您现在的位置是:首页 > 文章详情

电信运营商正在成为网络攻击活动的目标(附工具列表)

日期:2021-12-15点击:159

WOT全球技术创新大会2022,门票6折抢购中!购票立减2320元!

近日,赛门铁克Threat Hunter团队发布安全报告称,有不法组织正在对中东和亚洲地区电信运营商和IT服务商发起网络攻击。

截止到目前,此类攻击已经持续了六个月之久,背后有伊朗国家支持的黑客组织MERCURY(又名 MuddyWater、SeedWorm或 TEMP.Zagros)就是其中幕后黑手之一。

在这份安全中,赛门铁克Threat Hunter团队收集了诸多样本和数据,包括最近发生在以色列、约旦、科威特、沙特阿拉伯、阿拉伯联合酋长国、巴基斯坦、泰国和老挝等国家的网络攻击事件中,黑客所使用的工具以及一些固定下来的证据。

Exchange 服务器成首要目标

在这起长期的网络攻击活动中,易受攻击的 Exchange 服务器成为攻击者的首要目标,其目的是在拿下Exchange 服务器后,更方便他们部署web shell。

一旦攻击成功,他们会通过窃取的账户凭证在系统内部横向移动,在某些情况下,还可以借此感染其他相关组织和企业。

尽管目前尚不清楚恶意软件感染、传播媒介具体是什么,但是赛门铁克还是找到了一个名为“Special discount program.zip”的ZIP文件,其中包含远程桌面软件应用程序的安装程序。因此,赛门铁克猜测,攻击者可能会向特定目标分发鱼叉式网络钓鱼电子邮件。

工具和方法

赛门铁克Threat Hunter团队指出,在这类活动中,攻击者通常的做法是创建一个Windows 服务以启动 Windows 脚本文件 (WSF),而该文件会在网络上执行侦察活动。

随后,攻击者会通过PowerShell 来下载更多WSF,而Certutil则是为了来下载隧道工具和运行WMI查询。

“从现有的调查数据来看,攻击者在攻击活动中似乎广泛使用脚本,且基本都是用于信息收集或下载其他工具的自动化脚本。”赛门铁克Threat Hunter团队表示,“当然,在一些个例中,我们也发现攻击者使用了手动键盘攻击(攻击者停止使用脚本攻击,手动登录已经感染的系统执行手动命令),比如cURL命令请求。”

当攻击者真正在目标组织中建立存在后,他们会使用 eHorus 远程访问工具,方便进行下一步操作,包括:

  • 交付并运行本地安全管理局子系统服务(LSASS)倾销工具;
  • 交付Ligolo隧道挖掘工具;
  • 执行Certutil,从其他目标组织交换Web服务(EWS)请求一个URL。

为了进一步感染其他电信公司,参与者寻找潜在的 Exchange Web 服务链接并为此使用以下命令:

 
  1. certutil.exe -urlcache –split [DASH]f hxxps://[REDACTED]/ews/exchange[.]asmx 
  2. certutil.exe -urlcache -split [DASH]f hxxps://webmail.[REDACTED][.]com/ews 

下面给出了特定参与者使用的工具集的完整列表:

  • ScreenConnect:合法的远程管理工具;
  • RemoteUtilities:合法的远程管理工具;
  • eHorus:合法的远程管理工具;
  • Ligolo:反向隧道工具;
  • Hidec:用于运行隐藏窗口的命令行工具;
  • Nping:数据包生成工具;
  • LSASS Dumper:从本地安全机构子系统服务 (LSASS) 进程转储凭据的工具;
  • SharpChisel:隧道工具;
  • CrackMapExec:公开可用的工具,用于自动对 Active Directory 环境进行安全评估;
  • ProcDump:Microsoft Sysinternals 工具,用于监控应用程序的 CPU 峰值并生成故障转储;SOCKS5 代理服务器:隧道工具;
  • 键盘记录器:检索浏览器凭据;
  • Mimikatz:公开可用的凭证转储工具。

注:由于这些工具本身就是安全团队常用的公开工具,因此他们往往不会触发系统警报。

攻击活动和MuddyWater有关联

尽管目前尚不清楚攻击活动恶意软件的具体信息,但是赛门铁克Threat Hunter团队发现有两个IP地址与旧的MuddyWater攻击中使用的基础设施重叠。

此外,此次攻击活动中的所使用的工具集和安全研究人员报告的2021年3月份的攻击有一定的相似之处,因此赛门铁克Threat Hunter团队此次活动有MuddyWater的身影。

但目前依旧无法确定其最终归属,这是因为伊朗国家支持的很多攻击组织使用公开的工具,并且会定期更换基础设施,导致官方很难确定其归属。

参考来源:

https://www.bleepingcomputer.com/news/security/telecom-operators-targeted-in-recent-espionage-hacking-campaign/

原文链接:http://netsecurity.51cto.com/art/202112/695410.htm
关注公众号

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。

持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。

文章评论

共有0条评论来说两句吧...

文章二维码

扫描即可查看该文章

点击排行

推荐阅读

最新文章