欢迎访问电脑商情在线! 请免费注册
分享到





位置:首页 > 安全 > 热点资讯

Buckeye网络间谍组织正将数家中国香港机构作为攻击目标

作者: CBINEWS编辑   责任编辑:李丽 2016-09-12 12:00:35
来源:电脑商情网关键字:Buckeye,恶意攻击,网络间谍

Buckeye网络间谍组织又被称为APT3、Gothic Panda、UPS Team和 TG-0110,该组织已经成立超过五年,并主要针对美国及其他目标国家的企业组织开展攻击行动。但自 2015年6月起, Buckeye似乎逐渐将攻击重点转向中国香港的政府机构。2016年3月至今,该组织集中针对中国香港的相关机构进行恶意攻击。最近一次攻击发生在8月4日,Buckeye犯罪组织企图通过发送恶意电子邮件至被入侵的目标网络,以实现盗取信息的目的。

通过赛门铁克与Blue Coat Systems的联合威胁情报服务,赛门铁克的安全团队清晰掌握了Buckeye组织在近几年的策略演变。这一发现能够帮助赛门铁克进一步增强安全防护功能,并帮助企业用户抵御该组织的攻击活动。

背景

在 2009 年,赛门铁克已发现Buckeye针对多个地区的多家机构展开攻击。Buckeye 曾通过远程访问木马(Backdoor.Pirpi)对一家美国机构的网络展开攻击。该犯罪组织通过附带Backdoor.Pirpi或链接的鱼叉式网络钓鱼电子邮件对目标进行攻击。如今,赛门铁克已经识别出该组织所使用的其他黑客工具。

过去,Buckeye组织因利用零日漏洞进行攻击而臭名昭著,包括在2010年攻击中使用的CVE-2010-3962和在2014 年使用的CVE-2014-1776。尽管Buckeye利用其他零日漏洞进行的攻击也被发现,但这些攻击活动并未得到赛门铁克的证实。赛门铁克安全人员表示,所有已知的或疑似被Buckeye组织利用的零日漏洞均来自Internet Explorer和Flash。

攻击重心转变

2015年8月起,赛门铁克遥测技术发现中国香港的部分计算机感染 Backdoor.Pirpi。2016年3月底至4月初,该恶意程序的感染数量出现大幅增长。不仅如此,赛门铁克同样在其他调查中发现与该恶意程序相关的恶意软件样本,并从而确定该犯罪组织的攻击目标为中国香港的政府机构。

在近期的部分攻击中,Buckeye使用带有恶意压缩附件(.zip)的鱼叉式网络钓鱼电子邮件,这些电子邮件的压缩文档附件中包含带有Microsoft Internet Explorer标识的Windows快捷方式 (.lnk) 文件。受害者一旦点击该快捷方式,计算机将会下载Backdoor.Pirpi恶意程序,并在受感染的计算机中执行。

攻击目标

从 2015 年至今,赛门铁克发现在不同地区的大约82家组织机构的网络中发现Buckeye工具,但该现象无法准确反映出Buckeye攻击组织所感兴趣的攻击目标。赛门铁克认为,该组织通过采取“广撒网” 的方式寻找攻击目标,但只在感兴趣的企业机构网络中保持攻击活跃度。通过设定监测指标和深入观察,例如:Buckeye对某机构保持攻击活跃度超过1天、部署额外工具,针对多台计算机进行病毒传播等,赛门铁克发现Buckeye的攻击目标主要针对中国香港(13)、美国(3)和英国(1)的17 家组织机构。

Buckeye网络间谍组织正将数家中国香港机构作为攻击目标

图1. Buckeye感兴趣的攻击对象地区分布( 2015 年至今)

赛门铁克的监测数据从2015年开始统计,但值得注意的是,在 2016 年 3 月,针对中国香港的攻击比例出现大幅增长。2015年中期之前,Buckeye的传统攻击目标主要为不同类型的美国和英国组织机构。而在2015年6月,Buckeye的攻击目标发生巨大转变,开始攻击中国香港,并逐渐停止对英国和美国的攻击。

Buckeye网络间谍组织正将数家中国香港机构作为攻击目标

图2. 在不同时期及不同地区中,Buckeye攻击目标分布图

恶意软件和黑客工具

Buckeye攻击组织采用多种黑客工具和恶意软件进行攻击,其中,许多黑客工具为开源应用。此外,为了躲避检测,Buckeye对这些工具还进行了一定程度的修补或调整。

Buckeye通过使用远程访问木马Backdoor.Pirpi,来读取、写入和执行文件与程序,以及收集攻击目标的本地网络信息,包括域控制器和工作站等。

Buckeye所采用的黑客工具包括:

Keylogger:Keylogger(键盘记录器)可通过使用命令行参数网络服务、替换、安装、注销进行配置。这些参数可以作为服务被安装,然后Keylogger开始记录如thumbcach_96.dbx等加密文件的击键次数。该工具将记录如thumbcach_96.dbx等加密文件的键盘输入信息。此外,Keylogger还能够收集MAC地址、IP 地址、WINS、DHCP服务器和网关等网络信息。

RemoteCMD:RemoteCMD工具类似于PsExec工具,主要用于在远程计算机上执行命令。用法为:%s shareIp domain [USER INFORMATION|[USER NAME AND PASSWORD]] [/run:[COMMAND]] ,能够传递的命令包括上传、下载、服务(创建、删除、开始、停止)、删除、重命名和 AT。

PwDumpVariant:RemoteCMD工具可以导入lsremora.dll(通常攻击者将其作为工具箱的一部分一同下载),并使用GetHash导出DLL文件。该工具可在执行过程中,将自身注入到 lsass.exe中,并通过参数“dig”触发。

OSinfo:OSInfo是一种通用系统信息收集工具。它具有以下命令行参数帮助指令:

  1. info  <Server/Domain> [options] 
  2. [options]: 
  3.   -d 域 
  4.   -o 操作系统信息 
  5.   -t 任务信息 
  6.   -n 网络使用信息 
  7.   -s 分享信息和目录 
  8.   -c 连接测试 
  9.   -a局部和全局组用户信息 
  10.   -l局部组用户信息 
  11.   -g 全局组用户信息 
  12.   -ga 组管理员 
  13.   -gp 组高级用户 
  14.   -gd 组域管理员 
  15.   -f <infile> //输入文件中的服务器列表,一行一台服务器 
  16. info <\\server> <user> 

ChromePass:一种来自NirSoft的工具,可用于恢复保存在Chrome浏览器中的密码。

Lazagne:一种编译的Python工具,可从安装在本地的多个应用类别中提取密码,例如,Web 浏览器。这些应用类别包括:聊天、Svn(一种版本管理工具)、无线网络、电子邮件、Windows、数据库、系统管理和浏览器。

Buckeye似乎将文件和打印服务器作为主要攻击目标,因此,赛门铁克认为该组织的目的很有可能是盗取文件。结合该组织在过去利用的零日漏洞、定制工具以及攻击目标的组织类型等因素,这表明Buckeye是一家拥有国家支持背景的网络间谍组织。

赛门铁克安全防护

赛门铁克和诺顿产品可通过检测以下恶意软件,帮助用户抵御该网络间谍组织的攻击行为:

防病毒程序

· Backdoor.Pirpi

· Backdoor.Pirpi!dr

· Backdoor.Pirpi!gen1

· Backdoor.Pirpi!gen2

· Backdoor.Pirpi!gen3

· Backdoor.Pirpi!gen4

· Backdoor.Pirpi.A

· Backdoor.Pirpi.B

· Backdoor.Pirpi.C

· Backdoor.Pirpi.D

· Downloader.Pirpi

· Downloader.Pirpi!g1

入侵预防系统

· System Infected: Backdoor.Pirpi Activity 3

相关新闻:
网友评论(0) 评论仅代表网友个人观点,不代表CBINews观点。
CBINews网友您好,欢迎发表评论:(注册 后发表评论,可就本文发起辩论,将会获得更多关注)
 CBINews网友  注册邮箱:  

CBI 友情链接:

腾讯科技 |  凤凰科技 |  商业伙伴 |  移动信息化 |  企业网 |  中国软件网 |  CIO时代网 |  更多>>

CBI集团其它网站:

电脑商情在线 | 存储伙伴 | 服务器伙伴 | 中小企业IT网

CBI 地方分站:

上海 |  广州 |  成都 |  西安 |  沈阳 |  武汉 |  南京 |  重庆 |  长沙 |  济南 |  太原 |  合肥 |  长春  |  杭州 |  昆明 |  南宁 |  哈尔滨 |  兰州 |  乌鲁木齐 |  福州 |  郑州 |  贵州

整合营销 |  CBINews刊例 |  《电脑商情报》刊例 |  联系方式 |  版权声明 |  友情链接

内容版权所有:电脑商情在线 北京米迪亚广告有限公司

地址:北京市海淀区中关村南大街28号6层 联系电话:(010)62178877-218

商务、内容合作QQ:15528356 客服电话:800-886-4689

电脑商情信息服务集团 成都华好网景科技有限公司

ICP证:川B2-20070068-5 川预审H8VZ-RBP6-X228-T60Z号 北京市公安局海淀分局备案编号:1101083710