搜索

[8854] 2015-04-21_FireEye：APT28利用0day漏洞组合向跨国政府机构发动针对性攻击

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2015-04-21_FireEye：APT28利用0day漏洞组合向跨国政府机构发动针对性攻击 F i r e E y e ： A P T 2 8 利 用 0 d a y 漏 洞 组 合 向 跨 国 政 府 机 构 发 动 针 对 性 攻 击 F r e e B u f   2 0 1 5 - 0 4 - 2 1 微 信 号 ： 微 信 号 ： f r e e b u f 火 眼 （ 火 眼 （ F i r e E y e ） 于 周 六 披 露 了 一 个 有 针 对 性 的 攻 击 活 动 ， 俄 罗 斯 威 胁 组 织 ） 于 周 六 披 露 了 一 个 有 针 对 性 的 攻 击 活 动 ， 俄 罗 斯 威 胁 组 织 A P T 2 8 利 用 利 用 2 个 个 0 d a y 漏 洞 入 侵 了 某 垂 直 行 业 漏 洞 入 侵 了 某 垂 直 行 业 跨 国 政 府 机 构 。 跨 国 政 府 机 构 。 A P T 2 8 ： 专 攻 军 事 机 构 和 情 报 部 门 ： 专 攻 军 事 机 构 和 情 报 部 门 A P T 2 8 组 织 成 员 都 是 高 级 开 发 人 员 和 黑 客 ， 主 要 搜 集 一 些 和 国 防 、 地 缘 政 治 有 关 的 情 报 ， 当 然 都 是 一 些 有 利 于 俄 罗 斯 方 面 的 情 报 。 该 组 织 发 动 的 攻 击 活 动 应 始 于 2 0 0 7 年 ， 而 火 眼 公 司 却 在 2 0 1 5 年 4 月 1 3 日 才 首 次 发 现 他 们 的 攻 击 活 动 。 此 次 攻 击 利 用 的 2 个 0 d a y 漏 洞 分 别 为 A d o b e   F l a s h   ( C V E - 2 0 1 5 - 3 0 4 3 )   和 微 软 W i n d o w s   C V E - 2 0 1 5 - 1 7 0 1 ： 前 者 之 前 已 经 被 修 复 ， 后 者 正 在 修 复 中 ， 值 得 一 提 的 是 这 些 漏 洞 对 W i n d o w s   8 及 其 之 后 的 版 本 没 有 影 响 。 F i r e E y e 断 定 此 次 攻 击 者 为 断 定 此 次 攻 击 者 为 A P T 2 8 通 过 对 此 次 攻 击 活 动 的 中 使 用 的 攻 击 技 术 和 C & C 基 础 设 施 的 分 析 ， 可 以 推 测 幕 后 一 定 是 A P T 2 8 （ 也 被 称 之 为 O p e r a t i o n R u s s i a n D o l l ） 。 C V E - 2 0 1 5 - 3 0 4 3 漏 洞 利 用 程 序 会 释 放 一 个 恶 意 程 序 变 种 ， 其 特 性 与 A P T 2 8 的 C H O P S T I C K 后 门 、   C O R E S H E L L 恶 意 程 序 家 族 很 类 似 ， 所 以 F i r e E y e 研 究 人 员 断 定 此 次 攻 击 的 幕 后 操 作 者 一 定 是 A P T 2 8 。 “ 新 p a y l o a d 使 用 的 C 2 地 址 为 8 7 . 2 3 6 . 2 1 5 [ . ] 2 4 6 ， 而 A P T 2 8 的 一 个 s s l - i c l o u d [ . ] c o m 域 名 也 是 使 用 的 这 个 C 2 地 址 。 ” 具 体 报 告 细 节 请 点 击 最 下 方 的 “ 阅 读 原 文 ” 查 看 攻 击 过 程 攻 击 过 程 尽 管 黑 客 利 用 了 2 个 0 d a y 漏 洞 ， 但 他 们 还 是 没 能 成 功 入 侵 到 目 标 组 织 中 。 火 眼 公 司 称 他 们 及 时 发 现 了 该 漏 洞 的 植 入 过 程 ， 所
以 该 攻 击 行 为 就 被 成 功 制 止 了 。 攻 击 过 程 如 下 ： 1 . 用 户 访 问 受 攻 击 者 控 制 的 恶 意 网 站 2 . H T M L / J S 启 动 页 面 带 有 漏 洞 的 F l a s h 3 . F l a s h 触 发 C V E - 2 0 1 5 - 3 0 4 3 漏 洞 ， 执 行 s h e l l c o d e 4 . S h e l l c o d e 下 载 并 运 行 p a y l o a d 5 . P a y l o a d 利 用 本 地 权 限 提 升 漏 洞 C V E - 2 0 1 5 - 1 7 0 1 窃 取 系 统 令 牌 攻 击 难 度 高 ， 防 御 相 对 容 易 攻 击 难 度 高 ， 防 御 相 对 容 易 虽 然 微 软 还 未 修 复 C V E - 2 0 1 5 - 1 7 0 1 漏 洞 ， 但 该 攻 击 的 成 功 实 施 必 须 通 过 C V E - 2 0 1 5 - 1 7 0 1 和 C V E - 2 0 1 5 - 3 0 4 3 合 作 才 能 完 成 ， 所 以 你 只 需 更 新 C V E - 2 0 1 5 - 3 0 4 3 同 样 也 可 以 避 免 。 另 外 ， 如 果 攻 击 者 想 利 用 C V E - 2 0 1 5 - 1 7 0 1 漏 洞 ， 他 们 必 须 先 在 受 害 者 设 备 上 执 行 恶 意 代 码 。 但 怎 样 才 能 获 得 授 权 在 受 害 者 设 备 上 执 行 代 码 呢 ？ 这 就 需 要 另 辟 蹊 径 了 ， 比 如 ， 创 建 一 个 新 的 F l a s h 漏 洞 利 用 程 序 ， 释 放 一 个 新 的 C V E - 2 0 1 5 - 1 7 0 1 p a y l o a d 。 A P T 2 8 与 俄 罗 斯 政 府 有 关 吗 ？ 与 俄 罗 斯 政 府 有 关 吗 ？ A P T 2 8 真 的 和 俄 罗 斯 政 府 有 关 系 吗 ？ T r e n d   M i c r o 的 高 级 威 胁 研 究 员   F e i k e   H a c q u e b o r d 认 为 ： “ 我 们 发 现 这 个 小 组 会 攻 击 俄 罗 斯 异 见 分 子 、 反 政 府 人 员 、 乌 克 兰 激 进 分 子 和 军 方 。 从 这 些 信 息 上 看 A P T 2 8 可 能 与 俄 罗 斯 政 府 有 关 联 。 ” *   参 考 来 源 s e c u r i t y w e e k ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理