搜索

[9878] 2016-03-05_DarkhotelAPT强势回归：第一个目标锁定中国电信

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2016-03-05_DarkhotelAPT强势回归：第一个目标锁定中国电信 D a r k h o t e l   A P T 强 势 回 归 ： 第 一 个 目 标 锁 定 中 国 电 信 简 单   F r e e B u f   2 0 1 6 - 0 3 - 0 5 D a r k h o t e l   A P T 组 织 又 回 来 了 ， 重 返 后 的 第 一 个 目 标 就 是 中 国 和 朝 鲜 通 信 公 司 的 高 管 们 。 组 织 又 回 来 了 ， 重 返 后 的 第 一 个 目 标 就 是 中 国 和 朝 鲜 通 信 公 司 的 高 管 们 。   2 0 1 4 年 1 1 月 ， 卡 巴 斯 基 实 验 室 的 安 全 专 家 首 次 发 现 了 D a r k h o t e l   间 谍 组 织 ， 并 且 发 现 该 组 织 至 少 已 经 活 跃 了 4 年 的 时 间 ， 目 标 基 本 锁 定 在 企 业 高 管 。 当 这 些 企 业 高 管 心 情 愉 悦 的 在 奢 侈 酒 店 享 受 时 ， 他 们 的 敏 感 数 据 已 经 被 黑 客 拿 走 。 当 下 比 较 令 人 烦 躁 的 问 题 是 ， 这 个 黑 客 组 织 还 在 继 续 活 跃 。 D a r k h o t e l   A P T 组 织 简 介 组 织 简 介 该 组 织 攻 击 者 技 术 非 常 娴 熟 ， 就 像 资 深 的 外 科 医 生 ， 只 要 是 自 己 感 兴 趣 的 数 据 就 一 定 能 拿 到 ， 而 且 还 会 删 除 恶 意 行 为 的 痕 迹 。 研 究 员 们 还 发 现 每 个 目 标 他 们 只 窃 取 一 次 ， 绝 不 重 复 。 受 害 者 头 衔 一 般 为 ： C E O 、 高 级 副 总 裁 、 高 级 研 发 工 程 师 、 销 售 总 监 、 市 场 总 监 。 D a r k h o t e l   组 织 惯 用 的 手 段 是 鱼 叉 式 钓 鱼 邮 件 ， 里 面 包 含 一 个 恶 意 文 档 附 件 ， 通 常 是 精 心 伪 造 的 S W F 文 件 ， 并 在 w o r d 文 档 中 嵌 入 了 下 载 链 接 。 利 用 的 漏 洞 是 A d o b e   F l a s h 漏 洞 （   C V E - 2 0 1 5 - 8 6 5 1 ） ， 但 是 该 漏 洞 已 在 1 2 月 2 8 日 修 复 。 攻 击 者 将 恶 意 代 码 伪 装 进 O p e n S S L 库 的 一 个 组 件 中 ， 还 在 恶 意 软 件 中 加 入 了 很 多 反 检 测 方 法 ， 比 如 反 沙 盒 过 滤 和 j u s t - i n - t i m e   解 密 。 卡 巴 斯 基 实 验 室 对 D a r k h o t e l   组 织 进 行 了 详 细 的 调 查 ， 发 现 他 们 2 0 1 5 年 内 的 目 标 主 要 位 于 朝 鲜 、 俄 罗 斯 、 韩 国 、 日 本 、 孟 加 拉 国 、 泰 国 、 印 度 、 莫 桑 比 克 和 德 国 。 从 2 0 1 0 年 开 始 ， D a r k h o t e l   A P T 就 使 用 混 淆 H T M L 应 用 （ H T A ） 文 件 在 受 害 者 系 统 上 植 入 后 门 和 下 载 器 代 码 ， 去 年 8 月 份 ， 安 全 专 家 们 又 发 现 了 恶 意 H T A 文 件 的 新 变 种 。   攻 击 者 们 还 提 升 了 混 淆 技 术 ， 使 用 更 高 效 的 躲 避 方 法 ， 比 如 ， 攻 击 者 使 用 签 名 的 下 载 器 检 测 已 知 的 杀 毒 方 案 。 D a r k h o t e l   A P T 过 去 使 用 的 鱼 叉 式 钓 鱼 邮 件 的 附 件 是 . r a r 压 缩 文 件 ， 看 似 是 一 个 无 毒 的 . j p g 文 件 。 事 实 上 ， 文 件 是 有 一 个 可 执 行 的 . s c r 文 件 ， 利 用 了 r i g h t - t o - l e f t   o v e r r i d e   ( R T L O ) 技 巧 。 当 文 件 被 打 开 时 ， P a i n t 应 用 中 会 显 示 一 张 图 片 ， 与 此 同 时 ， 恶 意 代 码 会 默 默 的 在 后 台 运 行 。 另 外 一 个 比 较 有 趣 的 地 方 是 ， D a r k h o t e l   间 谍 组 织 会 使 用 窃 取 的 数 字 证 书 签 名 他 们 的 恶 意 软 件 。 并 且 他 们 的 组 织 成 员 似 乎 是 韩 国 人 或 者 会 说 韩 语 的 人 。 *   参 考 来 源 ： s e c u r i t y a f f a i r s ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理