搜索

[8068] 2014-06-05_[APT攻击]趋势科技捕获一次APT攻击活动

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-17
2014-06-05_[APT攻击]趋势科技捕获一次APT攻击活动 [ A P T 攻 击 ] 趋 势 科 技 捕 获 一 次 A P T 攻 击 活 动 趋 势 科 技   F r e e B u f   2 0 1 4 - 0 6 - 0 5 趋 势 科 技 曾 经 在 2 0 1 3 年 下 半 年 度 目 标 攻 击 综 合 报 告 里 指 出 ， 发 现 了 好 几 起 A P T 攻 击 - 高 级 持 续 性 渗 透 攻 击   ( A d v a n c e d   P e r s i s t e n t T h r e a t ,   A P T )   / 目 标 攻 击 相 关 的 攻 击 活 动 。 趋 势 科 技 目 前 正 在 监 视 一 起 专 门 针 对 行 政 单 位 的 攻 击 活 动 。 趋 势 科 技 将 这 起 特 定 攻 击 活 动 命 名 为 P L E A D ， 来 自 于 其 相 关 恶 意 软 件 所 发 出 后 门 指 令 的 字 母 。 此 次 攻 击 活 动 的 进 入 点 是 通 过 电 子 邮 件 。 在 P L E A D 攻 击 活 动 里 ， 攻 击 者 利 用 R T L O （ 从 右 至 左 覆 盖 ） 技 术 来 欺 骗 目 标 收 件 者 将 被 解 开 的 档 案 误 认 成 非 执 行 档 。 ( 编 按 : 比 如 将 文 件 名 x x x . f d p . s c r 显 示 成 x x x . r c s . p d f ） 在 某 些 P L E A D 攻 击 活 动 的 相 关 案 例 里 正 确 地 运 用 了 R T L O 技 术 ， 如 同 一 起 针 对 某 部 会 的 案 例 ， 声 称 是 关 于 技 术 顾 问 会 议 的 参 考 数 据 ： 图 一 ： 寄 送 至 某 政 府 单 位 的 电 子 邮 件 一 旦 . 7 z 附 加 档 案 被 解 开 ， 收 件 者 会 看 到 两 个 档 案 ， 看 来 像 一 个 P o w e r P o i n t 文 件 和 一 个 M i c r o s o f t   W o r d 档 案 。 R T L O 技 术 基 本 上 是 利 用 支 持 由 右 到 左 书 写 语 言 的 U n i c o d e 字 符 ， 可 以 从 第 一 个 档 案 清 楚 地 看 到 。 事 实 上 是 屏 幕 保 护 程 序 档 案 。 此 威 胁 的 主 角 还 包 括 一 个 用 作 诱 饵 的 . D O C 文 件 ， 图 二 内 的 第 二 个 档 案 ， 其 唯 一 的 作 用 是 增 加 电 子 邮 件 的 可 信 度 。 图 二 ： 解 开 的 附 件 文 件 显 示 R T L O 伎 俩 作 用 在 . S C R 档 案 上 为 了 进 一 步 让 受 害 者 相 信 . S C R 档 案 是 P P T 文 件 ， 这 个 . S C R 档 案 实 际 上 会 产 生 下 列 P P T 档 案 以 充 作 诱 饵 。
图 三 ： . S C R 产 生 这 个 P P T 档 案 作 为 诱 饵 另 一 封 电 子 邮 件 伪 装 成 某 企 业 的 统 计 数 据 ： 针 对 某 政 府 单 位 的 A P T   攻 击 图 四 ： 第 二 封 电 子 邮 件 样 本 ， 被 寄 送 到 不 同 的 政 府 单 位 图 五 ： 附 件 文 件 解 开 后 发 现 该 档 案 是 个 可 执 行 文 件
趋 势 科 技 还 观 察 到 有 攻 击 利 用 C V E - 2 0 1 2 - 0 1 5 8 漏 洞 ， 这 漏 洞 早 在 2 0 1 2 年 就 通 过 M S 1 2 - 0 2 7 修 补 。 此 漏 洞 存 在 于 W i n d o w s 常 用 控 件 中 ， 可 以 让 攻 击 者 执 行 恶 意 代 码 ， 是 目 标 攻 击 中 所 常 见 到 的 漏 洞 。 图 六 ： 第 三 封 电 子 邮 件 利 用 漏 洞 攻 击 P L E A D 攻 击 活 动 的 有 效 载 荷 通 常 是 后 门 程 序 ， 会 先 解 密 自 己 的 程 序 代 码 ， 然 后 注 入 其 他 的 程 序 。 不 同 的 样 本 会 安 装 不 同 的 程 序 ， 但 通 常 这 些 后 门 程 序 会 从 受 害 者 计 算 机 获 取 下 列 信 息 ： 1 、 使 用 者 名 称 2 、 计 算 机 名 称 3 、 主 机 名 4 、 目 前 恶 意 软 件 的 程 序 I D 作 为 恶 意 份 子 监 控 其 运 作 时 用 来 掌 握 其 特 定 受 害 者 的 方 法 。 一 旦 与 远 程 服 务 器 建 立 联 机 ， 后 门 程 序 会 执 行 其 指 令 ： 1 、 检 查 已 安 装 的 软 件 / 代 理 服 务 器 设 定 2 、 列 出 驱 动 程 序 3 、 取 得 档 案 4 、 删 除 档 案 5 、 远 程 控 制 接 口 这 些 指 令 都 是 典 型 的 侦 察 活 动 。 趋 势 科 技 还 在 进 行 与 P L E A D 攻 击 活 动 相 关 的 C ＆ C 和 恶 意 工 具 的 研 究 ， 将 会 提 供 关 于 此 攻 击 活 动 更 多 的 技 术 细 节 。 目 前 看 来 ， 和 此 攻 击 活 动 相 关 的 攻 击 在 2 0 1 2 年 就 已 经 开 始 出 现 。 [ v i a   i q u s h i ]
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理