注册
登录
最近，一个与东南亚和中国南海问题相关的APT攻击被发现，该APT攻击以包括美国在内的各国政府和公司为目标 。经安全专家分析，该APT攻击所使用的全部工具代码都是通过 复制-粘贴 互联网公开代码组合而成，相对于其它APT特有的攻击工具而言，比较独特。
Cymmetria发现并发布了此APT攻击的分析报告，由于其代码来源于多个网络论坛和网站，如Github、暗网和隐秘的犯罪论坛等，故把其命名为Patchwork APT 攻击（Patchwork：拼凑物）。 一、报告综述Patchwork APT自2015年12月被监测到之后，目前已经感染了大约2500台电脑，虽有迹象表明其最早活动可追溯至2014年，但Cymmetria并未第一时间发现。 Patchwork APT针对的目标是军事和政治机构，特别是那些与东南亚和南海问题相关的工作机构雇员，目标多是政府或与政府有间接联系的机构。 在存活的受害者系统上，Patchwork APT通过搜索文档并上传至其C&C服务器，如果目标主机非常有价值，Patchwork APT还会进一步安装第二阶段渗透工具。 以下为PatchworkAPT 的攻击时间范围： 二、调查1 概述该APT攻击于今年5月在针对欧洲政府部门的一起钓鱼活动中被发现，攻击目标为一个中国政策研究机构的工作人员，其以PPT文档为诱饵发起网络攻击，文档内容为中国在南海的一系列活动。 当PPT文档被打开后，嵌入执行CVE-2014-4114漏洞代码，这个漏洞存在于未打补丁的 Office PowerPoint 2003 和2007中，漏洞利用代码曾被发起了名为 Sandworm的APT 攻击。 一旦漏洞代码开始执行，第一阶段为部署攻击载体：一个利用AutoIt工具编译的脚本。这个脚本使用某网络论坛出现的名为UACME方法和代码来绕过系统UAC。 获得更高权限之后，以Meterpreter方式执行powersploit 脚本，（Meterpreter是著名的metasploit框架远控工具） 下一阶段，开始对文档和目标主机价值进行筛选判断，如果目标足够有价值，攻击者再次部署第二阶段攻击模块，涉及到的攻击工具也大多来源于知名论坛或网络资源。以下为其攻击感染流程： 2 以蜜罐方式发现攻击者为了捕获攻击者发起的第二阶段攻击程序，观察其在内网中的渗透活动，我们创建了一个真实网络环境，这个环境让攻击者觉得他们已经成功获取了主机权限。 零星的诱饵数据可以让攻击者向另一主机转移，这些数据可以是存储凭据，共享文件夹、浏览器cookies，VPN配置等其它信息。最终我们利用了Cymmetria’s MazeRunner 系统成功捕获了攻击者的活动。 3 开始如前所述，为了保证攻击者的攻击持续处于活动状态，我们虚构了对攻击者来说非常感兴趣的目标：一位处理安全问题的政府智库人员。 创建欺骗网络 • 首先，创建SMB共享，映射到目标电脑并显示网络备份； • 其次，把一个运行云端服务的RDP凭据存放于电脑中，同时在远程云端系统中部署欺骗数据，形成蜜罐系统，同时造成正常服务的假象。 蜜罐文件系统 用 RDP凭据引向蜜罐系统 4 一连串的事件（1） 当一个 PowerPoint PPS文件被打开之后，释放有效攻击载荷。即CVE-2014-4114漏洞利用代码（曾用作SandWorm沙虫攻击）。 释放的Driver.inf 文件内容 （2） 主机被以下可执行文件感染： • sysvolinfo.exe – 执行编译脚本. • PowerShell 以 HTTPS Meterpreter方式执行攻击脚本 ,同时保持与C2控制服务器连接，发起以下网络请求： （3） 目标电脑上的文件被攻击者以加密通道方式上传至远程控制服务器，由于Meterpreter的“sstagerverifysslcert”功能 开启，所以我们没有检测到相应的SSL通道； （4） 攻击者释放第二阶段恶意软件7zip.exe，利用此程序扫描硬盘并连接远程IP地址 212.83.191.156。 （5）7zip.exe复制自身在C:\Windows\SysWOW64\目录下生成netvmon.exe文件，并添加进程序自启动路径，实现长期控制目的。 （6）在最初感染的前三天，攻击者开始对SMB共享文件夹发起访问； （7）恶意软件开始访问映射共享，并扫描所有固定磁盘驱动器上的文件； （8）在MazeRunner 系统的第一个警报产生之后，由于诱饵系统的IP地址被内置在RDP凭据文件里，所以，我们看到了攻击者试图利用RDP凭据连接诱饵系统的数据。警报提示攻击发起于 IP 212.129.7.146，整个攻击持续了12分钟； （9）从我们收到Mazerunner的警报综合受害主机内的RDP连接文件表明，攻击者登录失败了几次，但让我们感兴趣的是，攻击者并没有使用系统密码获取工具Mimikatz。 （10）我们相信以上两起攻击连接发起于同一个攻击源，因为： • 攻击者用来连接我们蜜罐系统的两个IP地址都属于rev.poneytelecom.euf 域名； • 内部警报表明，两起攻击连接事件发生在同一天。 攻击发起的网络规划图 5 从攻击者C&C控制服务器中获得的信息我们通过另一个合作伙伴，成功地接手并控制了攻击者的一个C&C服务器，服务器中包含了大量文件： 声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系 [邮箱地址] 删除 |
