搜索

[8976] 2015-05-29_“海莲花”APT报告：攻击中国政府海事机构的网络空间威胁

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-17
2015-05-29_“海莲花”APT报告：攻击中国政府海事机构的网络空间威胁 “ 海 莲 花 ” A P T 报 告 ： 攻 击 中 国 政 府 海 事 机 构 的 网 络 空 间 威 胁 F r e e B u f   2 0 1 5 - 0 5 - 2 9 微 信 号 ： 微 信 号 ： f r e e b u f 摘 要 ： 摘 要 ： *   2 0 1 2 年 4 月 起 ， 有 境 外 黑 客 组 织 对 中 国 政 府 、 科 研 院 所 、 海 事 机 构 、 海 域 建 设 、 航 运 企 业 等 相 关 重 要 领 域 展 开 了 有 组 织 、 有 计 划 、 有 针 对 性 的 长 时 间 不 间 断 攻 击 。 我 们 将 其 命 名 为 O c e a n L o t u s 。 *   该 组 织 主 要 通 过 鱼 叉 攻 击 和 水 坑 攻 击 等 方 法 ， 配 合 多 种 社 会 工 程 学 手 段 进 行 渗 透 ， 向 境 内 特 定 目 标 人 群 传 播 特 种 木 马 程 序 ， 秘 密 控 制 部 分
政 府 人 员 、 外 包 商 和 行 业 专 家 的 电 脑 系 统 ， 窃 取 系 统 中 相 关 领 域 的 机 密 资 料 。 *   现 已 捕 获 O c e a n L o t u s 特 种 木 马 样 本 1 0 0 余 个 ， 感 染 者 遍 布 国 内 2 9 个 省 级 行 政 区 和 境 外 的 3 6 个 国 家 。 其 中 ， 9 2 . 3 % 的 感 染 者 在 中 国 。 北 京 、 天 津 是 国 内 感 染 者 最 多 的 两 个 地 区 。 *   为 了 隐 蔽 行 踪 ， 该 组 织 还 至 少 先 后 在 6 个 国 家 注 册 了 C 2 （ 也 称 C & C ， 是 C o m m a n d   a n d   C o n t r o l 的 缩 写 ） 服 务 器 域 名 3 5 个 ， 相 关 服 务 器 I P 地 址 1 9 个 ， 服 务 器 分 布 在 全 球 1 3 个 以 上 的 不 同 国 家 。 *   2 0 1 4 年 2 月 以 后 ， O c e a n L o t u s 进 入 攻 击 活 跃 期 ， 并 于 2 0 1 4 年 5 月 发 动 了 最 大 规 模 的 一 轮 鱼 叉 攻 击 ， 大 量 受 害 者 因 打 开 带 毒 的 邮 件 附 件 而 感 染 特 种 木 马 。 而 在 2 0 1 4 年 5 月 、 9 月 ， 以 及 2 0 1 5 年 1 月 ， 该 组 织 又 对 多 个 政 府 机 构 、 科 研 院 所 和 涉 外 企 业 的 网 站 进 行 篡 改 和 挂 马 ， 发 动 了 多 轮 次 、 有 针 对 性 的 水 坑 攻 击 。 *   O c e a n L o t u s 先 后 使 用 了 4 种 不 同 形 态 的 特 种 木 马 。 初 期 的 O c e a n L o t u s 特 种 木 马 技 术 并 不 复 杂 ， 比 较 容 易 发 现 和 查 杀 。 但 到 了 2 0 1 4 年 以 后 ， O c e a n L o t u s 特 种 木 马 开 始 采 用 包 括 文 件 伪 装 、 随 机 加 密 和 自 我 销 毁 等 一 系 列 复 杂 的 攻 击 技 术 与 安 全 软 件 进 行 对 抗 ， 查 杀 和 捕 捉 的 难 度 大 大 增 加 。 而 到 了 2 0 1 4 年 1 1 月 以 后 ， O c e a n L o t u s 特 种 木 马 开 始 使 用 云 控 技 术 ， 攻 击 的 危 险 性 、 不 确 定 性 与 木 马 识 别 查 杀 的 难 度 都 大 大 增 强 。 *   O c e a n L o t u s 组 织 的 攻 击 周 期 之 长 （ 持 续 3 年 以 上 ） 、 攻 击 目 标 之 明 确 、 攻 击 技 术 之 复 杂 、 社 工 手 段 之 精 准 ， 都 说 明 该 组 织 绝 非 一 般 的 民 间 黑 客 组 织 ， 而 很 有 可 能 是 具 有 国 外 政 府 支 持 背 景 的 、 高 度 组 织 化 的 、 专 业 化 的 境 外 国 家 级 黑 客 组 织 。 关 键 词 ： 关 键 词 ： O c e a n L o t u s 、 A P T 、 鱼 叉 攻 击 、 水 坑 攻 击
第 一 章 第 一 章   O c e a n L o t u s 概 述 概 述 2 0 1 2 年 4 月 起 至 今 ， 某 境 外 黑 客 组 织 对 中 国 政 府 、 科 研 院 所 、 海 事 机 构 、 海 域 建 设 、 航 运 企 业 等 相 关 重 要 领 域 展 开 了 有 组 织 、 有 计 划 、 有 针 对 性 的 长 时 间 不 间 断 攻 击 。 该 组 织 主 要 通 过 鱼 叉 攻 击 和 水 坑 攻 击 等 方 法 ， 配 合 多 种 社 会 工 程 学 手 段 进 行 渗 透 ， 向 境 内 特 定 目 标 人 群 传 播 特 种 木 马 程 序 ， 秘 密 控 制 部 分 政 府 人 员 、 外 包 商 和 行 业 专 家 的 电 脑 系 统 ， 窃 取 系 统 中 相 关 领 域 的 机 密 资 料 。 根 据 该 组 织 的 某 些 攻 击 特 点 ， 我 们 将 其 命 名 为 O c e a n L o t u s 。 目 前 已 经 捕 获 的 与 O c e a n L o t u s 相 关 的 第 一 个 特 种 木 马 出 现 在 2 0 1 2 年 4 月 。 在 此 后 的 3 年 中 ， 我 们 又 先 后 捕 获 了 与 该 组 织 相 关 的 4 种 不 同 形 态 的 特 种 木 马 程 序 样 本 1 0 0 余 个 ， 这 些 木 马 的 感 染 者 遍 布 国 内 2 9 个 省 级 行 政 区 和 境 外 的 3 6 个 国 家 。 此 外 ， 为 了 隐 蔽 行 踪 ， 该 组 织 还 至 少 先 后 在 6 个 国 家 注 册 了 用 于 远 程 控 制 被 感 染 者 的 C 2 （ 也 称 C & C ， 是 C o m m a n d   a n d   C o n t r o l 的 缩 写 ） 服 务 器 域 名 3 5 个 ， 相 关 服 务 器 I P 地 址 1 9 个 ， 服 务 器 分 布 在 全 球 1 3 个 以 上 的 不 同 国 家 。 通 过 对 O c e a n L o t u s 组 织 数 年 活 动 情 况 的 跟 踪 与 取 证 ， 我 们 已 经 确 认 了 大 量 的 受 害 者 。 下 图 为 2 0 1 4 年 2 月 至 今 ， 全 球 每 月 感 染 O c e a n L o t u s 特 种 木 马 的 电 脑 数 量 趋 势 分 布 。 从 地 域 分 布 上 看 ， O c e a n L o t u s 特 种 木 马 的 境 内 感 染 者 占 全 球 感 染 总 量 的 9 2 . 3 % 。 而 在 境 内 感 染 者 中 ， 北 京 地 区 最 多 ， 占 2 2 . 7 % ， 天 津 次 之 ， 为 1 5 . 5 % 。
下 图 为 境 内 O c e a n L o t u s 特 种 木 马 感 染 者 数 量 地 域 分 布 图 。 技 术 分 析 显 示 ， 初 期 的 O c e a n L o t u s 特 种 木 马 技 术 并 不 复 杂 ， 比 较 容 易 发 现 和 查 杀 。 但 到 了 2 0 1 4 年 以 后 ， O c e a n L o t u s 特 种 木 马 开 始 采 用 包 括 文 件 伪 装 、 随 机 加 密 和 自 我 销 毁 等 一 系 列 复 杂 的 攻 击 技 术 与 安 全 软 件 进 行 对 抗 ， 查 杀 和 捕 捉 的 难 度 大 大 增 加 。 而 到 了 2 0 1 4 年 1 1 月 以 后 ， O c e a n L o t u s 特 种 木 马 开 始 转 向 云 控 技 术 ， 攻 击 的 危 险 性 、 不 确 定 性 与 木 马 识 别 查 杀 的 难 度 都 大 大 增 强 。 综 合 来 看 ， O c e a n L o t u s 组 织 的 攻 击 周 期 之 长 （ 持 续 3 年 以 上 ） 、 攻 击 目 标 之 明 确 、 攻 击 技 术 之 复 杂 、 社 工 手 段 之 精 准 ， 都 说 明 该 组 织 绝 非 一 般 的 民 间 黑 客 组 织 ， 而 很 有 可 能 是 具 有 国 外 政 府 支 持 背 景 的 、 高 度 组 织 化 的 、 专 业 化 的 境 外 国 家 级 黑 客 组 织 。 第 二 章 第 二 章   O c e a n L o t u s 攻 击 手 法 攻 击 手 法 一 、 攻 击 手 法 概 述 一 、 攻 击 手 法 概 述 O c e a n L o t u s 主 要 使 用 两 类 攻 击 手 法 : 一 类 是 鱼 叉 攻 击 ， 一 类 是 水 坑 攻 击 。 鱼 叉 攻 击 （ 鱼 叉 攻 击 （ S p e a r   P h i s h i n g ） ） 是 针 对 特 定 组 织 的 网 络 欺 诈 行 为 ， 目 的 是 不 通 过 授 权 访 问 机 密 数 据 ， 最 常 见 的 方 法 是 将 木 马 程 序 作 为 电 子 邮 件 的 附 件 发 送 给 特 定 的 攻 击 目 标 ， 并 诱 使 目 标 打 开 附 件 。 水 坑 攻 击 （ 水 坑 攻 击 （ W a t e r   H o l i n g ） ） 是 指 黑 客 通 过 分 析 攻 击 目 标 的 网 络 活 动 规 律 ， 寻 找 攻 击 目 标 经 常 访 问 的 网 站 的 弱 点 ， 先 攻 下 该 网 站 并 植 入 攻 击 代 码 ， 等 待 攻 击 目 标 访 问 该 网 站 时 实 施 攻 击 。 下 图 给 出 了 O c e a n L o t u s 使 用 鱼 叉 攻 击 和 水 坑 攻 击 的 基 本 方 法 。 从 目 前 受 害 者 遭 到 攻 击 的 情 况 看 ， 鱼 叉 攻 击 占 5 8 . 6 % ， 水 坑 攻 击 占 4 1 . 4 % 。
下 图 给 出 了 因 鱼 叉 攻 击 或 水 坑 攻 击 而 感 染 O c e a n L o t u s 特 种 木 马 的 电 脑 数 量 历 史 分 布 。 从 图 中 可 以 看 出 ， 鱼 叉 攻 击 的 最 高 峰 出 现 在 2 0 1 4 年 5 月 ， 而 水 坑 攻 击 的 最 高 峰 出 现 在 2 0 1 5 年 1 月 。 此 外 ， 2 0 1 4 年 5 月 和 2 0 1 4 年 9 月 也 是 两 个 水 坑 攻 击 的 高 峰 期 。 鱼 叉 攻 击 鱼 叉 攻 击 O c e a n L o t u s 组 织 会 非 常 有 针 对 性 地 挑 选 目 标 机 构 ， 并 收 集 目 标 机 构 人 员 的 邮 箱 信 息 ， 再 通 过 向 这 些 邮 箱 中 投 递 恶 意 邮 件 实 现 定 向 攻 击 。 当 受 害 者 不 小 心 点 击 执 行 邮 件 附 件 后 ， 电 脑 就 会 感 染 O c e a n L o t u s 特 种 木 马 ， 木 马 与 C 2 服 务 器 相 连 接 后 ， 用 户 系 统 由 此 就 落 入 O c e a n L o t u s 组 织 的 控 制 网 络 中 。 监 测 显 示 ， 从 2 0 1 4 年 2 月 至 今 ， O c e a n L o t u s 的 鱼 叉 攻 击 始 终 没 有 停 止 ， 每 个 月 都 有 新 的 受 害 者 增 加 。 在 O c e a n L o t u s 用 于 进 行 鱼 叉 攻 击 的 邮 件 中 （ 以 下 简 称 “ 鱼 叉 邮 件 ” ） ， 附 件 通 常 是 使 用 M i c r o s o f t   W o r d 程 序 图 标 的 . e x e 可 执 行 文 件 ， 为 了 提 高 攻 击 的 成 功 率 ， 攻 击 者 通 常 会 采 用 当 前 热 点 事 件 或 关 乎 用 户 自 身 利 益 的 话 题 为 文 件 名 ， 甚 至 有 的 文 件 名 与 所 攻 击 的 目 标 机 构 看 起 来 有 密 切 关 联 ， 形 成 非 常 显 著 的 定 向 A P T 攻 击 的 特 征 。 以 下 是 两 个 具 体 的 例 子 ： 1 ） 新 疆 乌 鲁 木 齐 暴 恐 事 件 相 关 鱼 叉 邮 件 2 0 1 4 年 5 月 2 2 日 ， 中 国 新 疆 乌 鲁 木 齐 发 生 了 暴 恐 事 件 。 而 5 月 2 8 日 ， 我 们 就 捕 获 到 了 一 个 名 为 “ 最 新 新 疆 暴 动 照 片 与 信 . j p g . e x e ” 的 钓 鱼 文 件 通 过 电 子 邮 箱 进 行 发 送 。 2 ） 公 务 员 工 资 改 革 相 关 内 容 鱼 叉 邮 件 2 0 1 4 年 至 2 0 1 5 年 间 ， 中 国 政 府 出 台 了 《 公 务 员 工 资 改 革 新 方 案 》 ， 该 方 案 直 接 影 响 政 府 机 关 从 业 人 员 。 中 国 约 有 7 0 0 多 万 公 务 员 ， 公 务 员 工 资 改 革 很 长 一 段 时 间 内 ， 是 政 府 机 关 人 员 舆 论 的 热 点 话 题 。 2 0 1 4 年 9 月 9 日 ， 我 们 截 获 名 为 “ 工 资 制 度 以 及 特 殊 津 贴 . e x e ” 的 恶 意 邮 件 附 件 ； 2 0 1 4 年 1 1 月 5 日 ， 我 们 又 截 获 名 为 “ 工 资 待 遇 政 策 的 通 知 . e x e ” 的 恶 意 邮 件 附 件 。 在 此 期 间 ， 还 有 其 他 类 似 的 恶 意 邮 件 附 件 被 截 获 。 而 分 析 显 示 ， 这 些 邮 件 全 部 为
O c e a n L o t u s 组 织 向 政 府 工 作 人 员 投 递 的 鱼 叉 邮 件 。 通 过 不 间 断 地 对 该 组 织 的 鱼 叉 邮 件 进 行 跟 踪 分 析 ， 据 最 近 的 统 计 数 据 显 示 ， O c e a n L o t u s 组 织 最 常 使 用 的 附 件 存 在 一 定 的 规 律 ： 邮 件 内 容 和 附 件 的 命 名 与 海 洋 相 关 企 事 业 机 构 建 设 、 海 洋 资 源 、 中 国 的 党 政 机 关 、 科 研 院 所 等 密 切 关 联 ， 部 分 文 件 列 表 如 下 （ 有 关 机 构 名 称 及 敏 感 内 容 用 “ * ” 代 替 ） ： 一 些 特 种 木 马 的 恶 意 样 本 之 所 以 会 使 用 很 长 的 文 件 名 ， 一 个 重 要 的 原 因 是 利 用 W i n d o w s 的 文 件 名 显 示 机 制 使 文 件 后 缀 “ . e x e ” 不 会 自 动 被 显 示 出 来 。 所 以 ， 对 于 绝 大 多 数 文 件 接 受 者 来 说 ， 即 使 电 脑 系 统 设 置 为 显 示 文 件 后 缀 名 ， 也 很 有 可 能 因 为 文 件 名 过 长 而 使 文 件 后 缀 名 不 能 正 常 显 示 。 统 计 还 显 示 ， O c e a n L o t u s 发 动 的 鱼 叉 攻 击 也 具 有 很 强 的 时 间 性 和 周 期 性 。 在 一 周 7 天 中 ， 工 作 日 ， 即 星 期 一 至 星 期 五 截 获 的 鱼 叉 攻 击 数 量 较 多 ， 而 周 末 截 获 的 鱼 叉 攻 击 数 量 则 往 往 不 及 工 作 日 的 1 / 5 。 水 坑 攻 击 水 坑 攻 击 O c e a n L o t u s 组 织 在 设 置 水 坑 时 ， 主 要 采 用 两 类 方 式 ： 一 是 入 侵 与 目 标 相 关 的 W e b 应 用 系 统 ， 替 换 正 常 文 件 或 引 诱 下 载 伪 造 的 正 常 应 用 升 级 包 ， 以 实 现 在 目 标 用 户 系 统 上 执 行 恶 意 代 码 的 目 的 ； 二 是 入 侵 与 目 标 相 关 的 W e b 应 用 系 统 后 ， 篡 改 其 中 链 接 ， 使 其 指 向 O c e a n L o t u s 设 置 的 恶 意 网 址 ， 并 在 指 向 的 恶 意 网 址 上 设 置 木 马 下 载 链 接 。 为 了 避 免 暴 露 ， O c e a n L o t u s 发 动 水 坑 攻 击 的 持 续 周 期 一 般 很 短 ， 通 常 是 在 3 - 5 天 之 内 ， 几 天 之 后 攻 击 完 成 ， O c e a n L o t u s 就 会 将 篡 改 的 内 容 删 除 或 恢 复 ， 将 设 置 的 水 坑 陷 阱 填 平 。 因 此 ， 通 常 来 说 ， 想 要 事 后 复 原 水 坑 攻 击 的 现 场 比 较 困 难 。 下 面 是 通 过 技 术 手 段 恢 复 的 两 个 O c e a n L o t u s 组 织 设 置 的 典 型 水 坑 案 例 。 1 ） 水 坑 A O c e a n L o t u s 组 织 首 先 通 过 渗 透 入 侵 的 攻 击 方 式 非 法 获 得 某 机 构 的 文 档 交 流 服 务 器 的 控 制 权 ， 接 着 ， 在 服 务 器 后 台 对 网 站 上 的 “ 即 时 通 ” 和 “ 证 书 驱 动 ” 两 款 软 件 的 正 常 安 装 文 件 捆 绑 了 自 己 的 木 马 程 序 ， 之 后 ， 当 有 用 户 下 载 并 安 装 即 时 通 或 证 书 驱 动 软 件 时 ， 木 马 就 有 机 会 得 到 执 行 。 攻 击 者 还 在 被 篡 改 的 服 务 器 页 面 中 插 入 了 恶 意 的 脚 本 代 码 ， 用 户 访 问 网 站 时 ， 会 弹 出 提 示 更 新 F l a s h 软 件 ， 但 实 际 提 供 的 是 伪 装 成 F l a s h 升 级 包 的 恶 意 程 序 ， 用 户 如 果 不 慎 下 载 执 行 就 会 中 招 。 下 图 为 用 户 访 问 该 水 坑 站 点 时 ， 攻 击 者 的 J S 代 码 生 成 的 提 示 用 户 下 载 执 行 伪 造 F l a s h 升 级 包 的 页 面 。
该 组 织 的 专 业 之 处 还 体 现 在 ， 水 坑 攻 击 会 识 别 访 问 来 源 的 操 作 系 统 平 台 ， 并 根 据 客 户 端 返 回 的 系 统 信 息 ， 返 回 针 对 不 同 平 台 的 恶 意 代 码 。 在 W i n d o w s 平 台 下 我 们 使 用 不 同 的 浏 览 器 访 问 该 页 面 都 会 提 示 下 载 名 为 “ i n s t a l l _ f l a s h p l a y e r . e x e ” 的 更 新 文 件 ； 当 操 作 系 统 为 M a c O S 时 ， 水 坑 则 向 S a f a r i 浏 览 器 推 送 能 在 M A C   O S 环 境 中 运 行 的 恶 意 更 新 程 序 “ i n s t a l l _ f l a s h p l a y e r _ m a c . z i p ” 。 2 ） 水 坑 B 被 入 侵 的 网 站 是 一 个 政 府 站 点 ， 主 要 面 向 海 洋 相 关 研 究 类 人 员 、 专 家 提 供 文 献 下 载 、 研 究 项 目 发 稿 和 相 关 时 事 通 告 等 功 能 。 O c e a n L o t u s 组 织 入 侵 网 站 以 后 修 改 了 网 站 的 程 序 ， 在 用 户 访 问 公 告 信 息 时 会 被 重 定 向 到 一 个 攻 击 者 控 制 的 网 站 ， 提 示 下 载 某 个 看 起 来 是 新 闻 的 文 件 ， 比 如 在 新 疆 5 2 2 暴 恐 事 件 的 第 二 天 网 站 就 提 示 和 暴 恐 事 件 相 关 的 新 闻 ， 并 提 供 “ 乌 鲁 木 齐 7 时 5 0 分 发 生 爆 炸 致 多 人 伤 亡 . r a r ” 压 缩 包 给 用 户 下 载 ， 而 该 压 缩 包 文 件 内 含 的 就 是 O c e a n L o t u s 组 织 的 特 种 木 马 。 在 该 政 府 网 站 上 ， 当 用 户 点 击 某 个 通 告 链 接 时 会 提 示 文 件 下 载 ， 如 下 图 ： 提 示 框 中 的 d o w n l o a d . m a i l - a t t a c h . n e t 为 组 织 控 制 的 服 务 器 ， 将 下 载 的 “ 乌 鲁 木 齐 7 时 5 0 分 发 生 爆 炸 致 多 人 伤 亡 . r a r ” 压 缩 包 文 件 解 压 后 ， 可 以 看 到 文 件 夹 内 包 含 显 示 为 J P G 图 片 图 标 的 e x e 可 执 行 文 件 。 若 此 时 目 标 用 户 点 击 该 文 件 ， 系 统 就 会 被 感 染 。 如 下 为 部 分 下 载 回 来 的 文 件 列 表 ： 与 此 同 时 ， 在 该 服 务 器 水 坑 文 件 同 级 目 录 下 还 发 现 存 放 了 部 分 用 于 鱼 叉 攻 击 的 恶 意 代 码 ， 证 实 了 这 起 水 坑 攻 击 与 之 前 提 及 的 鱼 叉 攻 击 为 同 一 组 织 发 起 。 如 下 是 部 分 文 件 列 表 ：
通 过 对 该 组 织 水 坑 式 攻 击 手 法 的 跟 踪 分 析 ， 发 现 该 组 织 如 果 有 机 会 入 侵 与 目 标 相 关 的 服 务 器 ， 就 会 尽 可 能 替 换 服 务 器 上 可 能 被 下 载 的 正 常 程 序 ， 诱 骗 用 户 下 载 并 执 行 伪 造 的 应 用 升 级 包 。 下 表 为 部 分 水 坑 服 务 器 中 出 现 的 恶 意 文 件 ： 从 目 前 截 获 O c e a n L o t u s 发 动 的 水 坑 攻 击 的 情 况 来 看 ， 每 周 的 周 一 和 周 二 感 染 者 数 量 最 多 。 分 析 认 为 ， 这 可 能 是 因 为 攻 击 者 认 真 研 究 了 政 府 和 科 研 机 构 等 工 作 人 员 的 上 网 习 惯 。 由 于 水 坑 攻 击 容 易 将 组 织 信 息 泄 漏 ， 因 此 ， O c e a n L o t u s 每 发 动 一 次 水 坑 攻 击 的 周 期 一 般 都 不 会 超 过 3 天 。 而 如 果 要 使 3 天 的 攻 击 更 加 有 效 ， 就 需 要 考 虑 攻 击 目 标 会 在 一 周 中 的 哪 些 天 更 容 易 访 问 水 坑 网 站 。 由 于 中 国 政 府 和 研 究 机 构 的 工 作 人 员 往 往 有 在 星 期 一 、 二 登 录 办 公 系 统 查 询 重 大 内 部 新 闻 和 通 知 的 习 惯 ， 所 以 在 一 周 的 前 两 天 发 动 水 坑 攻 击 ， 效 果 相 对 更 好 。 二 、 域 名 变 换 二 、 域 名 变 换 为 了 隐 藏 自 己 的 真 实 身 份 ， O c e a n L o t u s 组 织 经 常 变 换 下 载 服 务 器 和 C 2 服 务 器 的 域 名 和 I P 。 统 计 显 示 ， 在 过 去 的 3 年 中 ， 该 组 织 至 少 使 用 了 C 2 服 务 器 域 名 3 5 个 ， 相 关 服 务 器 I P 地 址 1 9 个 。 而 且 大 多 数 域 名 为 了 抵 抗 溯 源 都 开 启 了 W h o i s 域 名 隐 藏 ， 使 得 分 析 人 员 很 难 知 道 恶 意 域 名 背 后 的 注 册 者 是 谁 。 下 图 给 出 了 O c e a n L o t u s 注 册 各 个 域 名 时 间 点 信 息 。
通 过 对 攻 击 活 动 相 关 域 名 的 统 计 ， 我 们 按 注 册 时 间 的 先 后 顺 序 对 各 个 域 名 做 了 排 序 。 时 间 线 疏 密 程 度 显 示 该 组 织 在 2 0 1 4 年 2 月 至 2 0 1 4 年 4 月 申 请 了 大 量 的 新 域 名 。 域 名 的 生 命 周 期 如 下 图 所 示 ： 这 些 恶 意 域 名 的 注 册 地 和 服 务 器 也 分 布 在 世 界 各 地 。 从 注 册 地 来 看 ， 最 大 的 注 册 地 是 巴 哈 马 1 0 个 ， 其 次 是 美 国 4 个 ， 尼 日 利 亚 3 个 。 从 服 务 器 实 际 所 在 地 来 看 ， 美 国 和 乌 克 兰 最 多 ， 各 5 个 ， 其 次 是 瑞 典 4 个 ， 以 色 列 3 个 。 按 时 间 先 后 顺 序 排 列 ， 部 分 较 活 跃 的 域 名 详 情 如 下 ： 第 三 章 第 三 章   O c e a n L o t u s 能 力 分 析 能 力 分 析
通 过 对 O c e a n L o t u s 组 织 所 使 用 的 恶 意 代 码 、 攻 击 载 荷 和 诱 饵 数 据 的 分 析 ， 该 组 织 内 部 可 能 有 多 个 小 组 ， 每 个 小 组 有 自 己 的 分 工 。 组 织 中 各 组 可 能 针 对 性 地 收 集 社 工 信 息 、 开 发 定 制 的 工 具 以 及 对 窃 取 的 情 报 进 行 集 中 二 次 处 理 挖 掘 ， 各 个 环 节 紧 密 配 合 ， 并 在 其 内 部 共 享 窃 取 的 情 报 信 息 和 攻 击 载 荷 。 概 括 来 说 ， 要 达 到 目 前 已 知 的 攻 击 效 果 ， 该 组 织 至 少 应 该 具 备 如 下 能 力 ： 1 ） 精 通 目 标 国 家 的 语 言 ， 跟 踪 相 关 的 新 闻 时 事 ； 识 别 和 分 析 需 要 进 行 攻 击 的 目 标 人 员 ， 收 集 其 相 关 的 基 本 信 息 ， 确 定 攻 击 目 标 人 员 ， 设 计 针 对 性 的 攻 击 方 式 。 2 ） 网 络 渗 透 和 入 侵 能 力 ， 投 递 鱼 叉 邮 件 ， 设 置 水 坑 ， 抽 取 敏 感 数 据 ， 保 持 长 期 控 制 。 3 ） 能 够 开 发 或 者 获 取 绕 过 当 前 主 流 防 病 毒 工 具 的 特 种 木 马 ， 持 续 改 进 和 对 抗 。 对 应 到 以 上 的 3 种 能 力 ， 我 们 推 测 O c e a n L o t u s 组 织 很 可 能 存 在 3 个 小 组 ， 其 基 本 能 力 及 任 务 分 工 大 致 如 下 ： 此 外 ， 考 虑 到 O c e a n L o t u s 组 织 制 作 的 特 种 木 马 大 多 使 用 中 文 名 称 ， 而 且 往 往 紧 贴 中 国 国 内 最 新 时 政 变 化 ， 所 以 ， 该 组 织 中 一 定 有 精 通 中 文 、 了 解 中 国 国 情 的 人 专 门 从 事 有 针 对 性 的 社 会 工 程 学 研 究 。 第 四 章 第 四 章   O c e a n L o t u s 攻 击 的 捕 获 攻 击 的 捕 获 随 着 “ 互 联 网 + ” 时 代 的 到 来 ， 越 来 越 多 的 政 府 机 构 和 企 事 业 单 位 实 现 了 网 络 化 办 公 ， 并 将 内 部 的 办 公 网 络 与 外 部 的 互 联 网 相 连 。 企 业 的 互 联 网 化 在 提 高 企 业 办 公 效 率 的 同 时 ， 也 使 内 部 网 络 面 临 着 越 来 越 多 的 来 自 全 球 各 地 不 同 目 的 攻 击 者 的 网 络 攻 击 。 事 实 上 ， 针 对 政 府 、 机 构 和 企 业 的 A P T 攻 击 每 天 都 在 发 生 ， 甚 至 可 以 说 ， A P T 攻 击 就 潜 藏 在 我 们 每 一 个 人 的 身 边 。 O c e a n L o t u s 也 只 不 过 是 我 们 目 前 已 经 捕 获 到 的 数 十 起 A P T 事 件 中 的 一 个 典 型 案 例 而 已 。 目 前 ， 已 经 有 一 些 国 际 知 名 的 安 全 企 业 ， 如 F i r e E y e 、 卡 巴 斯 基 等 针 对 A P T 攻 击 展 开 了 相 关 研 究 ， 并 发 布 了 相 关 的 研 究 报 告 。 而 在 国 内 ， 关 于 A P T 攻 击 的 专 业 研 究 资 料 目 前 还 非 常 有 限 。 造 成 这 种 状 况 的 原 因 之 一 ， 是 A P T 攻 击 具 有 很 强 的 隐 蔽 性 、 针 对 性 和 对 抗 性 特 点 ， 使 用 一 般 民 用 防 御 手 段 和 木 马 查 杀 技 术 很 难 发 现 。 针 对 A P T 攻 击 的 捕 获 和 检 测 技 术 也 成 为 了 近 年 来 国 内 外 安 全 公 司 和 研 究 机 构 关 注 的 焦 点 。 天 眼 实 验 室 借 助 3 6 0 公 司 多 年 在 木 马 病 毒 、 漏 洞 攻 击 的 对 抗 过 程 中 积 累 的 经 验 ， 针 对 特 种 木 马 、 0 d a y / N d a y 漏 洞 攻 击 的 检 测 和 对 抗 等 方 面 都 进 行 了 大 量 的 探 索 和 实 践 ， 使 得 运 用 这 些 特 种 木 马 或 漏 洞 进 行 的 A P T 攻 击 在 我 们 的 天 眼 系 统 中 现 形 。 当 然 ， 除 了 针 对 特 定 的 高 级 A P T 攻 击 过 程 的 检 测 和 防 御 外 ， 目 前 捕 获 和 研 究 A P T 攻 击 还 面 临 着 一 个 更 大 的 挑 战 ： 如 何 将 不 同 时 间 、 不 同 地 点 、 不 同 人 群 遭 到 的 各 种 不 同 形 式 的 网 络 攻 击 事 件 关 联 起 来 ， 形 成 一 个 A P T 攻 击 的 全 貌 。 目 前 国 外 关 于 A P T 攻 击 的 研 究 也 大 多 集 中 在 对 个 别 目 标 实 体 的 、 短 周 期 攻 击 过 程 的 研 究 上 ， 很 少 有 机 构 能 够 进 行 较 大 时 间 尺 度 和 较 大 地 域 范 围 内 的 A P T 攻 击 研 究 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理