搜索

[8136] 2014-07-18_Havex：以工控设备为狩猎目标的恶意软件

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-17
2014-07-18_Havex：以工控设备为狩猎目标的恶意软件 H a v e x ： 以 工 控 设 备 为 狩 猎 目 标 的 恶 意 软 件 f u b e e r f   F r e e B u f   2 0 1 4 - 0 7 - 1 8 在 过 去 一 年 ， 我 们 对 在 过 去 一 年 ， 我 们 对 H a v e x 恶 意 程 序 家 族 及 其 背 后 的 组 织 保 持 了 高 度 的 关 注 。 恶 意 程 序 家 族 及 其 背 后 的 组 织 保 持 了 高 度 的 关 注 。 H a v e x 被 认 为 以 不 同 工 业 领 域 为 目 标 进 被 认 为 以 不 同 工 业 领 域 为 目 标 进 行 攻 击 的 恶 意 软 件 ， 并 且 在 最 初 的 行 攻 击 的 恶 意 软 件 ， 并 且 在 最 初 的 报 告 报 告 中 ， 该 恶 意 软 件 对 能 源 行 业 尤 为 感 兴 趣 。 中 ， 该 恶 意 软 件 对 能 源 行 业 尤 为 感 兴 趣 。 H a v e x 的 主 要 构 成 为 通 用 的 远 程 木 马 （ R e m o t e   A c c e s s   T r o j a n ， R A T ） 和 用 P H P 编 写 的 服 务 器 程 序 。 可 以 在 服 务 器 的 代 码 中 看 到 “ H a v e x ” 这 个 名 字 。 在 2 0 1 4 年 的 春 天 ， 我 们 发 现 H a v e x 开 始 对 工 业 控 制 系 统 （ I n d u s t r i a l C o n t r o l   S y s t e m s ，   I C S ） 有 特 殊 的 兴 趣 ， 该 恶 意 软 件 背 后 的 组 织 使 用 了 一 个 创 新 型 木 马 来 接 近 目 标 。 攻 击 者 首 先 把 I C S / S C A D A 制 造 商 的 网 站 上 用 来 供 用 户 下 载 的 相 关 软 件 感 染 木 马 病 毒 ， 当 用 户 下 载 这 些 软 件 并 安 装 时 实 现 对 目 标 用 户 的 感 染 。 我 们 收 集 并 分 析 了 H a v e x 的 8 8 个 变 种 ， 主 要 分 析 了 它 们 的 访 问 目 标 、 从 哪 收 集 数 据 、 网 络 和 机 器 。 这 一 分 析 发 现 H a v e x 通 信 用 的 C & C 服 务 器 多 达 1 4 6 个 ， 并 且 有 1 5 0 0 多 个 I P 地 址 向 C & C 服 务 器 通 信 ， 从 而 识 别 最 终 的 受 害 者 。 攻 击 者 利 用 被 攻 陷 的 网 站 、 博 客 作 为 C & C 服 务 器 ， 如 下 为 用 于 C & C 服 务 器 的 一 些 实 例 。 我 们 还 发 现 了 一 个 额 外 的 功 能 组 件 ， 攻 击 者 利 用 此 组 件 从 应 用 于 I C S / S C A D A 系 统 中 的 机 器 上 盗 取 数 据 。 这 意 味 着 攻 击 者 不 仅 仅 对 目 标 公 司 的 网 络 感 兴 趣 ， 还 有 对 这 些 公 司 的 I C S / S C A D A 系 统 进 行 控 制 的 动 机 。 我 们 目 前 对 这 一 动 机 的 缘 由 还 不 太 清 楚 。 以 包 含 木 以 包 含 木 马 马 病 毒 的 病 毒 的 软 软 件 安 装 包 作 件 安 装 包 作 为 为 感 染 媒 介 感 染 媒 介 H a v e x   R A T 以 如 下 途 径 进 行 传 播 ， （ 1 ） 垃 圾 邮 件 （ 2 ） 漏 洞 利 用 工 具 （ 3 ） 在 被 入 侵 的 厂 商 的 主 站 上 ， 使 其 为 用 户 提 供 的 软 件 安 装 包 包 含 该 木 马
利 用 垃 圾 邮 件 和 漏 洞 工 具 是 相 当 简 单 的 传 播 机 制 ， 我 们 对 此 不 进 行 深 入 分 析 。 更 值 得 关 注 的 第 三 中 方 式 ， 它 可 以 被 看 做 是 水 坑 式 攻 击 （ W a t e r - h o l e   a t t a c k ） ， 因 为 攻 击 者 选 择 I C S 的 供 应 商 作 为 中 间 目 标 ， 来 实 现 其 对 最 终 目 标 的 攻 击 。 攻 击 者 利 用 网 站 的 漏 洞 ， 入 侵 了 网 站 ， 并 将 正 常 的 供 用 户 下 载 的 安 装 软 件 替 换 为 包 含 木 马 的 安 装 软 件 。 我 们 的 研 究 者 发 现 有 三 个 厂 商 的 主 站 被 这 种 方 式 被 攻 入 ， 在 网 站 上 提 供 的 软 件 安 装 包 中 包 含 了 H a v e x R A T 。 我 们 怀 疑 还 会 有 更 多 类 似 的 情 况 ， 但 是 尚 未 确 定 。 根 据 他 们 网 站 的 内 容 ， 这 三 家 公 司 都 是 开 发 面 向 工 业 的 设 备 和 软 件 ， 这 些 公 司 的 总 部 位 于 德 国 、 瑞 士 和 比 利 时 。 其 中 两 个 供 应 商 为 I C S 系 统 提 供 远 程 管 理 软 件 ， 第 三 个 供 应 商 为 开 发 高 精 密 工 业 摄 像 机 及 相 关 软 件 。 作 为 一 个 例 子 ， 我 们 可 以 看 一 下 包 含 了 木 马 病 毒 的 安 装 包 安 装 时 的 动 态 分 析 结 果 。 正 常 的 安 装 程 序 是 不 会 包 含 这 个 名 为 “ m b c h e c k . d l l ” 的 文 件 的 。 这 个 文 件 实 际 上 是 H a v e x 的 恶 意 软 件 ， 包 含 木 马 病 毒 的 安 装 程 序 会 释 放 并 执 行 这 一 文 件 作 为 其 软 件 安 装 过 程 中 的 一 部 分 。 这 样 攻 击 者 可 以 用 此 后 门 来 访 问 和 控 制 用 户 的 工 作 电 脑 。 目 目 标 组 织 标 组 织 我 们 能 够 找 到 一 些 受 感 染 的 系 统 ， 并 根 据 样 本 的 分 析 报 告 ， 来 追 踪 向 H a v e x   R A T C & C 服 务 器 进 行 通 信 的 I P 地 址 。 所 有 受 感 染 的 这 些 实 体 都 是 与 工 业 应 用 或 者 工 业 机 器 有 一 定 的 关 系 ， 大 多 数 受 害 者 位 于 欧 洲 ， 在 本 文 撰 写 时 ， 我 们 发 现 至 少 有 一 家 位 于 加 利 福 尼 亚 的 公 司 在 向 C & C 服 务 器 发 送 数 据 。 其 中 欧 洲 的 基 础 机 构 中 ， 有 两 个 为 法 国 的 众 所 周 知 的 教 育 机 构 ， 这 两 个 机 构 是 进 行 技 术 相 关 的 研 究 ， 两 个 德 国 的 工 业 应 用 程 序 和 机 器 制 造 商 ， 一 个 法 国 的 工 业 机 器 生 产 生 还 有 一 个 是 专 门 从 事 结 构 工 程 的 俄 罗 斯 建 筑 公 司 。 I C S / S C A D A   嗅 探 嗅 探 对 于 H a v e x 样 例 代 码 的 分 析 发 现 ， 其 包 含 对 于 I C S / S C A D A 的 嗅 探 行 为 。 C & C 服 务 器 会 指 示 受 感 染 的 计 算 机 下 载 并 执 行 更 进 一 步 的 组 件 ， 其 中 一 个 组 件 很 有 趣 。 当 分 析 此 组 件 时 ， 我 们 发 现 它 会 枚 举 局 域 网 ， 并 寻 找 连 接 的 资 源 和 服 务 器 。 （ 译 注 ： 通 过 汇 编 代 码 可 知 ， 该 程 序 调 用 了 W i n d o w s 的 库 函 数 “ W N e t E n u m R e s o u r c e ” ， 关 于 该 函 数 的 信 息 可 以 参 照 ： h t t p : / / m s d n . m i c r o s o f t . c o m / z h - c n / l i b r a r y / a a 9 1 8 0 5 1 ）
然 后 我 们 发 现 ， 该 程 序 调 用 了 微 软 的 C O M 对 象 接 口 （ C o I n i t i a l i z e E x ， C o C r e a t e I n s t a n c e E x ） ， 来 连 接 特 定 的 服 务 。 为 了 确 认 样 例 代 码 对 哪 个 服 务 感 兴 趣 ， 我 们 特 意 的 检 索 了 G U I D 值 ， 通 过 对 于 G U I D 值 的 检 索 可 以 知 道 哪 种 类 型 的 接 口 被 调 用 了 。 通 过 G o o g l e 可 知 如 下 ： 9 D D 0 B 5 6 C - A D 9 E - 4 3 E E - 8 3 0 5 - 4 8 7 F 3 1 8 8 B F 7 A   =   I I D _ I O P C S e r v e r L i s t 2 1 3 4 8 6 D 5 1 - 4 8 2 1 - 1 1 D 2 - A 4 9 4 - 3 C B 3 0 6 C 1 0 0 0 0   =   C L S I D _ O P C S e r v e r L i s t 译 注 （ 上 述 两 个 接 口 应 该 是 O P C 标 准 基 金 会 定 义 的 O P C E n u m . e x e 来 实 现 的 ， 这 段 代 码 的 目 的 应 该 就 是 访 问 局 域 网 中 运 行 的 O P C E n u m . e x e 程 序 ， 通 过 调 用 I I D _ O P C S e r v e r L i s t 2 接 口 来 获 取 机 器 上 运 行 的 O P C S e r v e r 程 序 。 各 大 工 控 厂 商 都 开 发 了 自 己 的 O P C S e r v e r 服 务 程 序 ， 但 是 大 家 都 遵 守 了 统 一 的 O P C 标 准 ， 从 面 向 对 象 的 角 度 来 说 ， 就 是 所 有 的 O P C S e r v e r 都 派 生 自 O P C 标 准 基 金 会 定 义 的 接 口 。 O P C E n u m . e x e 主 要 是 负 责 枚 举 O P C S e r v e r 列 表 用 的 ， 例 如 一 台 机 器 上 安 装 三 个 自 动 化 厂 商 的 O P C S e r v e r ， 别 人 想 访 问 O P C S e r v e r 时 ， 可 以 先 通 过 调 用 O P C E n u m 来 获 取 这 台 机 器 上 安 装 了 哪 些 O P C S e r v e r ， 然 后 再 与 O P C S e r v e r 进 行 交 互 。 通 过 本 文 来 看 ， 似 乎 H a v e x 程 序 仅 仅 是 获 取 了 O P C S e r v e r 的 基 本 信 息 ， 没 有 进 一 步 与 O P C S e r v e r 打 交 道 ， 但 通 过 另 外 一 篇 分 析 文 章 来 看 ， H a v e x 还 是 与 O P C S e r v e r 进 行 了 打 交 道 ， 获 取 到 了 O P C S e r v e r 内 部 更 为 详 细 的 情 报 。 ） 注 意 到 “ O P C S e r v e r ” 这 个 名 字 ， 还 有 更 多 的 指 示 指 向 了 这 个 单 词 ， 在 可 执 行 文 件 中 的 资 源 处 找 到 了 更 多 的 O P C 字 符 串 关 键 字 。 事 实 上 ， O P C 指 的 是 O L E   f o r   P r o c e s s C o n t r o l ， 它 是 一 种 标 准 ， 实 现 W i n d o w s 应 用 程 序 与 过 程 控 制 硬 件 进 行 交 互 。 通 过 O P C ， 恶 意 软 件 可 以 获 取 设 备 更 为 详 细 的 信 息 ， 然 后 将 他 们 发 送 给 C & C 服 务 器 ， 供 攻 击 者 分 析 。 看 起 来 这 一 组 件 仅 仅 是 作 为 攻 击 者 收 集 情 报 的 工 具 ， 到 目 前 为 止 我 们 还 没 有 发 现 试 图 控 制 连 接 在 控 制 系 统 中 的 硬 件 的 P a y L o a d 。 深 度 解 深 度 解 读 读 H a v e x 主 要 有 两 大 组 件 构 成 ， 下 载 器 和 O P C 情 报 收 集 模 块 。 有 关 下 载 器 的 分 析 文 章 可 以 参 见 此 文 ： h t t p : / / b l o g . f o r t i n e t . c o m / E v o l v i n g - H i s t o r y - o f - H a v e x - M o d u l e - D o w n l o a d e r / 在 测 试 环 境 中 ， 首 先 在 局 域 网 的 其 他 机 器 上 安 装 两 个 O P C S e r v e r ， 如 下 图 所 示 ， 恶 意 软 件 成 功 的 获 取 到 了 这 两 个 O P C S e r v e r 的 情 报 （ 译 注 ： 根 据 图 可 知 ， 安 装 O P C S e r v e r 的 P C 名 称 为 R 3 P - P C ， 安 装 的 O P C S e r v e r 是 I C O N I C S 公 司 的 O P C S e r v e r   A D 和 A E ）
收 集 到 情 报 以 b z i p 格 式 压 缩 ， 然 后 利 用 R S A E u r o 进 行 加 密 ， 最 后 保 存 为 . y l s 文 件 ， 放 置 于 机 器 的 临 时 文 件 夹 下 。 在 我 们 目 前 的 测 试 环 境 中 ， 这 一 . y l s 文 件 并 没 有 发 送 回 攻 击 者 那 里 。 （ 译 注 ： 从 后 面 生 成 的 t x t 文 件 来 看 ， 这 些 文 件 肯 定 传 回 过 C & C 服 务 器 ） 另 外 两 个 文 件 被 创 建 出 来 分 别 是 O P C S e r v e r 1 . t x t 和 O P C S e r v e r 2 . t x t ， 每 个 文 件 记 录 了 一 个 O P C S e r v e r 的 具 体 情 报 。 （ 译 注 ： 如 下 图 ， 文 件 中 记 录 了 O P C S e r v e r 中 的 较 为 详 细 的 信 息 ， 包 括 O P C S e r v e r 中 的 组 情 况 ， T a g 名 称 、 类 型 等 。 其 实 搞 工 业 控 制 的 人 ， 看 到 这 些 情 报 ， 通 过 T a g 数 量 就 能 大 概 的 推 断 出 工 厂 的 规 模 ， 另 外 就 是 某 些 个 T a g 可 能 会 很 敏 感 ， 对 这 一 数 据 值 进 行 强 行 修 改 的 话 可 能 会 产 生 对 控 制 系 统 运 行 非 常 严 重 的 后 果 。 另 外 就 是 某 些 厂 商 的 O P C S e r v e r 中 可 能 存 在 漏 洞 ， 通 过 I C S - C E R T 的 官 方 公 告 就 能 知 道 ， 利 用 这 些 已 知 的 、 未 知 的 漏 洞 可 以 进 一 步 侵 入 O P C S e r v e r ， 这 样 离 控 制 系 统 的 核 心 部 分 就 会 越 来 越 近 。 ）
小 小 结 结 H a v e x 背 后 的 攻 击 者 采 用 了 一 个 巧 妙 的 方 法 来 进 行 工 业 间 谍 活 动 ， 通 过 对 I C S / S C A D A 软 件 安 装 包 中 植 入 木 马 ， 是 一 种 访 问 目 标 系 统 很 有 效 的 方 法 ， 甚 至 能 够 入 侵 到 关 键 技 术 设 施 。 （ 译 注 ： O P C 协 议 主 要 是 流 程 工 业 上 用 的 比 较 多 ， 例 如 石 油 石 化 行 业 ， 这 也 是 为 什 么 说 H a v e x 是 针 对 能 源 行 业 了 ， 用 该 协 议 主 要 是 过 程 数 据 的 存 取 等 ， 这 是 过 程 控 制 的 范 畴 ， H a v e x 主 要 可 能 是 偷 取 数 据 情 报 为 目 的 。 例 如 ， 通 过 O P C 层 层 的 入 侵 ， 最 后 可 能 偷 取 到 过 程 控 制 中 的 控 制 方 案 或 者 说 是 配 方 ， 例 如 炼 油 厂 中 的 配 方 、 或 者 制 药 厂 中 的 配 方 等 。 S t u n e x 主 要 是 针 对 P L C 这 种 工 厂 控 制 ， 其 涉 及 到 的 协 议 可 能 是 M o d b u s 、 P r o f i b u s 等 偏 向 底 层 ， 主 要 实 现 对 于 控 制 系 统 底 层 终 端 的 控 制 。 例 如 阀 门 的 开 关 、 电 机 的 启 停 、 正 反 转 。 ） 原 文 地 址 ：
h t t p : / / w w w . f - s e c u r e . c o m / w e b l o g / a r c h i v e s / 0 0 0 0 2 7 1 8 . h t m l h t t p : / / b l o g . f o r t i n e t . c o m / H a v e x – M e e t - O P C - S e r v e r / 相 关 参 照 文 章 ： h t t p : / / w w w . c s m o n i t o r . c o m / W o r l d / S e c u r i t y - W a t c h / C y b e r - C o n f l i c t - M o n i t o r / 2 0 1 4 / 0 7 0 1 / A n - a n t i - U S - S t u x n e t - S t a r t l i n g - a t t a c k - a g a i n s t - i n d u s t r i a l - c o m p l e x - r e v e a l e d h t t p : / / w w w . d r i v e s n c o n t r o l s . c o m / n e w s / f u l l s t o r y . p h p / a i d / 4 4 9 8 / M a l w a r e _ t a r g e t s _ i n d u s t r i a l _ c o n t r o l s _ a n d _ O P C _ s e r v e r s . h t m l h t t p : / / t h r e a t p o s t . c o m / m o t i v e s - b e h i n d - h a v e x - i c s - m a l w a r e - c a m p a i g n - r e m a i n - a - m y s t e r y / 1 0 7 0 4 6 # c o m m e n t - 2 3 4 1 4 4 h t t p : / / w w w . c r o w d s t r i k e . c o m / s i t e s / a l l / t h e m e s / c r o w d s t r i k e 2 / c s s / i m g s / p l a t f o r m / C r o w d S t r i k e _ G l o b a l _ T h r e a t _ R e p o r t _ 2 0 1 3 . p d f h t t p : / / w w w . p c w o r l d . c o m / a r t i c l e / 2 3 6 7 2 4 0 / n e w - h a v e x - m a l w a r e - v a r i a n t s - t a r g e t - i n d u s t r i a l - c o n t r o l - s y s t e m - a n d - s c a d a - u s e r s . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理