搜索

[7862] 2014-03-11_卡巴斯基安全研究员解析狡猾的APT攻击“TheMask”

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-03-11_卡巴斯基安全研究员解析狡猾的APT攻击“TheMask” 卡 巴 斯 基 安 全 研 究 员 解 析 狡 猾 的 A P T 攻 击   “ T h e   M a s k ” F r e e B u f   2 0 1 4 - 0 3 - 1 1 作 者   R e d o 1 o 8 3 k 【 C a r e t o   / “ T h e   m a s k ” 究 竟 是 什 么 ? 】         “ T h e   m a s k ” 是 一 个 起 始 于 2 0 0 7 年 甚 至 可 能 更 早 ， 并 一 直 活 跃 着 的 网 络 间 谍 行 动 。         “ T h e   m a s k ” 的 独 特 魅 力 在 于 攻 击 者 所 使 用 的 工 具 集 的 复 杂 性 。 这 套 工 具 集 包 括 一 个 极 其 复 杂 的 恶 意 攻 击 软 件 , 一 个 r o o t k i t ， 一 个 b o o t k i t 、 M a c   O S   X 和 L i n u x 版 本 , 可 能 还 有 A n d r o i d 和 i P a d   /   i P h o n e ( i O S ) 版 本 。         “ T h e   m a s k ” 为 了 更 有 效 的 隐 秘 性 使 用 了 一 个 定 制 的 攻 击 ， 这 个 特 定 的 攻 击 模 块 专 门 针 对 旧 版 的 卡 巴 斯 基 实 验 室 产 品 ， 复 杂 性 甚 至 超 过 了 D u q u 木 马 , “ T h e   m a s k ” 堪 称 目 前 最 先 进 的 威 胁 之 一 。 鉴 于 此 以 及 考 虑 其 他 一 些 因 素 ， 有 理 由 相 信 这 可 能 是 一 个 由 国 家 资 助 的 操 作 。   【 2 、 为 什 么 称 之 为 “ T h e   m a s k ” ? 】         “ T h e   m a s k ” 这 个 名 字 来 自 西 班 牙 俚 语 词 “ C a r e t o ” ( " M a s k "   o r   " U g l y   F a c e " – 可 译 为 “ 面 具 ” 或 “ 丑 陋 的 脸 ” ) ， 研 究 员 在 病 毒 模 块 中 发 现 该 字 符 串 （ 如 下 图 所 示 ） ， 故 而 以 此 命 名 。
  【 3 、 谁 是 受 害 者 ? / 攻 击 目 标 是 什 么 呢 ? 】 C a r e t o 的 主 要 目 标 分 为 以 下 几 种 类 别 : – 政 府 机 构 – 外 交 办 公 室 和 大 使 馆 – 能 源 , 石 油 和 天 然 气 公 司 – 研 究 机 构 – 私 人 股 本 公 司 – 社 会 积 极 分 子   【 4 、 目 前 可 知 受 害 者 的 总 数 吗 ? 】         尽 管 受 害 者 的 具 体 数 量 未 知 , 但 我 们 已 经 观 察 到 分 布 在 3 1 个 国 家 的 超 过 了 1 0 0 0 个 I P 地 址 被 感 染 ， 已 观 察 到 被 感 染 的 国 家 包 括 : 阿 尔 及 利 亚 、 阿 根 廷 、 比 利 时 、 玻 利 维 亚 、 巴 西 、 中 国 、 哥 伦 比 亚 、 哥 斯 达 黎 加 、 古 巴 、 埃 及 、 法 国 、 德 国 、 直 布 罗 陀 、 危 地 马 拉 、 伊 朗 、 伊 拉 克 、 利 比 亚 、 马 来 西 亚 、 墨 西 哥 、 摩 洛 哥 、 挪 威 、 巴 基 斯 坦 、 波 兰 、 南 非 、 西 班 牙 、 瑞 士 、 突 尼 斯 、 土 耳 其 、 英 国 、 美 国 和 委 内 瑞 拉 。         基 于 卡 巴 斯 基 实 验 室 开 发 的 识 别 算 法 , 估 算 出 受 害 人 数 目 在 3 8 0 个 以 上 。         然 而 , 考 虑 到 收 集 这 些 受 害 者 信 息 依 据 只 是 一 些 C & C 服 务 器 和 已 记 录 在 案 的 主 机 , 所 以 可 能 受 影 响 的 国 家 和 受 害 者 的 真 实 总 数 会 更 高 。  
【 5 、 C a r e t o 是 做 什 么 的 ? 目 标 机 器 被 感 染 后 会 发 生 什 么 ? 】         对 于 一 个 受 害 者 而 言 , 感 染 了 C a r e t o 的 危 害 是 灾 难 性 的 。 该 款 恶 意 软 件 能 够 拦 截 所 有 的 沟 通 渠 道 , 从 受 感 染 的 系 统 中 收 集 最 重 要 的 信 息 。 因 为 其 具 有 隐 形 r o o t k i t 功 能 ， 非 常 不 易 检 测 到 。 除 了 内 置 功 能 , C a r e t o 可 以 上 传 可 以 执 行 任 何 恶 意 的 任 务 的 其 他 模 块 。 考 虑 到 已 知 受 害 者 的 性 质 , C a r e t o 的 影 响 可 能 非 常 高 。   【 6 、 C a r e t o 如 何 感 染 电 脑 ? 】         我 们 发 现 " T h e   m a s k " 活 动 主 要 依 赖 附 带 恶 意 网 站 链 接 的 网 络 钓 鱼 电 子 邮 件 。 设 计 好 的 恶 意 网 站 包 含 了 很 多 可 利 用 的 漏 洞 ， 根 据 系 统 配 置 的 不 同 ， 可 以 感 染 很 多 游 客 , 这 取 决 于 他 的 系 统 配 置 。 成 功 感 染 后 恶 意 网 站 会 将 用 户 重 定 向 到 电 子 邮 件 中 引 用 的 一 个 良 性 网 站 上 , 比 如 一 个 Y o u T u b e 电 影 或 新 闻 门 户 网 站 。         需 要 特 别 注 意 的 是 ， 这 些 包 含 可 利 用 漏 洞 的 网 站 不 自 动 感 染 游 客 ; 相 反 , 袭 击 者 主 机 网 站 上 的 可 利 用 漏 洞 存 放 在 特 定 的 文 件 夹 , 他 们 除 了 恶 意 邮 件 之 外 ， 并 不 与 其 他 任 何 事 物 有 直 接 关 联 。 有 时 , 攻 击 者 在 恶 意 网 站 上 使 用 子 域 , 使 他 们 看 起 来 更 合 法 。 这 些 子 域 名 主 要 模 拟 一 些 西 班 牙 的 主 要 报 纸 或 者 一 些 国 际 上 有 名 的 报 纸 （ 如 《 卫 报 》 和 《 华 盛 顿 邮 报 》 ） 。   【 7 、 攻 击 者 利 用 零 日 漏 洞 吗 ? 】         到 目 前 为 止 , 我 们 观 察 到 的 " T h e m a s k " 攻 击 使 用 到 了 多 个 攻 击 手 段 ， 其 中 包 含 至 少 一 个 A d o b e   F l a s h P l a y e r 可 利 用 漏 洞 ( c v e   – 2 0 1 2   –   0 7 7 3 ) ， 该 漏 洞 主 要 针 对 F l a s h 播 放 器 的 1 0 . 3 和 1 1 . 2 版 本 。         “ c v e   –   2 0 1 2   –   0 7 7 3 ” 最 初 是 由 V U P E N 黑 客 团 体 发 现 的 ， 这 中 间 还 有 一 个 有 趣 的 故 事 ， 2 0 1 2 年 在 加 拿 大 C a n s e c W e s t 举 行 的 P w n 2 0 w n 黑 客 大 会 上 由 V U P E N 黑 客 团 体 首 次 攻 破 了 G o o g l e 公 司 C h r o m e 浏 览 器 ， 发 现 其 存 在 一 个 安 全 绕 过 漏 洞 和 一 个 内 存 释 放 后 可 利 用 漏 洞 。 这 个 可 利 用 漏 洞 引 起 了 很 大 的 争 议 , 因 为 V U P E N 团 队 拒 绝 透 露 他 们 如 何 躲 过 了 沙 箱 , 并 声 称 他 们 计 划 将 该 可 利 用 漏 洞 卖 给 他 们 的 客 户 。 有 可 能 是 C a r e t o 操 作 者 从 V U P E N 手 中 购 买 了 此 漏 洞 。 ( 参 见 R y a n N a r a i n e 故 事 )         其 他 攻 击 手 段 使 用 包 括 社 会 工 程 , 比 如 要 求 用 户 下 载 并 执 行 一 个 J a v a U p d a t e 。 j a r 文 件 或 安 装 一 个 C h r o m e 浏 览 器 插 件 。 我 们 怀 疑 存 在 其 他 的 可 利 用 漏 洞 , 但 我 们 的 研 究 员 没 有 能 够 从 攻 击 服 务 器 检 索 到 它 们 。   【 8 、 这 是 一 个 仅 适 用 于 w i n d o w s 的 威 胁 吗 ? 哪 些 W i n d o w s   版 本 是 攻 击 目 标 ? 有 针 对 M a c O S   X 和 L i n u x 系 统 的 变 体 吗 ? 】         到 目 前 为 止 , 我 们 观 察 到 该 木 马 可 以 感 染 M i c r o s o f t W i n d o w s 和 M a c   O S   x 系 统 。 发 现 其 中 有 一 些 利 用 服 务 器 路 径 包 含 模 块 , 似 乎 是 为 感 染 L i n u x 系 统 的 计 算 机 而 设 计 的 , 但 我 们 还 没 有 找 到 L i n u x 后 门 。 此 外 , 从 C & C 服 务 器 的 日 志 显 示 , 可 能 存 在 A n d r o i d 和 苹 果 i O S 系 统 的 后 门 。   【 9 、 是 否 有 一 个 移 动 组 件 的 任 何 证 据 — — i O S 、 A n d r o i d 或 黑 莓 ? 】         我 们 怀 疑 存 在 一 个 i O S 后 门 , 但 我 们 没 能 找 到 它 。 怀 疑 是 基 于 一 个 服 务 器 的 调 试 日 志 ， 日 志 显 示 了 一 个 标 识 为 阿 根 廷 的 受 害 者 ， 并 记 录 了 该 用 户 的 代 理 信 息 是 " M o z i l l a / 5 . 0 ( i P a d ;   C P U   O S   6 _ 1 _ 3   l i k e   M a c   O S   X )   A p p l e W e b K i t / 5 3 6 . 2 6   ( K H T M L ,   l i k e G e c k o ) M o b i l e / 1 0 B 3 2 9 " 。 这 似 乎 表 明 这 是 一 个 i P a d , 尽 管 没 有 一 个 确 定 的 示 例 。         除 此 之 外 , 我 们 还 怀 疑 存 在 一 个 A n d r o i d 的 植 入 物 。 这 是 基 于 发 送 到 C & C 服 务 器 上 的 一 个 独 特 的 版 本 标 识 符 “ A N D 1 . 0 . 0 . 0 ” 。 使 用 到 这 种 独 特 标 识 符 的 通 信 已 在 3   g 连 接 上 被 观 察 到 , 表 示 可 能 是 一 个 移 动 设 备 。   【 1 0 、 它 与 其 他 的 A P T 攻 击 有 何 不 同 ? 】         “ T h e   m a s k ” 的 独 特 魅 力 是 攻 击 者 所 使 用 的 工 具 集 的 复 杂 性 。 它 的 武 器 库 包 括 了 极 其 复 杂 的 恶 意 软 件 , r o o t k i t , b o o t k i t , M a c 和 L i n u x 版 本 , 可 能 存 在 A n d r o i d 和 i P a d /   i P h o n e ( 苹 果 i O S ) 版 本 。         同 时 ,   “ T h e   m a s k ” 为 增 强 其 隐 秘 性 而 使 用 了 一 个 定 制 的 攻 击 ， 这 个 特 定 的 攻 击 模 块 专 门 针 对 旧 版 的 卡 巴 斯 基 实 验 室 产 品 ， 复 杂 性 甚 至 超 过 了 D u q u 木 马 , “ T h e   m a s k ” 堪 称 目 前 最 先 进 的 威 胁 之 一 。 鉴 于 此 以 及 考 虑 其 他 一 些 因 素 ， 有 理 由 相 信 这 可 能 是 一 个 由 国 家 资 助 的 操 作 。 （ 回 答 与 第 一 个 问 题 雷 同 … … ）
  【 1 1 、 如 何 认 知 到 这 个 威 胁 的 存 在 ? 谁 报 告 的 ? 】         我 们 最 初 意 识 到 C a r e t o 是 观 察 到 有 恶 意 软 件 试 图 利 用 卡 巴 斯 基 安 全 产 品 的 漏 洞 ， 从 而 更 加 隐 秘 的 入 侵 系 统 。 这 种 手 段 增 加 了 我 们 的 兴 趣 , 研 究 团 队 决 定 进 一 步 调 查 。 换 句 话 说 , 因 为 攻 击 者 对 卡 巴 斯 基 实 验 室 产 品 的 攻 击 ， 成 功 的 吸 引 了 我 们 的 注 意 力 。         虽 然 这 个 产 品 的 漏 洞 在 五 年 前 已 经 被 发 现 并 得 到 了 修 补 ， 但 是 在 用 户 没 有 更 新 产 品 的 情 况 下 ， 尽 管 可 以 删 除 恶 意 软 件 并 清 查 系 统 ， 这 个 漏 洞 仍 然 可 以 被 利 用 , 。   【 1 2 、 有 多 个 变 体 C a r e t o 吗 ? 这 些 变 体 主 要 差 别 是 什 么 ? 】         C a r e t o 是 一 个 高 度 模 块 化 的 系 统 , 它 能 够 支 持 插 件 和 配 置 文 件 ， 这 一 特 性 使 得 它 可 以 拥 有 很 多 功 能 。         从 2 0 0 7 年 开 始 ， C a r e t o 就 有 不 同 的 编 译 版 本 ， 不 过 大 多 数 模 块 创 建 于 2 0 1 2 年 。   【 1 3 、 C a r e t o 的 C & C 服 务 器 仍 然 活 跃 吗 ？ 是 否 能 够 掌 握 任 何 C & C 服 务 器   】 ?         截 止 目 前 , 所 有 已 知 C a r e t o 服 务 器 都 已 离 线 。 从 2 0 1 4 年 1 月 开 始 攻 击 者 陆 续 使 这 些 C & C 服 务 器 离 线 。 我 们 仍 掌 握 着 几 台 C & C 服 务 器 , 允 许 我 们 收 集 统 计 信 息 。   【 1 4 、 哪 些 信 息 是 攻 击 者 的 窃 取 目 标 ? 】         恶 意 软 件 从 受 感 染 的 系 统 上 收 集 大 量 的 文 档 , 包 括 加 密 密 钥 、 V P N 配 置 , S S H 密 钥 和 R D P 文 件 ， 我 们 还 监 视 到 几 个 未 知 功 能 的 扩 展 模 块 ， 可 能 与 定 制 的 军 事 / 国 家 级 别 的 加 密 工 具 有 关 联 。         我 们 分 析 到 的 完 整 的 C a r e t o 收 集 文 件 格 式 列 表 如 下 : *   . A K F , *   . A S C 、 *   . A X X   *   . C F D , * . C F E , *   . C R T , *   .   d o c , *   d o c x , *   . E M L , *   . E N C , *   . G M G , *   . G P G , *   . H S E , *   . K E Y , *   . M 1 5 , *   . M 2 F 、 * . M 2 O   *   . M 2 R , *   . M L S , *   . O C F S , *   . O C U , * 。 o d s , * . O D T , *   . O V P N , *   . P 7 C , *   . P 7 M , *   . P 7 Z , *   . P A B , *   .   p d f , *   . P G P , *   . P K R 、 * . P P K   *   . P S W , *   . P X L , *   . R D P , *   .   r t f , *   . S D C , *   . S D W , *   . S K R , *   .   s s h , *   . S X C , *   . S X W , * . V S D , *   . W A B , *   . W P D 、 * . W P S   *   . W R D , *   x l s , *   . X L S X   【 1 5 、 这 是 一 个 政 府 资 助 的 攻 击 吗 ? 】         “ T h e   m a s k ” 使 用 一 个 专 门 针 对 旧 版 卡 巴 斯 基 实 验 室 产 品 的 定 制 攻 击 ， 有 效 的 提 高 了 其 隐 秘 性 。 此 外 , 它 的 武 器 库 中 还 包 括 一 个 r o o t k i t , b o o t k i t , L i n u x /   M a c 版 本 ， 也 可 能 存 在 i O S 版 本 。 复 杂 性 超 过 了 D u q u 木 马 , 就 目 前 的 技 术 水 平 而 言 ， “ T h e   m a s k ” 的 攻 击 手 段 相 当 的 先 进 。
        另 外 , 我 们 观 察 到 这 种 攻 击 背 后 有 一 个 高 水 准 的 专 业 性 操 作 集 团 , 比 如 攻 击 者 能 有 效 的 监 视 他 们 的 基 础 设 施 , 关 闭 操 作 , 巧 妙 的 穿 透 系 统 的 访 问 限 制 , 使 用 擦 拭 而 不 是 删 除 日 志 文 件 等 等 。 这 种 安 全 操 作 的 级 别 不 是 寻 常 的 网 络 犯 罪 组 织 能 够 达 到 的 。         鉴 于 此 以 及 其 他 一 些 因 素 ， 我 们 有 理 由 相 信 这 可 能 是 由 一 个 国 家 资 助 的 活 动 。   【 1 6 、 谁 应 对 此 攻 击 负 责 ? 】         追 根 溯 源 是 一 项 艰 巨 的 任 务 。 由 于 互 联 网 的 开 放 性 和 波 动 性 ， 找 出 一 个 明 确 的 源 头 是 非 常 困 难 。         诸 如 使 用 到 了 西 班 牙 语 这 类 的 线 索 是 相 当 薄 弱 的 证 据 ， 因 为 很 多 国 家 都 使 用 西 班 牙 语 ， 其 中 包 括 拉 丁 美 洲 , 墨 西 哥 或 美 国 ( 例 如 在 迈 阿 密 , 就 存 在 一 个 强 大 的 西 班 牙 语 社 区 ) 。         而 且 在 没 有 确 凿 证 据 之 前 ， 我 们 也 不 排 斥 语 言 只 是 一 种 障 眼 法 的 可 能 。   【 1 7 、 攻 击 者 活 跃 多 久 了 ? 】         最 早 的 一 些 C a r e t o 样 本 可 以 追 溯 到 2 0 0 7 年 ， 一 直 活 跃 到 2 0 1 4 年 1 月 , 但 在 我 们 调 查 期 间 ， C & C 服 务 器 被 关 闭 。 所 以 保 守 估 计 至 少 活 动 了 5 年 。 我 们 不 排 除 攻 击 者 在 将 来 的 某 个 时 候 重 启 活 动 的 可 能 。   【 1 8 、 攻 击 者 使 用 了 哪 些 有 趣 / 先 进 技 术 吗 ? 】         W i n d o w s 后 门 是 极 其 复 杂 的 , 攻 击 者 为 增 强 攻 击 的 隐 秘 性 使 用 了 多 种 技 术 。 这 些 技 术 包 括 注 入 系 统 库 、 为 了 逃 避 检 测 而 利 用 漏 洞 攻 击 旧 版 卡 巴 斯 基 实 验 室 产 品 。         此 外 , 漏 洞 利 用 覆 盖 了 所 有 潜 在 的 目 标 系 统 , 包 括 M a c   O S   X 和 L i n u x 。 同 样 , 不 同 的 s h e l l c o d e 模 块 之 间 的 利 用 C O O K I E S 进 行 通 信 , 这 是 一 个 相 当 不 寻 常 的 方 法 。   【 1 9 、 卡 巴 斯 基 实 验 室 能 检 测 这 个 恶 意 软 件 的 所 有 变 体 吗 ? 】         是 的 。 我 们 的 产 品 能 检 测 并 删 除 攻 击 者 使 用 的 所 有 已 知 的 恶 意 软 件 的 版 本 。 名 称 标 识 为 : T r o j a n . W i n 3 2   /   W i n 6 4 . C a r e t o . * T r o j a n . O S X . C a r e t o   【 2 0 、 有 没 有 协 定 的 指 标 ( I O C s ) 能 够 帮 助 受 害 者 去 识 别 入 侵 ?         是 的 ， 我 们 详 细 的 技 术 研 究 论 文 中 已 经 包 含 了 I O C （ 国 际 标 准 化 组 织 ） 相 关 的 信 息 ， 如 果 有 兴 趣 ， 可 以 点 击 下 边 的 链 接 来 阅 读 完 整 的 报 告 。   h t t p : / / w w w . s e c u r e l i s t . c o m / e n / d o w n l o a d s / v l p d f s / u n v e i l i n g t h e m a s k _ v 1 . 0 . p d f 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理