搜索

[7357] 2021-07-12_疑似Hades组织以军事题材针对乌克兰发起攻击

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-17
2021-07-12_疑似Hades组织以军事题材针对乌克兰发起攻击 疑 似 H a d e s 组 织 以 军 事 题 材 针 对 乌 克 兰 发 起 攻 击 猎 影 实 验 室   E 安 全   2 0 2 1 - 0 7 - 1 2 点 击 蓝 字 关 注 我 们 安 恒 威 胁 情 报 中 心 安 恒 威 胁 情 报 中 心 疑 似 疑 似 H a d e s 组 织 以 军 事 题 材 针 对 乌 克 兰 发 起 攻 击 组 织 以 军 事 题 材 针 对 乌 克 兰 发 起 攻 击 -   b y   猎 影 实 验 室   - N o . 1 背 景 背 景 H a d e s 一 个 充 满 神 秘 色 彩 的 A P T 组 织 ， 该 组 织 因 为 2 0 1 7 年 1 2 月 2 2 日 针 对 韩 国 平 昌 冬 奥 会 的 攻 击 活 动 被 首 次 发 现 ， 后 来 卡 巴 斯 基 将 该 次 事 件 的 攻 击 组 织 命 名 为 H a d e s 。 但 是 该 攻 击 组 织 的 归 属 问 题 却 一 直 未 有 明 确 定 论 。 一 方 面 由 于 该 组 织 在 攻 击 事 件 中 使 用 的 破 坏 性 恶 意 代 码 （ O l y m p i c   D e s t r o y e r ） 与 朝 鲜 L a z a r u s 组 织 使 用 的 恶 意 代 码 存 在 相 似 性 。 而 另 一 方 面 则 有 部 分 美 国 媒 体 认 为 该 事 件 的 幕 后 黑 手 是 俄 罗 斯 情 报 机 构 ， 他 们 故 意 模 仿 了 其 他 组 织 的 攻 击 手 法 以 制 造 虚 假 f l a g 迷 惑 安 全 人 员 。 N o . 2 事 件 分 析 事 件 分 析 近 日 ， 安 恒 威 胁 情 报 中 心 猎 影 实 验 室 捕 获 到 一 个 恶 意 攻 击 样 本 ， 通 过 对 样 本 进 行 溯 源 分 析 我 们 发 现 该 样 本 疑 似 H a d e s 组 织 针 对 乌 克 兰 的 又 一 次 攻 击 行 动 。 样 本 详 细 信 息 如 下 所 示 ： 样 本 名 称 П р о   в н е с е н н я   з м і н . d o c 样 本 类 型 M i c r o s o f t   W o r d   文 档   ( . d o c ) M D 5 0 c 6 f 6 0 7 9 c f 6 9 5 9 f b 5 5 1 4 1 c 4 9 b 6 2 f 7 3 0 8 打 开 诱 饵 文 档 页 面 显 示 空 白 ， 需 要 启 动 宏 代 码 才 会 显 示 文 档 内 容 ：
诱 饵 内 容 与 乌 克 兰 军 事 内 容 相 关 ： 该 诱 饵 文 档 内 容 实 际 来 源 于 一 个 国 外 的 网 站 （ u t e k a . u a ） ， 该 网 站 专 门 面 向 经 理 和 会 计 师 等 领 域 人 员 提 供 有 关 未 解 决 和 有 争 议 问 题 的 实 用 信 息 。 原 文 内 容 如 下 所 示 ：
宏 代 码 经 过 混 淆 处 理 ， 解 混 淆 后 会 首 先 修 改 文 档 属 性 显 示 诱 饵 内 容 ， 然 后 创 建 d e s k t o p . i n i 与 C : P r o g r a m D a t a p a g e f i l e . d l l 文 件 ： p a g e f i l e . d l l 文 件 是 . N E T 平 台 后 门 程 序 ， 由 宏 代 码 通 过 R e g S v c s . e x e 加 载 执 行 ， 然 后 与 C 2 服 务 器 （ m o p u b [ . ] s p a c e ） 进 行 通 讯 。 并 且 可 以 通 过 R e f e r e r 进 行 数 据 传 递 。
该 D L L 程 序 被 做 了 混 淆 处 理 ， 做 去 混 淆 处 理 后 可 以 看 出 一 些 内 容 。 N o . 3 关 联 分 析 关 联 分 析 通 过 安 恒 威 胁 情 报 中 心 平 台 对 本 次 样 本 进 行 关 联 分 析 ， 我 们 发 现 该 样 本 与 H a d e s 组 织 存 在 较 强 关 联 。 本 次 样 本 的 攻 击 目 标 、 宏 代 码 相 似 度 等 方 面 均 与 猎 影 实 验 室 此 前 发 布 的 “ 魔 鼠 行 动 ( O P E R A T I O N   T R I C K Y M O U S E ) - 以 新 冠 病 毒 为 主 题 攻 击 乌 克 兰 ” 相 吻 合 。 两 次 事 件 都 是 针 对 乌 克 兰 作 为 攻 击 目 标 ：
宏 代 码 在 数 据 初 始 化 、 解 密 算 法 、 执 行 功 能 等 方 面 也 基 本 相 同 ： 两 个 样 本 都 在 代 码 起 始 位 置 使 用 相 同 方 式 通 过 函 数 初 始 化 要 保 存 到 本 地 的 文 件 数 据 ：
然 后 使 用 相 同 方 式 初 始 化 变 量 ， 同 时 解 密 函 数 也 完 全 相 同 ： 最 后 ， 在 主 函 数 中 代 码 的 功 能 逻 辑 也 完 全 相 同 ：
之 前 样 本 ： N o . 4 防 御 建 议 防 御 建 议 安 恒 A P T 攻 击 预 警 平 台 能 够 发 现 已 知 或 未 知 威 胁 ， 平 台 能 实 时 监 控 、 捕 获 和 分 析 恶 意 文 件 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 、 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 关 联 的 木 马 等 恶 意 样 本 进 行 强 有 力 的 监 测 。 同 时 ， 平 台 根 据 双 向 流 量 分 析 、 智 能 的 机 器 学 习 、 高 效 的 沙 箱 动 态 分 析 、 丰 富 的 特 征 库 、 全 面 的 检 测 策 略 、 海 量 的 威 胁 情 报 等 ， 对 网 络 流 量 进 行 深 度 分 析 。 检 测 能 力 完 整 覆 盖 整 个 A P T 攻 击 链 ， 有 效 发 现 A P T 攻 击 、 未 知 威 胁 及 用 户 关 心 的 网 络 安 全 事 件 。 安 恒 主 机 卫 士 E D R 通 过 “ 平 台 + 端 ” 分 布 式 部 署 ， “ 进 程 阻 断 + 诱 饵 引 擎 ” 双 引 擎 防 御 已 知 及 未 知 类 型 威 胁 。 N o . 5 I O C
m o p u b [ . ] s p a c e 0 c 6 f 6 0 7 9 c f 6 9 5 9 f b 5 5 1 4 1 c 4 9 b 6 2 f 7 3 0 8 b c 9 f 3 c a 5 f 2 f f 4 9 2 e 8 c 8 2 c 1 c 6 c b 2 4 4 8 4 4 N o . 6 参 考 链 接 参 考 链 接 《 魔 鼠 行 动 ( O P E R A T I O N   T R I C K Y M O U S E ) - 以 新 冠 病 毒 为 主 题 攻 击 乌 克 兰 》 h t t p s : / / t i . d b a p p s e c u r i t y . c o m . c n / b l o g / a r t i c l e s / 2 0 2 0 / 0 2 / 2 5 / o p e r a t i o n - t r i c k y m o u s e /   诱 饵 文 档 内 容 原 文 h t t p s : / / u t e k a . u a / u a / p u b l i c a t i o n / c o m m e r c e - 1 2 - z a r p l a t y - i - k a d r y - 3 - i z m e n e n i y a - v - v o i n s k i x - o b y a z a n n o s t y a x - i - v e d e n i i - v o i n s k o g o - u c h e t a
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理