搜索

[8530] 2014-12-25_高潮不断：攻击索尼的“格盘病毒”又重创了韩国核电站

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-17
2014-12-25_高潮不断：攻击索尼的“格盘病毒”又重创了韩国核电站 高 潮 不 断 ： 攻 击 索 尼 的 “ 格 盘 病 毒 ” 又 重 创 了 韩 国 核 电 站 F r e e B u f   2 0 1 4 - 1 2 - 2 5 1 2 月 月 2 1 日 ， 一 名 黑 客 通 过 日 ， 一 名 黑 客 通 过 T w i t t e r 向 韩 国 水 电 与 核 电 公 司 发 出 严 重 警 告 ， 要 求 官 方 立 即 停 止 运 行 核 电 站 。 同 时 黑 客 还 向 韩 国 水 电 与 核 电 公 司 发 出 严 重 警 告 ， 要 求 官 方 立 即 停 止 运 行 核 电 站 。 同 时 黑 客 还 公 开 了 包 括 两 座 核 电 站 部 分 设 计 图 在 内 的 公 开 了 包 括 两 座 核 电 站 部 分 设 计 图 在 内 的 4 份 压 缩 档 案 。 值 得 一 提 的 是 ， 这 次 事 件 中 所 用 的 木 马 竟 然 又 是 份 压 缩 档 案 。 值 得 一 提 的 是 ， 这 次 事 件 中 所 用 的 木 马 竟 然 又 是 “ 格 盘 病 格 盘 病 毒 毒 ” — — M B R   W i p e r 。 。 为 什 么 又 用 ？ 因 为 前 不 久 闹 得 沸 沸 扬 扬 的 针 对 索 尼 影 视 的 为 什 么 又 用 ？ 因 为 前 不 久 闹 得 沸 沸 扬 扬 的 针 对 索 尼 影 视 的 攻 击 攻 击 中 ， 黑 客 使 用 的 正 是 中 ， 黑 客 使 用 的 正 是 “ 格 盘 病 毒 格 盘 病 毒 ” 。 那 么 究 竟 这 两 起 事 。 那 么 究 竟 这 两 起 事 件 之 间 有 没 有 关 联 呢 ？ 件 之 间 有 没 有 关 联 呢 ？ 格 盘 病 毒 是 如 何 感 染 计 算 机 的 格 盘 病 毒 是 如 何 感 染 计 算 机 的 在 这 次 韩 国 核 电 站 黑 客 攻 击 事 件 中 ， 攻 击 者 使 用 了 一 款 病 毒 （ 恶 意 软 件 ） ， 该 病 毒 会 擦 除 感 染 机 器 的 主 引 导 记 录 ( M B R ) ， 因 此 我 们 称 它 为 “ 格 盘 病 毒 ” 。 “ 格 盘 病 毒 ” 是 通 过 文 杰 文 字 处 理 软 件 ( H a n g u l   W o r d   P r o c e s s o r , H W P ) 感 染 电 脑 的 。 文 杰 O f f i c e 是 由 韩 软 公 司 （ H a n s o f t ） 开 发 的 类 似 微 软 O f f i c e 的 一 套 软 件 ， 在 韩 国 的 占 有 率 很 高 。 为 了 让 受 害 者 打 开 这 些 文 件 ， 攻 击 者 使 用 了 大 量 的 社 会 工 程 学 技 巧 。 以 下 就 是 从 受 害 者 收 到 鱼 叉 式 钓 鱼 邮 件 开 始 的 一 连 串 攻 击 过 程 。 病 毒 行 为 病 毒 行 为 趋 势 科 技 将 M B R   w i p e r 病 毒 识 别 为 T R O J _ W H A I M . A 。 除 了 修 改 M B R ， 它 还 会 覆 盖 特 定 类 型 的 文 件 。 它 将 自 己 伪 装 成 系 统 服 务 ， 确 保 每 次 重 启 都 能 正 常 运 行 。 它 使 用 真 实 存 在 的 系 统 服 务 所 使 用 的 文 件 名 、 服 务 名 和 服 务 描 述 ， 不 细 看 可 能 察 觉 不 到 异 常 ， 以 此 规 避 检 测 。
图 1 ： 病 毒 所 使 用 的 服 务 名 称 多 次 攻 击 间 的 异 同 多 次 攻 击 间 的 异 同 这 次 核 电 站 遭 到 的 “ 格 盘 病 毒 ” M B R 攻 击 虽 然 罕 见 ， 但 似 曾 相 识 。 2 0 1 3 年 3 月 的 几 次 针 对 多 个 韩 国 政 府 部 门 的 攻 击 中 ， 我 们 也 看 到 过 M B R 覆 盖 。 这 次 攻 击 中 所 使 用 的 恶 意 软 件 同 样 覆 盖 M B R 引 导 记 录 ， 它 会 使 用 一 系 列 “ P R I N C P E S ” , “ H A S T A T I ” 或 者 “ P R ! N C P E S ” 字 符 串 覆 盖 M B R 。 这 次 的 攻 击 与 之 前 的 攻 击 是 有 相 似 之 处 ： 三 次 的 这 次 的 攻 击 与 之 前 的 攻 击 是 有 相 似 之 处 ： 三 次 的 M B R 攻 击 中 ， 恶 意 软 件 使 用 了 字 符 串 不 断 重 复 覆 盖 攻 击 中 ， 恶 意 软 件 使 用 了 字 符 串 不 断 重 复 覆 盖 M B R 。 在 韩 国 。 在 韩 国 核 电 站 攻 击 中 ， 黑 客 重 复 了 核 电 站 攻 击 中 ， 黑 客 重 复 了 “ W h o   A m   I ? ” 字 符 串 ， 而 在 索 尼 攻 击 事 件 中 重 复 的 是 字 符 串 ， 而 在 索 尼 攻 击 事 件 中 重 复 的 是 “ 0 x A A A A A A A A ” 。 。 图 2 ： 感 染 的 机 器 启 动 时 看 到 的 ‘ W h o   A m   I ’ 信 息 与 朝 鲜 有 关 ？ 与 朝 鲜 有 关 ？ 针 对 索 尼 影 业 的 黑 客 攻 击 被 指 是 因 为 讽 刺 朝 鲜 的 电 影 《 刺 杀 金 正 恩 》 。 虽 然 我 们 不 能 够 确 定 这 种 观 点 的 真 实 性 ， 但 在 这 次 攻 击 中 我 们 发 现 了 与 之 相 似 的 地 方 。 我 们 注 意 到 某 个 T w i t t e r 账 户 向 韩 国 核 电 站 传 达 指 令 ， 如 果 不 满 足 他 们 的 要 求 ， 就 要 发 布 窃 取 到 的 核 电 公 司 的 文 件 。 黑 客 其 中 的 一 个 要 求 就 是 关 闭 核 电 站 （ 韩 国 2 9 % 的 电 力 是 由 核 电 站 提 供 的 ） 。 尚 未 有 确 切 归 因 尚 未 有 确 切 归 因
虽 然 最 近 这 几 起 攻 击 中 有 非 常 明 显 的 相 似 之 处 ， 但 我 们 还 是 不 能 肯 定 三 次 攻 击 的 幕 后 主 使 就 一 定 有 关 联 。 索 尼 安 全 事 件 被 媒 体 广 泛 报 道 ， 所 以 也 有 可 能 导 致 一 个 攻 击 事 件 “ 引 发 ” 了 新 的 攻 击 ， 他 们 不 一 定 是 有 关 联 的 。 这 些 攻 击 中 ， M B R   w i p e r 病 毒 越 来 越 显 眼 ， 一 个 深 度 防 御 的 网 络 应 该 要 把 这 些 威 胁 考 虑 进 去 了 。 1 2 月 月 2 3 日 更 新 日 更 新 在 随 后 的 调 查 分 析 中 我 们 发 现 ， “ 格 盘 病 毒 ” 中 的 恶 意 进 程 T R O J _ W H A I M . A 会 检 查 系 统 时 间 是 不 是 晚 于 2 0 1 4 年 年 1 2 月 月 1 0 日 日 1 1 : 0 0   A M ， 如 果 是 ， 它 就 会 把 注 册 表 中 的 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E P c a S v c c f i n i s h 值 设 为 1 ， 然 后 开 始 覆 盖 M B R ； 如 果 不 是 ， 它 会 等 一 分 钟 ， 然 后 再 检 查 。 所 以 除 了 M B R 这 个 相 似 点 以 外 ， 另 一 个 与 2 0 1 3 年 3 月 事 件 相 似 的 地 方 在 于 程 序 的 “ 定 时 炸 弹 ” 功 能 ， 即 检 查 系 统 时 间 ， 一 旦 到 了 某 个 时 间 ， 就 开 始 运 行 。 [ 参 考 来 源 参 考 来 源 T r e n d M i c r o ， 译 ， 译 / S p h i n x ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理