搜索

[5104] 2018-05-07_美安全企业：“中国黑客组织”Winnti准备发起供应链攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-05-07_美安全企业：“中国黑客组织”Winnti准备发起供应链攻击 美 安 全 企 业 ： “ 中 国 黑 客 组 织 ” W i n n t i 准 备 发 起 供 应 链 攻 击 原 创   E 安 全   E 安 全   2 0 1 8 - 0 5 - 0 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 5 月 7 日 讯     美 国 软 件 安 全 初 创 企 业   P r o t e c t W i s e   公 司 威 胁 研 究 与 分 析 团 队 （ 4 0 1 T R G ） 近 期 发 布 一 份 4 5 页 的 分 析 报 告 指 出 ， 中 国 的   W i n n t i   U m b r e l l a   黑 客 组 织 以   I T   员 工 为 目 标 ， 正 不 断 调 整 自 身 策 略 且 高 度 依 赖 鱼 叉 式 网 络 钓 鱼 — — 而 非 传 统 恶 意 软 件 — — 实 施 入 侵 ， 报 告 认 为 这 些 网 络 活 动 旨 在 收 集 合 法 软 件 厂 商 代 码 签 名 证 书 以 支 持 后 续 供 应 链 攻 击 。 黑 客 组 织 黑 客 组 织 W i n n t i   U m b r e l l W i n n t i   U m b r e l l a   （ 简 称   W i n n t i ， 亦 被 称 为   A x i o m   或   A P T 1 7 ） 。 2 0 1 3 年 ， 卡 巴 斯 基 实 验 室 发 现 了   W i n n t i ， 该 组 织 当 时 的 攻 击 目 标 主 要 是 网 络 游 戏 行 业 ， 且 实 际 上 从 2 0 0 9 年 开 始 就 对 网 络 游 戏 行 业 公 司 发 动 攻 击 ， 窃 取 由 合 法 软 件 供 应 商 签 发 的 数 字 证 书 ， 此 外 还 会 窃 取 知 识 产 权 内 容 ， 包 括 在 线 游 戏 项 目 的 源 代 码 。 得 到 源 代 码 后 ， 该 组 织 通 常 将 其 放 到 中 国 黑 市 进 行 兜 售 ， 或 是 直 接 用 到 这 些 源 代 码 制 作 山 寨 游 戏 来 以 此 获 利 。 2 0 1 5 年 ， W i n n t i   组 织 的 攻 击 目 标 已 经 不 再 仅 限 于 网 络 游 戏 公 司 ， 还 包 括 电 信 和 大 型 制 药 公 司 。 P r o t e c t W i s e   公 司 研 究 人 员 对   W i n n t i   黑 客 组 织 多 年 来 长 期 使 用 的   T T P （ 即 战 术 、 技 术 与 程 序 ） 进 行 了 分 析 。 W i n n t i   这 一 名 称 源 自 该 黑 客 组 织 使 用 的 主 要 工 具 之 一 ： W i n n t i   后 门 后 门 。 W i n n t i   U m b r e l l a   黑 客 集 团 正 成 为 恶 意 势 力 的 熔 炉 黑 客 集 团 正 成 为 恶 意 势 力 的 熔 炉
此 前 曾 有 多 个 独 立 黑 客 组 织 也 曾 使 用 与 原   W i n n t i   黑 客 组 织 相 同 的 战 术 与 基 础 设 施 。 经 过 对 运 营 错 误 以 及 旧 有 攻 击 基 础 设 施 的 重 复 利 用 行 动 进 行 多 年 观 察 之 后 ， 研 究 人 员 们 总 结 称 此 前 被 认 定 为 独 立 高 级 持 续 性 威 胁 （ A P T ） 组 织 的   B A R I U M 、 W i c k e d   P a n d a 、 G R E F   以 及   P a s s C V   等 ， 似 乎 共 享 部 分   W i n n t i   技 术 成 果 及 其 基 础 设 施 。 4 0 1 T R G   研 究 人 员 指 出 ， “ T T P 、 基 础 设 施 以 及 工 作 链 观 察 结 果 显 示 ， 各 个 黑 客 组 织 之 间 似 乎 存 在 一 些 交 集 。 W i n n t i   黑 客 组 织 以 黑 客 组 织 以   I T   人 员 为 主 要 目 标 人 员 为 主 要 目 标 报 告 显 示 ， 目 前   W i n n t i   U m b r e l l a   集 团 的 各   A P T   组 织 似 乎 表 现 出 常 见 的 入 侵 / 行 动 模 式 ： 攻 击 者 似 乎 更 倾 向 于 通 过 鱼 叉 式 钓 鱼 攻 击 渗 透 单 一 目 标 ， 这 些 黑 客 组 织 主 张 收 集 凭 证 并 登 录 账 户 ， 而 非 利 用 恶 意 软 件 建 立 初 始 立 足 点 。 4 0 1 T R G   研 究 人 员 在 对 2 0 1 7 年 的 安 全 事 件 进 行 回 顾 时 表 示 ， 他 们 观 察 到 一 系 列 针 对 人 力 资 源 与 招 聘 经 理 、 I T   员 工 以 及 内 部 信 息 安 全 人 员 的 鱼 叉 式 网 络 钓 鱼 攻 击 ， 而 且 还 很 奏 效 。 攻 击 者 们 专 注 于 收 集 网 络 凭 证 ， 而 后 借 此 在 企 业 内 部 实 现 横 向 移 动 。 在 此 之 后 ， 攻 击 者 们 使 用 一 种 名 为 “ 就 地 取 材 （ l i v i n g   o f f   t h e   l a n d ） ” 的 技 术 ， 即 利 用 本 地 安 装 的 应 用 实 现 恶 意 目 的 。 此 类 入 侵 活 动 中 常 用 的 工 具 包 括 标 准   W i n d o w s   工 具 程 序 ， 外 加   M e t a s p l o i t   与   C o b a l t   S t r i k e   等 渗 透 测 试 工 具 。 另 外 ， 攻 击 者 只 在 必 要 时 才 部 署 恶 意 软 件 ， 以 免 自 身 行 迹 暴 露 ， 进 而 失 去 在 目 标 网 络 中 的 立 足 点 。 2 0 1 8 年 年 3 月 该 组 织 出 现 致 命 疏 忽 月 该 组 织 出 现 致 命 疏 忽
报 告 指 出 ， 这 些 黑 客 组 织 的 战 术 在 2 0 1 8 年 出 现 轻 微 转 变 ， 黑 客 利 用 钓 鱼 邮 件 来 企 图 获 得 有 企 业 敏 感 信 息 的   O f f i c e   3 6 5 和 G m a i l 账 号 ， 实 际 目 标 仍 然 集 中 在   I T   人 员 群 体 当 中 ， 其 目 的 或 希 望 访 问 内 部 网 络 中 的 工 作 站 设 备 。 在 此 过 程 中 ， 它 们 犯 下 了 严 重 的 安 全 错 误 ， 暴 露 了 核 心 行 动 信 息 ： 大 多 数 情 况 下 攻 击 者 会 用 它 们 的 遥 控 服 务 器 来 隐 藏 自 己 真 实 I P 地 址 。 但 在 少 数 场 合 中 ， 攻 击 者 错 误 地 直 接 访 问 了 肉 鸡 攻 击 者 错 误 地 直 接 访 问 了 肉 鸡 ， 没 有 利 没 有 利 用 这 些 代 理 用 这 些 代 理 。 大 多 网 络 活 动 在 获 取 代 码 签 名 证 书 大 多 网 络 活 动 在 获 取 代 码 签 名 证 书 研 究 人 员 们 表 示 ， 这 些 黑 客 组 织 在 攻 击 当 中 ， 主 要 关 注 对 代 码 签 名 证 书 、 源 代 码 以 及 内 部 技 术 文 档 的 窃 取 ， 他 们 还 可 能 试 图 操 纵 虚 拟 经 济 以 获 取 经 济 利 益 。 虽 然 尚 未 得 到 证 实 ， 但 其 以 金 融 组 织 作 为 次 要 目 标 的 作 法 很 可 能 意 味 着 其 希 望 通 过 攻 击 活 动 获 取 收 益 。 研 究 人 员 们 认 为 ， 代 码 签 名 证 书 窃 取 似 乎 正 是   W i n n t i   U m b r e l l a   黑 客 集 团 下 各   A P T   组 织 所 设 定 的 一 大 “ 共 同 目 标 ” 。 为 了 夺 取 代 码 签 名 证 书 ， 黑 客 们 将 攻 击 重 点 放 在 位 于 美 国 、 日 本 、 韩 国 以 及 中 国 本 土 的 各 软 件 与 游 戏 企 业 身 上 ， 因 为 此 类 组 织 往 往 更 可 能 持 有 此 类 证 书 。 W i n n t i 或 正 在 策 划 供 应 链 攻 击 或 正 在 策 划 供 应 链 攻 击 研 究 人 员 认 为 ， W i n n t i   U m b r e l l a   黑 客 组 织 正 在 收 集 资 源 并 策 划 供 应 链 攻 击 ， 例 如 以 恶 意 软 件 感 染 官 方 软 件 ， 这 是 因 为 只 要 持 有 有 效 的 代 码 签 名 证 书 ， 此 类 活 动 就 能 成 功 骗 过 安 全 监 管 人 员 的 眼 睛 。 报 告 认 为 ， 中 国 的 黑 客 组 织 或 已 经 开 始 有 所 行 动 ， 2 0 1 7 年   W i n n t i   黑 客 组 织 曾 入 侵 韩 国 软 件 开 发 商   N e t S a r a n g ， 并 在 其 网 络 管 理 工 具 中 秘 密 植 入 了 后 门   S h a d o w P a d ， 攻 击 者 可 借 此 完 全 掌 握   N e t S a r a n g   从 客 户 的 服 务 器 。 而 后 门 S h a d o w P a d 与   W i n n t i   后 门
以 及 类 似 的 叫   P l u g X   的 后 门 有 一 定 的 相 似 性 。 卡 巴 斯 基 表 示 之 所 以 能 发 现   S h a d o w P a d ， 是 因 为 一 个 在 财 经 行 业 的 合 作 伙 伴 发 现 一 台 用 来 转 账 业 务 的 电 脑 在 发 出 诡 异 的 域 名 查 看 请 求 。 在 当 时 ，   N e t S a r a n g 的 工 具 被 数 百 家 银 行 ， 能 源 和 医 药 企 业 使 用 。 另 一 份 报 告 强 调 称 ， 云 服 务 供 应 商 在 黑 客 的 攻 击 视 野 中 也 越 来 越 多 地 成 为 一 类 重 要 目 标 。 攻 击 者 在 获 得 目 标 云 服 务 的 访 问 权 之 后 会 搜 索 内 部 网 络 的 文 件 和 工 具 ， 从 而 远 程 访 问 企 业 内 部 网 络 。 通 常 ， 攻 击 者 在 成 功 获 取 访 问 权 后 会 用 自 动 工 具 来 扫 描 内 部 网 络 ， 查 找 开 放 端 口 8 0 、 1 3 9 、 4 4 5 、 6 3 7 9 、 8 0 8 0 、 2 0 0 2 2   和   3 0 3 0 4 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 0 9 4 0 6 1 6 2 2 . s h t m l 推 荐 阅 读 ： 美 国 天 然 气 输 气 管 道 遭 供 应 链 攻 击 除 “ 网 络 供 应 链 风 险 ” 外 ， 美 政 府 关 注 第 三 方 “ 透 明 度 ” 美 D H S 推 出 新 计 划 保 护 供 应 链 安 全 伊 朗 黑 客 组 织 C h a f e r 攻 击 供 应 链 ， 大 面 积 监 控 随 时 发 生 英 特 尔 C P U 再 曝 8 个 “ 幽 灵 + ” 漏 洞 ， 影 响 亚 马 逊 等 云 服 务 提 供 商 施 耐 德 电 气 软 件 被 曝 远 程 代 码 执 行 漏 洞 俄 黑 客 组 织 A P T 2 8 被 指 劫 持 L o J a c k 软 件 窃 取 数 据 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理