扑朔迷离!“神枪手”行动与Lazarus组织有何关联?

扑朔迷离!“神枪手”行动与Lazarus组织有何关联?

一个新的高级威胁组织目前已经出现在监测雷达上,它们针对的是世界各地国防和关键基础设施部门。据悉,该组织使用无文件恶意软件,以及与朝鲜Lazarus组织相关的木马代码开发的黑客工具。

扑朔迷离!“神枪手”行动与Lazarus组织有何关联?

全球影响范围

此次黑客攻击活动被称为“神枪手(Sharpshooter)”行动,在短短两个月(2018年10月和11月)的时间内影响了全球至少87个实体组织,主要目标位于美国。基于McAfee遥测和安全研究人员的分析,大多数目标组织都是讲英语的或有英语区域办事处。该行动其他目标行业包括金融、政府、医疗保健、电信部门等。

扑朔迷离!“神枪手”行动与Lazarus组织有何关联?

2018年10月按部门分列的目标组织(资料来源:McAfee全球威胁情报)

“神枪手”行动的攻击流程

此次攻击伪装成招聘活动,攻击流程始于链接到Dropbox帐户中的恶意Microsoft Word文档,该文件内容为一些未知公司的职位和描述。

该文档中嵌入的宏会下载一个名为Rising Sun的后门,其中包括了 2015年朝鲜Lazarus组织使用的类似工具Duuzer中的源代码。Duuzer在2015年常用于攻击韩国和日本目标组织,但此后没有观察到其任何变种。

扑朔迷离!“神枪手”行动与Lazarus组织有何关联?

感染流程,最终目的是将数据发送至攻击者的控制服务器

Word文档中的恶意脚本还会下载另一个名为“Strategic Planning Manager.doc”的文档,其被用作隐藏恶意内容的诱饵,该内容在检索后会自动打开。

尽管许多技术线索都指向了Lazarus组织,但McAfee的研究人员表示,威胁行为者表现得“似乎太过刻意明显,因此无法立即得出Lazarus组织应对这些攻击活动负责的结论。”

Rising Sun后门的14种功能

Rising Sun的目的是在受感染的设备上进行侦察活动。它可以向命令和控制(C2)服务器提供有关系统网络适配器、系统详细信息、用户名、IP地址和操作系统产品名称等有效信息。它提供的其他功能能够使攻击者了解受感染设备的所有重要详细信息。

该后门的完整功能包括14个命令,允许使用Windows命令提示符执行命令、获取有关驱动器、文件和正在运行的进程的详细信息,或者写入和删除文件。此外,它还可用于更改文件属性、清除进程内存、读取文件、终止进程以及从Windows库启动进程。

与Lazarus组织有惊人的相似之处

在分析“神枪手”行动的操作手法时,McAfee的高级威胁研究团队和恶意软件研究小组注意到其幕后的威胁行为者与朝鲜Lazarus组织有明显的相似之处。

让研究人员得出此结论的原因主要由两点:第一点是研究人员发现该Microsoft Word文档是以某韩版软件创建的;第二点是该威胁行为者使用的黑客技术与此前发现的朝鲜Lazarus组织有某种关联。

除此之外,他们还强调:“该活动非常类似于Lazarus组织在2017年针对美国国防和能源部门的攻击行为”,两者都采用了相似的技黑客技术、战术和程序(TTP)。所有这些都补充了这样一个事实:三年前黑客使用的后门源代码在Rising Sun后门中被发现。

扑朔迷离!“神枪手”行动与Lazarus组织有何关联?

用于执行命令的代码签名——Duuzer(左),Rising Sun(右)

尽管如此,研究人员仍然避免做出明确的结论,即将“神枪手”行动归咎于朝鲜Lazarus组织。他们担心攻击者可能会故意泄露这些明显的痕迹,以隐藏其行踪并“嫁祸”他人。

妥协指标(IOCs)

哈希值:

8106a30bd35526bded384627d8eebce15da35d17

66776c50bcc79bbcecdbe99960e6ee39c8a31181

668b0df94c6d12ae86711ce24ce79dbe0ee2d463

9b0f22e129c73ce4c21be4122182f6dcbc351c95

31e79093d452426247a56ca0eff860b0ecc86009

控制服务器:

34.214.99.20/view_style.php

137.74.41.56/board.php

kingkoil.com.sg/board.php

文档链接:

hxxp://208.117.44.112/document/Strategic Planning Manager.doc

hxxp://208.117.44.112/document/Business Intelligence Administrator.doc

hxxp://www.dropbox.com/s/2shp23ogs113hnd/Customer Service Representative.doc?dl=1

原创文章,作者:Gump,如若转载,请注明出处:http://www.mottoin.com/news/133347.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code