《電子技術應用》
您所在的位置:首頁 > 通信與網絡 > 業界動態 > 基于SolarWinds 開發的 DarkHalo:Tomiris 連接

基于SolarWinds 開發的 DarkHalo:Tomiris 連接

2021-10-20
來源:嘶吼專業版
關鍵詞: SolarWinds 連接

  2020 年 12 月,SolarWinds 攻擊席卷全球。雖然供應鏈攻擊已經成為許多 APT 攻擊者利用的有記錄的攻擊媒介,但由于攻擊者的極端謹慎和受害者的高價值性,這一特定活動脫穎而出。據信,當 FireEye 發現該活動的第一個攻擊樣本時,攻擊者(DarkHalo又名Nobelium)已經為使用它一年多了。迄今為止收集到的證據表明,DarkHalo 在 OrionIT 的網絡中花了六個月的時間來完善他們的攻擊,并確保他們對供應鏈鏈的篡改不會造成任何不利影響,從而降低被發現的概率。

  第一個惡意更新于 2020 年 3 月被傳播給 SolarWinds 用戶,其中包含名為 Sunburst 的惡意軟件。研究人員只能假設 DarkHalo 利用這種訪問權限來收集情報,直到他們被發現的那一天。惡意活動的時間表如下:

  卡巴斯基的 GReAT 團隊也調查了這次供應鏈攻擊,并發布了兩篇關于它的博文:

  1.2020 年 12 月,研究人員分析了惡意植入的基于 DNS 的協議,并確定它泄露了被 DarkHalo 選擇用于進一步利用的受害者的身份。

  2.一個月后,研究人員發現了 Sunburst 和 Kazuar 之間有趣的相似之處,這是另一個與 Palo Alto 的 Turla 相關聯的惡意軟件家族。

  2021 年 3 月,FireEye 和微軟發布了有關活動期間使用的第二階段惡意軟件 Sunshuttle(又名 GoldMax)的更多信息。2021 年 5 月下旬,微軟還將冒充美國組織的魚叉式網絡釣魚活動歸因于 Nobelium。但到那時,線索已經消失了:DarkHalo 早就停止行動了,后續的攻擊也沒有與他們聯系在一起。

  DNS劫持

  今年晚些時候,也就是 6 月,研究人員的內部系統發現了 一個DNS 劫持成功的樣本,影響了一個獨聯體成員國的多個政府區域。這些事件發生在 2020 年 12 月和 2021 年 1 月之間,時間很短,允許攻擊者將流量從政府郵件服務器重定向到他們控制的設備。

  在這各時間范圍內,上述區域的權威 DNS 服務器被切換到攻擊者控制的解析器。這些劫持大部分時間相對較短,似乎主要針對受影響組織的郵件服務器。雖然研究人員不知道攻擊者是如何做到這一點的,但可以假設他們以某種方式獲得了受害者使用的注冊商控制面板的憑據。

  當惡意重定向處于活動狀態時,訪問者被定向到模仿原始頁面的網絡郵件登錄頁面。由于攻擊者控制了他們劫持的各種域名,因此他們能夠從證書加密中獲取所有這些虛假頁面的合法 SSL 證書,這使得未受過安全教育的訪問者很難注意到攻擊。畢竟,他們通常連接到URL并降落在一個安全的頁面。

  攻擊者設置的惡意網絡郵件登錄頁面

  十有八九,在這些網頁中輸入的任何憑據都會被攻擊者獲取,并在隨后的攻擊階段被重復使用。在某些情況下,他們還會在頁面上添加一條信息,誘使用戶安裝惡意的“安全更新”。在上面的截圖中,信息是這樣寫的:“為了繼續使用電子郵件服務,你需要安裝一個安全更新:下載更新”。

  該鏈接指向一個可執行文件,該文件是一個以前未知的惡意軟件家族的下載程序,研究人員現在將其稱為 Tomiris。

  Tomiris

  Tomiris 是一個用 Go 編寫的后門程序,其作用是不斷查詢其 C2 服務器以獲取可執行文件,以便在受害系統上下載和執行。在執行任何操作之前,它會休眠至少 9 分鐘,以試圖擊敗基于沙箱的分析系統。它通過創建和運行包含以下命令的批處理文件來建立計劃任務的持久性:

  SCHTASKS /CREATE /SC DAILY /TN StartDVL /TR “[path to self]” /ST 10:00

  C2 服務器地址沒有直接嵌入 Tomiris 內部:相反,它連接到信號服務器,該服務器提供后門應連接到的 URL 和端口。然后 Tomiris 向該 URL 發送 GET 請求,直到 C2 服務器使用以下結構的 JSON 對象響應,其結構如下:

  {“filename”: “[filename]”, “args”: “[arguments]”, “file”: “[base64-encoded executable]”}

  這個對象描述了一個可執行文件,它被下載到在受害設備上并使用提供的參數運行。此功能以及 Tomiris 除了下載更多工具之外沒有其他功能的事實表明此工具集還有其他部分,但不幸的是,研究人員迄今為止無法恢復它們。

  研究人員還發現了一個 Tomiris 變體(內部命名為“SBZ”,MD5 51AA89452A9E57F646AB64BE6217788E),它充當一個文件竊取程序,并將任何與硬編碼擴展名集(。doc、。docx、。pdf、。rar 等)匹配的最新文件上傳到C2。

  最后,在這次調查中發現的一些線索表明,Tomiris的開發者可能會說俄語,但這一點不太可靠。

  Tomiris連接

  在分析 Tomiris 時,研究人員注意到它與上面討論的 Sunshuttle 惡意軟件有許多相似之處:

  1.這兩種惡意軟件都是在Go中開發的,帶有可選的UPX包。

  2.配置文件中使用了相同的分隔符(“ | ”)來分隔元素。

  3.在這兩個家族中,使用相同的加密/混淆方案對配置文件進行編碼并與C2服務器通信。

  4.根據微軟的報告,Sunshuttle也依賴于預定的任務來保持持久性。

  5.兩個家族都比較依賴隨機性:

  5.1 Sunshuttle 將其引薦來源網址和誘餌網址隨機化,用于生成良性流量,它還在每個請求之間休眠 5-10 秒(默認情況下)。

  5.2 Tomiris 在執行過程中的不同時間將隨機延遲(0-2 秒或 0-30 秒,具體取決于上下文)添加到它休眠的基本時間。它還包含一個目標文件夾的列表,以刪除下載的可執行文件,從其中程序隨機選擇。

  5.3 Tomiris和Sunshuttle都在每次調用之前免費地用Now()的輸出重新播種RNG。

  6.這兩種惡意軟件家族經常在執行過程中休眠,以避免產生太多的網絡活動被發現。

  7.這兩個程序的一般工作流程,特別是將功能分配到函數中的方式,感覺非常相似,以至于這位分析師認為它們可能是一起被開發的。比如當準備步驟完成時,程序的主循環如何轉移到一個新的 goroutine,而主線程幾乎永遠處于非活動狀態。

  8.在Tomiris(“isRunned”)和Sunshuttle(“EXECED”而不是“executed”)字符串中都發現了英文拼寫錯誤。

  單獨來看,都不足以將Tomiris和 Sunshuttle 聯系起來。雖然證據還不足,但把這些證據放研究人員想提供的最后一個間接證據是發現網絡中感染了 Tomiris 的其他設備也感染了 Kazuar 后門。不幸的是,現有的數據不能讓我們確定是否其中一個惡意程序導致了另一個程序的部署,或者它們是否起源于兩個獨立的事件。

  下圖總結了研究人員能夠在本文提到的三個惡意軟件家族之間發現的薄弱環節:

  最后,許多線索暗示了 Sunburst、Kazuar 和 Tomiris 之間有著非常緊密地聯系,但感覺仍然缺少最為直接的證據,可以讓研究人員將它們全部歸因于一個攻擊者。目前的證據推測如下,由于 Sunshuttle 的高調性質,其他攻擊者可能故意試圖復制其設計以誤導分析師。研究人員所知的最早的 Tomiris 樣本出現在 2021 年 2 月,也就是 Sunshuttle 向被發現的一個月前。雖然此時其他 APT 可能已經意識到該工具的存在,但研究人員認為他們不太可能在它被披露之前嘗試模仿它。一個更可能(但尚未證實)的假設是,Sunshuttle 的開發者早在 2020 年 12 月左右開始開發 Tomiri。

  總結

  如果研究人員對Tomiris和Sunshuttle之間聯系的猜測是正確的,那就能讓研究人員更好地了解攻擊者被發現后是如何重新構建新攻擊的。




電子技術圖片.png

本站內容除特別聲明的原創文章之外,轉載內容只為傳遞更多信息,并不代表本網站贊同其觀點。轉載的所有的文章、圖片、音/視頻文件等資料的版權歸版權所有權人所有。本站采用的非本站原創文章及圖片等內容無法一一聯系確認版權者。如涉及作品內容、版權和其它問題,請及時通過電子郵件或電話通知我們,以便迅速采取適當措施,避免給雙方造成不必要的經濟損失。聯系電話:010-82306118;郵箱:aet@chinaaet.com。
热re99久久精品国产66热_欧美小视频在线观看_日韩成人激情影院_庆余年2免费日韩剧观看大牛_91久久久久久国产精品_国产原创欧美精品_美女999久久久精品视频_欧美大成色www永久网站婷_国产色婷婷国产综合在线理论片a_国产精品电影在线观看_日韩精品视频在线观看网址_97在线观看免费_性欧美亚洲xxxx乳在线观看_久久精品美女视频网站_777国产偷窥盗摄精品视频_在线日韩第一页
  • <strike id="ygamy"></strike>
  • 
    
      • <del id="ygamy"></del>
        <tfoot id="ygamy"></tfoot>
          <strike id="ygamy"></strike>
          国产综合欧美在线看| 国产日韩欧美在线视频观看| 亚洲国产精品一区二区第一页| 亚洲国产人成综合网站| 国产精品久久毛片a| 国产精品久久福利| 国产精品久久国产愉拍| 鲁大师成人一区二区三区| 久久久亚洲精品一区二区三区| 亚洲天堂久久| 午夜精品一区二区三区四区| 国产精品自拍小视频| 1024成人网色www| 亚洲在线观看免费| 激情久久中文字幕| 午夜在线a亚洲v天堂网2018| 另类图片综合电影| 欧美日韩免费看| 亚洲专区国产精品| 在线精品视频一区二区| 久久精品观看| 国产亚洲一二三区| 美腿丝袜亚洲色图| 在线观看成人一级片| 久久国产直播| 国产区精品视频| 欧美色播在线播放| 欧美在线视频在线播放完整版免费观看| 久久在线免费视频| 亚洲免费在线精品一区| 狠狠干成人综合网| 国内成人精品2018免费看| 亚洲区国产区| 欧美激情一区二区在线| 亚洲特级片在线| 亚洲综合视频一区| 国产精品香蕉在线观看| 亚洲黄色一区二区三区| 国内精品免费在线观看| 麻豆精品视频在线观看| 久久精品国产96久久久香蕉| 国产精品一区免费视频| 久久久久久久久久久久久女国产乱| 久久精品国产99| 国产精品一区二区三区免费观看| 免费亚洲电影在线| 亚洲欧美在线高清| 欧美在线亚洲综合一区| 国产一区二区你懂的| 狠狠爱www人成狠狠爱综合网| 狂野欧美性猛交xxxx巴西| 亚洲综合色噜噜狠狠| 国产视频在线观看一区二区三区| 国产精品久久久久久久久久久久久| 这里只有精品在线播放| 国产婷婷色一区二区三区在线| 一区二区日韩精品| 久久久最新网址| 国产日韩欧美综合一区| 91久久线看在观草草青青| 国产一区成人| 亚洲精品日韩在线观看| 国产伊人精品| 久热综合在线亚洲精品| 在线不卡中文字幕播放| 激情成人中文字幕| 欧美久久99| 国产欧美日韩视频一区二区三区| 久久中文欧美| 久久午夜国产精品| 亚洲永久字幕| 国产一区二区三区在线观看免费| 久久狠狠婷婷| 在线播放日韩专区| 久久久免费精品视频| 欧美三级日本三级少妇99| 蜜臀91精品一区二区三区| 韩日成人在线| 欧美高清视频一二三区| 久久久无码精品亚洲日韩按摩| 亚洲欧美视频在线观看| 欧美色精品在线视频| 欧美一区二区三区喷汁尤物| 99视频+国产日韩欧美| 久久久一区二区三区| 欧美精品福利在线| 日韩视频在线免费观看| 麻豆久久精品| 国产精品自在线| 亚洲综合色自拍一区| 欧美一区永久视频免费观看| 国产日韩在线看片| 一区二区三区高清视频在线观看| 欧美日韩精品二区第二页| 亚洲午夜性刺激影院| 蜜桃av一区二区在线观看| 欧美视频在线一区| 女人天堂亚洲aⅴ在线观看| 欧美日韩亚洲一区二区三区在线观看| 亚洲视频在线观看一区| 国产亚洲一级| 国产精品第三页| 一区二区三区欧美激情| 红桃视频一区| 国产一区二区三区在线观看精品| 免费毛片一区二区三区久久久| 亚洲香蕉视频| 亚洲视频电影在线| 欧美在线地址| 国产精品成人在线观看| 亚洲精品国久久99热| 中文久久乱码一区二区| 夜夜嗨一区二区三区| 免费影视亚洲| 红桃视频国产精品| 久久免费视频观看| 国产精品伦理| 欧美亚洲在线播放| 在线欧美日韩| 国产精品―色哟哟| 黄色日韩在线| 欧美精品久久99久久在免费线| 国产伦精品一区二区三区免费| 亚洲激情六月丁香| 欧美日韩国产综合视频在线| 在线激情影院一区| 亚洲精品影院在线观看| 国产午夜亚洲精品理论片色戒| 久久久久久色| 欧美黄色成人网| 久久精品理论片| 久久手机精品视频| 午夜亚洲性色视频| 亚洲一级黄色| 国产精品久久久久国产精品日日| 亚洲欧美日本视频在线观看| 国产欧美日韩激情| 亚洲免费影视第一页| 欧美国产日韩视频| 在线一区免费观看| 亚洲视频导航| 国产精品久久久久9999吃药| 噜噜噜躁狠狠躁狠狠精品视频| 亚洲一区二区三区免费在线观看| 激情综合视频| 国产精品久久久久影院色老大| 亚洲观看高清完整版在线观看| 欧美一区二区久久久| 怡红院av一区二区三区| 欧美福利电影网| 国产精品日韩一区二区三区| 9色国产精品| 在线精品国产成人综合| 欧美交受高潮1| 久久国产精品久久久久久| 亚洲一区日韩在线| 国产日韩欧美不卡在线| 亚洲美女性视频| 国产一区二区三区自拍| 久久久久久尹人网香蕉| 国产精品无码永久免费888| 欧美在线视频观看免费网站| 久久成人一区二区| 欧美亚洲一区在线| 一区二区在线看| 亚洲夜晚福利在线观看| 亚洲自拍高清| 免费观看成人| 久久精品日韩欧美| 久久本道综合色狠狠五月| 欧美久久久久久久久| 国产精品成人一区二区三区夜夜夜| 亚洲国产精品福利| 亚洲国产精品va在线看黑人| 国产精一区二区三区| 欧美先锋影音| 欧美成人免费小视频| 国产视频丨精品|在线观看| 午夜久久福利| 国产欧美日韩视频在线观看| 亚洲区一区二区三区| 亚洲免费一级电影| 欧美精选一区| 亚洲网友自拍| 亚洲精品社区| 亚洲欧美高清| 欧美成人精品在线视频| 欧美大片免费久久精品三p| 日韩西西人体444www| 国内精品久久久久久久影视蜜臀| 国产美女精品一区二区三区| 欧美日韩爆操| 久久精品日产第一区二区三区| 欧美日韩欧美一区二区| 亚洲午夜精品国产| 一区二区三区www| 国产一区二区三区黄| 欧美区一区二区三区| 在线观看日韩www视频免费| 国产一区日韩欧美| 最新国产精品拍自在线播放| 亚洲精品四区| 国产视频一区在线观看| 欧美日韩网址| 亚洲欧洲日本在线| 极品尤物av久久免费看| 欧美三区不卡| 伊人色综合久久天天五月婷| 国产精品三区www17con| 黄色精品一区二区| 欧美亚州韩日在线看免费版国语版| 欧美午夜宅男影院在线观看| 久久久久久久久蜜桃| 一区二区三区高清在线| 亚洲黄色在线视频| 欧美日韩免费| 一本色道久久综合亚洲91| 国产精品区一区二区三| **网站欧美大片在线观看| 欧美二区在线| 亚洲欧洲精品一区二区三区| 久久精精品视频| 欧美在线免费观看亚洲| 欧美日韩亚洲视频一区| 国产精品福利久久久| 亚洲精品视频二区| 午夜精品视频在线观看一区二区| 亚洲精品日产精品乱码不卡| 一区二区三区欧美激情| 国产精品视频观看| 欧美区高清在线| 牛牛影视久久网| 午夜一区二区三区在线观看| 国产一区二区av| 久久久人成影片一区二区三区| 国产精品成人免费视频| 久久久青草青青国产亚洲免观| 亚洲色图在线视频| 欧美日韩成人一区二区| 国产伦精品一区二区三区视频孕妇| 欧美绝品在线观看成人午夜影视| 亚洲深夜福利| 欧美理论在线| 久久色在线播放| 欲香欲色天天天综合和网| 91久久在线视频| 亚洲永久免费观看| 国产视频精品免费播放| 亚洲激情视频网| 久久久在线视频| 蜜臀久久久99精品久久久久久| 欧美国产日韩一区二区在线观看| 欧美精品偷拍| 欧美国产一区二区| 久久天天躁狠狠躁夜夜av| 久久九九99视频| 在线视频一区观看| 国产精品久久久久久久久借妻| 亚洲永久免费观看| 久久亚洲私人国产精品va媚药| 国产伦精品一区| 久久久精品国产一区二区三区| 欧美三级中文字幕在线观看| 亚洲午夜av电影| 黄色成人片子| 韩国av一区二区三区| 久久男人资源视频| 亚洲欧美一区二区三区在线| 欧美日韩精品伦理作品在线免费观看| 欧美日韩国产免费观看| 久久国产精品久久精品国产| 在线观看一区二区精品视频| 久久精品一区二区国产| 欧美亚洲在线| 国产精品入口夜色视频大尺度| 免费视频久久| 欧美日韩性生活视频| 欧美日韩在线观看视频| 国产欧美丝祙| 欧美多人爱爱视频网站| 欧美国产三级| 国产精品一二三| 欧美视频中文在线看| 国产精品美女主播在线观看纯欲| 在线中文字幕一区| 一区二区三区视频在线观看| 好看的av在线不卡观看| 欧美激情aⅴ一区二区三区| 一区二区三区四区在线| 亚洲国产第一页| 在线播放日韩| 久久精品免费播放| 欧美日韩三级在线| 欧美伦理视频网站| 欧美精品久久久久久久久老牛影院| 国产精品国产福利国产秒拍| 亚洲国产裸拍裸体视频在线观看乱了中文| 免费成人毛片| 久久久久久久尹人综合网亚洲| 欧美国产三区| 美女主播视频一区| 宅男精品导航| 久久成人国产| 欧美黄色一区二区| 欧美日韩一区二区在线播放| 亚洲欧美久久久| 亚洲欧美激情诱惑| 亚洲成人中文| 91久久精品www人人做人人爽| 欧美专区在线观看一区| 亚洲日韩中文字幕在线播放| 亚洲激情不卡| 亚洲欧洲一区二区三区在线观看| 国产乱码精品一区二区三区不卡| 欧美精品一区二区三区久久久竹菊| 久久久高清一区二区三区| 在线不卡视频| 亚洲视频电影图片偷拍一区| 国产精品蜜臀在线观看| 在线视频中文亚洲| 国产一本一道久久香蕉| 在线免费一区三区| 国产亚洲人成网站在线观看| 中文亚洲字幕| 亚洲综合色激情五月| 亚洲视频免费看| 国内精品久久久久影院色| 中日韩高清电影网|