东巽科技:南亚某国APT组织对中国发起“丰收行动”
2018-06-11 来源:
8月8日,国内新兴的APT技术厂商东巽科技发布了一份题为《东巽科技2046Lab团队APT报告:“丰收行动”》的安全报告。报告中提到,2016年7月,东巽科技2046Lab团队追溯到一起来自南亚某国隐匿组织的APT攻击,目标以巴基斯坦、中国等国的科研院所、军事院校和外交官员为主,通过窃取文件的方式获取与军事相关情报。由于样本的通信密码含有“January14”关键词,这一天正好是南亚某国盛行的“丰收节”,东巽把该APT事件命名为“丰收行动”。
C&C服务器建立时间的分析
受害者群体、领域分析
据了解,事件的起因是东巽科技2046Lab团队在7月捕获到一例疑似木马的样本,该木马样本伪装成Word文档,实为利用CVE-2015-1641漏洞(Word类型混淆漏洞)的RTF格式文档,以邮件附件的形式发给攻击目标,发动“鱼叉式攻击”。在将文件提交到多引擎杀毒平台检测后,发现54款杀软仅8款可以检出威胁,说明木马做了大量的免杀处理。随后,研究人员对样本进行了深入的人工分析,发现其C&C服务器依然存活,于是对其进行了跟踪溯源和样本同源分析,又发现了其他两处C&C服务器和更多样本。
失窃文件截图
失窃数据截图
与友商用大量样本统计来分析APT方式不同,2046Lab针对“丰收行动”的分析虽也利用了样本分析手法,但更多是利用跟踪溯源的方式。这种跟踪溯源和分析过程,剥离出了更多的真相。“从一个样本到一个C&C服务器,再到另一个样本,到另一个C&C服务器,每跟踪溯源一次,我们对攻击者的了解就加深一些,包括攻击者的目标对象、使用工具、C&C服务器据点、惯用手法,最后云开雾散,终于发现了攻击者的具体IP,找到了其在南亚某国的幕后大本营。这一过程不免让我们再次感叹,“人与人”的对抗确实是APT防护对抗的本质所在。”东巽科技CTO李薛表示。
本次“丰收行动”,再一次证明了APT攻击的存在和长期活跃,而导致攻击成功的主要因素是:防守在明、攻击在暗,受害者的防御措施与攻击者攻击手段存在能力差距,尤其是未知威胁的检测和预警能力。
李薛还认为,本次的揭露只是全球APT攻击事件的冰山一角,中国也是APT攻击的受害者之一。需要警醒的是,攻击者并不会因为本次的揭露而销声匿迹,至多是偃旗息鼓一段时间,然后以更隐蔽的方式卷土重来,并用上新的免杀技术、新的漏洞或者新的攻击方式。所以,通过本报告希望能给用户,尤其是可能遭受APT攻击的重要机构一些提醒和建议,落实习总书记4.19讲话精神,树立正确的网络安全观,充分识别自己的防御措施和攻击技术之间的差距,加快构建安全保障体系提前部署防御措施,尤其是未知威胁的检测和识别方面的能力建设,增强网络安全防御能力和威慑能力,防患于未然。
版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点!
本站所提供的图片等素材,版权归原作者所有,如需使用,请与原作者联系。