搜索

[10128] 2016-05-23_印度多个商业、政府组织遭受间谍团体Suckfly攻击

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-05-23_印度多个商业、政府组织遭受间谍团体Suckfly攻击 印 度 多 个 商 业 、 政 府 组 织 遭 受 间 谍 团 体 S u c k f l y 攻 击 F r e e B u f   2 0 1 6 - 0 5 - 2 3 在 在 2 0 1 6 年 年 3 月 ， 赛 门 铁 克 曾 发 表 过 一 篇 关 于 月 ， 赛 门 铁 克 曾 发 表 过 一 篇 关 于 S u c k f l y 攻 击 韩 国 组 织 ， 窃 取 数 组 证 书 的 文 章 ， 攻 击 韩 国 组 织 ， 窃 取 数 组 证 书 的 文 章 ， S u c k f l y 是 一 个 网 络 间 谍 组 是 一 个 网 络 间 谍 组 织 。 调 查 发 现 ， 织 。 调 查 发 现 ， S u c k f l y 自 自 2 0 1 4 年 年 4 月 ， 在 两 年 间 持 续 发 起 过 一 系 列 攻 击 。 这 些 攻 击 都 以 政 府 或 著 名 的 商 业 组 织 为 目 月 ， 在 两 年 间 持 续 发 起 过 一 系 列 攻 击 。 这 些 攻 击 都 以 政 府 或 著 名 的 商 业 组 织 为 目 标 ， 虽 然 它 们 发 生 在 不 同 的 国 家 ， 但 是 主 要 目 标 是 印 度 的 个 人 和 组 织 机 构 。 标 ， 虽 然 它 们 发 生 在 不 同 的 国 家 ， 但 是 主 要 目 标 是 印 度 的 个 人 和 组 织 机 构 。 S u c k f l y 使 用 其 自 定 义 的 恶 意 软 件 B a c k d o o r . N i d i r a n 进 行 感 染 ， 而 该 恶 意 软 件 在 印 度 地 区 的 活 跃 度 比 其 他 地 区 都 高 。 这 表 明 ， 这 些 攻 击 是 针 对 印 度 特 定 目 标 的 有 计 划 行 动 的 一 部 分 。 印 度 攻 击 活 动 印 度 攻 击 活 动 S u c k f l y 的 第 一 次 活 动 开 始 于 2 0 1 4 年 4 月 ， 在 此 次 活 动 中 ， 多 个 跨 行 业 的 国 际 组 织 受 到 攻 击 ， 其 中 很 多 都 是 印 度 的 知 名 商 业 组 织 ， 包 括 ： 印 度 最 大 的 经 济 组 织 之 一 印 度 最 大 的 经 济 组 织 之 一 大 型 电 商 公 司 大 型 电 商 公 司 该 电 商 的 主 要 供 货 商 该 电 商 的 主 要 供 货 商 印 度 前 五 印 度 前 五 I T 企 业 之 一 企 业 之 一 一 个 美 国 医 疗 保 健 机 构 的 印 度 业 务 部 一 个 美 国 医 疗 保 健 机 构 的 印 度 业 务 部 两 个 政 府 组 织 两 个 政 府 组 织 与 商 业 目 标 相 比 ， S u c k f l y 花 费 更 多 精 力 攻 击 政 府 网 络 。 并 且 两 个 政 府 组 织 中 的 其 中 一 个 感 染 率 最 高 。
  图 一   攻 击 目 标 的 感 染 率 政 府 组 织 # 2 负 责 为 印 度 中 央 政 府 的 不 同 部 门 实 施 和 部 署 网 络 软 件 ， 因 此 其 高 感 染 率 可 能 是 因 为 它 拥 有 其 他 印 度 政 府 组 织 的 技 术 和 信 息 的 访 问 权 限 。 S u c k f l y 对 为 政 府 提 供 技 术 服 务 的 政 府 组 织 的 攻 击 并 不 限 于 印 度 ， 也 对 沙 特 阿 拉 伯 实 施 了 此 类 攻 击 。 图 二 展 示 了 根 据 行 业 分 类 的 S u c k f l y 攻 击 目 标 ， 大 部 分 的 攻 击 目 标 为 政 府 和 技 术 相 关 的 企 业 和 组 织 。 图 二   根 据 行 业 分 类 的 S u c k f l y 攻 击 目 标 S u c k f l y 攻 击 的 生 命 周 期 攻 击 的 生 命 周 期 通 过 分 析 其 中 一 次 的 攻 击 行 为 ， 我 们 详 细 分 析 了 S u c k f l y 的 攻 击 流 程 。 2 0 1 5 年 4 月 2 2 日 到 5 月 4 日 间 ， S u c k f l y 对 印 度 的 一 家 电 商 组 织 实 施 了 一 次 多 级 攻 击 。 与 其 他 攻 击 类 似 ， S u c k f l y 使 用 了 N i d i r a n 后 门 和 多 个 黑 客 工 具 来 感 染 目 标 的 内 网 主 机 ， 这 些 工 具 和 恶 意 软 件 使 用 了 之 前 失 窃 的 数 字 证 书 进 行 签 名 。 在 此 期 间 ， 以 下 事 件 发 生 ：
图 三   S u c k f l y 攻 击 的 生 命 周 期 1 、 确 认 目 标 用 户 。 虽 然 我 们 没 有 S u c k f l y 如 何 获 取 目 标 信 息 的 确 凿 证 据 ， 但 是 我 们 发 现 最 初 的 目 标 中 存 在 大 量 的 开 源 数 据 ， 工 作 职 能 、 公 司 邮 箱 地 址 、 项 目 信 息 和 公 开 可 访 问 的 个 人 博 客 都 可 以 轻 易 在 网 络 上 找 到 。 2 、 2 0 1 5 年 4 月 2 2 日 ， S u c k f l y 借 助 目 标 操 作 系 统 （ W i n d o w s ） 中 的 一 个 漏 洞 ， 该 漏 洞 允 许 攻 击 者 让 用 户 账 户 控 制 并 安 装 N i d i r a n 后 门 ， 来 获 取 了 系 统 的 访 问 权 限 。 虽 然 我 们 知 道 S u c k f l y 使 用 了 一 个 自 定 义 的 d r o p p e r 安 装 后 门 ， 但 是 并 不 知 道 它 的 传 播 载 体 ， 根 据 目 标 的 开 源 信 息 ， 我 们 猜 测 很 可 能 他 们 使 用 了 钓 鱼 邮 件 。 3 、 通 过 利 用 员 工 的 操 作 系 统 ， 他 们 获 取 了 电 商 企 业 的 内 网 访 问 权 限 。 证 据 表 明 ， S u c k f l y 使 用 了 黑 客 工 具 进 行 横 向 移 动 和 权 限 提 升 。 S u c k f l y 使 用 已 签 名 的 c r e d e n t i a l - d u m p i n g 工 具 获 取 用 户 证 书 ， 使 用 该 证 书 ， 攻 击 者 就 可 以 登 录 受 害 人 账 户 ， 以 员 工 身 份 进 入 内 网 。 4 、 4 月 2 7 日 ， 攻 击 者 扫 描 了 内 网 中 8 0 8 0 、 5 9 0 0 和 4 0 端 口 开 放 的 主 机 。 8 0 8 0 和 5 9 0 0 端 口 是 合 法 协 议 的 通 用 端 口 ， 但 是 当 这 些 端 口 不 安 全 时 就 可 能 会 被 攻 击 者 利 用 。 目 前 尚 不 清 楚 攻 击 者 为 何 会 扫 描 4 0 端 口 ， 因 为 它 并 不 是 常 见 协 议 使 用 的 端 口 。 通 过 攻 击 者 扫 描 端 口 可 以 看 出 ， 他 们 企 图 扩 大 在 内 网 中 的 立 足 点 。 5 、 最 后 一 步 就 是 提 取 内 网 中 的 信 息 到 S u c k f l y 基 础 设 施 中 。 然 而 ， 我 们 知 道 S u c k f l y 通 过 N i d i r a n 后 门 窃 取 组 织 的 信 息 ， 但 不 知 道 他 们 是 否 获 取 了 其 他 信 息 。 这 些 攻 击 步 骤 发 生 在 1 3 天 的 攻 击 周 期 中 的 特 定 几 天 。 在 追 踪 他 们 使 用 黑 客 工 具 的 具 体 时 间 时 ， 通 过 分 析 使 用 命 令 行 驱 动 的 黑 客 工 具 ， 发 现 该 组 织 只 在 星 期 一 到 星 期 五 保 持 活 跃 状 态 。
图 四   S u c k f l y 一 周 内 的 活 跃 程 度 S u c k f l y 的 命 令 和 控 制 指 令 的 命 令 和 控 制 指 令 S u c k f l y 的 恶 意 软 件 难 以 解 析 ， 进 而 在 一 定 程 度 上 限 制 了 防 护 软 件 的 检 测 。 但 是 我 们 成 功 分 析 了 S u c k f l y 的 恶 意 软 件 样 本 ， 并 提 取 N i d i r a n 后 门 和 S u c k f l y 命 令 控 制 服 务 器 之 间 的 通 信 。 该 可 执 行 文 件 包 含 以 下 三 个 文 件 ： 1 、 d l l h o s t . e x e ， . d l l 文 件 的 主 要 h o s t 2 、 i v i e w e r s . d l l ， 用 于 下 载 加 密 的 负 载 并 解 密 3 、 m s f l e d ， 加 密 的 负 载 这 三 个 文 件 是 恶 意 软 件 正 常 运 行 必 不 可 少 的 文 件 。 一 旦 恶 意 软 件 成 功 执 行 ， 就 会 在 运 行 前 检 查 是 否 连 接 到 网 络 。 如 果 测 试 成 功 ， 就 会 通 过 4 4 3 和 8 4 4 3 端 口 向 C & C 服 务 器 发 送 通 信 请 求 。 分 析 发 现 ， 这 两 个 端 口 和 C & C 信 息 被 加 密 并 硬 编 码 到 N i d i r a n 恶 意 软 件 本 身 。 N i d i r a n 后 门 向 C & C 服 务 器 发 送 如 下 初 始 化 通 信 请 求 。 该 信 息 被 发 送 到 有 以 下 内 容 组 成 的 c o o k i e 中 ： [ C O O K I E N A M E ] = [ R C 4   E N C R Y P T E D   +   B 6 4   E N C O D E D   D A T A   F R O M   V I C T I M ] 样 本 中 的 R C 4 加 密 密 钥 是 硬 编 码 的 字 符 串 “ h 0 l e ” 。 一 旦 该 c o o k i e 数 据 被 解 码 ， S u c k f l y 就 会 获 取 网 络 名 、 主 机 名 、 I P 地 址 和 操 作 系 统 信 息 。 总 结 总 结 S u c k f l y 以 众 多 印 度 商 业 组 织 和 政 府 组 织 为 目 标 ， 所 有 的 这 些 目 标 都 是 对 印 度 经 济 起 到 关 键 性 作 用 的 大 企 业 。 通 过 攻 击 这 些 目 标 ， S u c k f l y 会 对 印 度 及 其 经 济 造 成 重 大 影 响 。 S u c k f l y 有 足 够 的 资 源 来 开 发 恶 意 软 件 ， 购 买 基 础 设 施 ， 多 年 来 开 展 有 针 对 性 的 攻 击 并 且 关 闭 了 组 织 的 安 全 雷 达 。 在 此 期 间 ， 他 们 从 韩 国 公 司 窃 取 数 字 证 书 ， 针 对 印 度 和 沙 特 实 施 攻 击 。 目 前 没 有 证 据 表 明 S u c k f l y 从 这 些 攻 击 中 获 取 利 用 ， 但 是 总 会 有 人 获 利 。 S u c k f l y 攻 击 的 性 质 表 明 ， 不 太 可 能 是 他 们 自 己 组 织 了 这 些 攻 击 。 我 们 相 信 ， S u c k f l y 将 继 续 瞄 准 印 度 和 其 他 国 家 的 类 似 组 织 ， 以 为 S u c k f l y 背 后 的 组 织 提 供 经 济 情 报 。 * 原 文 地 址 ： s y m a n t e c ， 安 小 白 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理