机 构 ， 以 及 围 绕 关 键 基 础 设 施 、 重 工 业 、 制 造 业 以 及 国 际 关 系 方 面 展 开 攻 击 活 动 ， 旨 在 窃 取 企 业 知 识 产 权 与 其 机 密 信 息 。 趋 势 科 技 的 研 究 人 员 表 示 ， 该 组 织 已 经 活 跃 了 十 年 之 久 。 有 外 国 研 究 人 员 认 为 ， 该 组 织 位 于 中 国 。 T i c k 首 选 的 恶 意 工 具 包 括 下 载 器 “ G o f a r e r ” 和 数 据 窃 取 木 马 “ D a s e r f ” 。 D a s e r f 能 执 行 S h e l l 命 令 ， 下 载 并 上 传 数 据 。 趋 势 科 技 表 示 ， 攻 击 者 利 用 D a s e r f 的 变 种 攻 击 日 本 以 外 的 企 业 ， 包 括 韩 国 、 俄 罗 斯 、 新 加 坡 和 中 国 的 组 织 机 构 。 此 外 ， 趋 势 科 技 的 安 全 研 究 人 员 表 示 ， D a s e r f 的 多 个 版 本 利 用 不 同 的 技 术 和 隐 写 术 ， 在 意 想 不 到 的 媒 介 （ 例 如 图 像 ） 中 嵌 入 代 码 隐 藏 自 己 。 该 间 谍 组 织 通 常 使 用 鱼 叉 式 网 络 钓 鱼 邮 件 发 起 攻 击 ， 在 邮 件 中 附 加 使 用 日 语 文 字 处 理 器 I c h i t a r o 创 建 的 恶 意 文 档 ， 而 这 些 文 档 会 在 受 害 者 设 备 上 安 装 并 执 行 D a s e r f 后 门 。
定 期 改 进 定 期 改 进 D a s e r f 木 马 木 马 研 究 人 员 认 为 ， T i c k 会 定 期 改 进 D a s e r f 木 马 ， 提 升 隐 蔽 性 。 趋 势 科 技 表 示 ， 一 些 恶 意 软 件 变 种 还 显 示 ， 该 组 织 融 合 隐 写 术 执 行 第 二 阶 段 的 攻 击 ， 并 与 命 令 与 控 制 服 务 器 （ C & C S e r v e r ） 通 信 。 有 了 隐 写 术 加 持 ， 这 个 后 门 不 仅 能 绕 过 防 火 墙 ， 还 能 更 快 速 更 换 第 二 阶 段 的 C & C 通 信 或 恶 意 软 件 。 D a s e r f 的 感 染 链 包 括 一 个 下 载 器 ： 负 责 从 一 个 被 感 染 的 站 点 检 索 这 款 后 门 。 下 载 器 安 装 完 成 后 ， D a s e r f 会 连 接 到 另 一 个 被 感 染 站 点 ， 并 下 载 图 像 文 件 ， 然 后 连 接 到 C & C 服 务 器 等 待 后 续 命 令 。 趋 势 科 技 指 出 ， T i c k 间 谍 组 织 还 在 另 外 两 个 T o o l k i t 上 使 用 隐 写 术 ： x x m m 2 _ b u i l d e r 和 x x m m 2 _ s t e g a n o g r a p h y — — X X M M （ T R O J _ K V N D M ） 下 载 器 木 马 的 组 件 。 研 究 人 员 发 现 ， X X M M 和 D a s e r f 使 用 了 相 同 的 隐 写 术 算 法 。 隐 写 术 对 有 目 的 性 的 网 络 攻 击 相 当 有 用 ： 恶 意 活 动 隐 藏 得 越 久 ， 窃 取 数 据 的 就 会 越 多 。 恶 意 分 子 善 用 使 用 各 种 途 径 ， 包 括 漏 洞 利 用 工 具 、 恶 意 广 告 活 动 、 银 行 木 马 、 勒 索 软 件 等 。 T i c k 将 恶 意 软 件 与 隐 写 术 结 合 能 有 利 地 躲 避 检 测 和 分 析 。 还 会 定 期 进 行 哪 些 活 动 ？ 还 会 定 期 进 行 哪 些 活 动 ？ 此 前 E 安 全 发 表 过 一 篇 关 于 报 道 黑 客 组 织 B r o n z e   B u t l e r 的 报 道 ，   该 组 织 会 定 期 进 行 以 下 操 作 ： 定 期 进 行 互 联 网 扫 描 ， 旨 在 发 现 易 受 攻 击 的 主 机 。 B R O N Z E   B U T L E R 为 每 款 工 具 配 备 特 定 的   C & C   服 务 器 ， 同 时 会 定 期 更 改   C & C   服 务 器 。 该 组 织 的   C & C   服 务 器 中 有 很 大 一 部 分 位 于 日 本 。
该 组 织 会 定 期 更 改 各 已 入 侵 网 络 的   C & C   I P 地 址 与 域 名 ， 从 而 限 制 其 基 础 设 施 被 列 入 黑 名 单 的 可 能 性 。 在 自 网 络 中 提 取 目 标 数 据 后 ， B R O N Z E   B U T L E R 通 常 会 删 除 其 活 动 所 留 下 的 相 关 证 据 。 不 过 其 仍 会 尽 可 能 保 留 对 所 入 侵 环 境 的 持 续 访 问 能 力 ， 定 期 重 新 访 问 目 标 站 点 ， 借 以 发 现 新 的 数 据 窃 取 机 会 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 5 9 6 0 3 9 8 7 7 . s h t m l 推 荐 阅 读 ： 戴 尔 称 “ 中 国 黑 客 ” 盯 上 日 本 企 业 欲 窃 知 识 产 权 ？ 中 国 黑 客 被 指 与 西 方 航 空 航 天 公 司 遭 R A T 入 侵 有 关 日 本 网 络 战 准 备 加 速 ： 网 络 防 卫 队 将 扩 充 至 千 人 ， 研 究 网 络 攻 击 地 下 黑 客 论 坛 免 费 远 控 木 马 被 曝 “ 后 门 ” 日 本 核 研 究 实 验 室 遭 黑 客 攻 击   研 究 数 据 和 用 户 数 据 被 窃 比 特 币 “ 玩 家 ” 小 心 被 银 行 木 马 T r i c k B o t 盯 上 “ 天 堂 文 件 ” 千 万 富 豪 记 录 惊 现 特 朗 普 与 俄 罗 斯 秘 密 关 系 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理