首页 文章 精选 留言 我的

精选列表

搜索[工具库],共10000篇文章
优秀的个人博客,低调大师

美国CIA网络武器新增被动流量监听器

2021年4月27日,卡巴斯基发布了2021年第一季度APT活动总结,里面提到了一个新的Lambert家族木马。 卡巴斯基表示,在2019年2月,多家反病毒公司收到了一系列恶意软件样本,其中大多数与各种已知的APT组织相关。而一些样本不能与任何已知活动相关联,并且样本使用的技术非常先进。 该样本是在2014年编译,因此有可能在2014年和2015年末部署在目标设备上。卡巴斯基表示没有发现样本与任何其他已知恶意软件的存在相同的代码,但样本的编码模式,风格和使用的技术却能够在各个Lambert木马家族中看到。 卡巴斯基会将Lambert各个木马家族以颜色来命名。因此,卡巴斯基将此恶意软件命名为Purple Lambert。 Purple Lambert由几个模块组成,其网络模块会被动监听流量,当监听到特定流量(Magic Packet)时会被唤醒,木马才会脱离潜伏状态,从而执行其他恶意行为。 木马可以为攻击者提供有关受感染系统的基本信息,并执行接收攻击者发送的恶意Payload,从而进行下一步的攻击行动。 卡巴斯基认为,该木马的功能与另一个在用户模式进行被动监听Gray Lambert很相似。 事实证明,Gray Lambert在多次攻击中都替代了在内核模式进行被动监听的White Lambert木马。最后,Purple Lambert实现的功能(监听流量)类似于Gray Lambert和White Lambert,但实现的方式不同。 关于Gray Lambert,黑鸟通过查阅发现,该木马会以服务的形式启动,在进行了一系列持久化操作后,会正式开始进行被动监听流量操作,其会先从资源中释放加载一个网络流量监控和过滤模块,并尝试通过驱动获取过滤的流量。 主要会从System\\CurrentControlSet\\Services\\Null注册表项获取Description值,其中存储的是驱动注册的文件名,以此来实现和驱动的通信。若不存在对应驱动,那么其采用Windows的ETW机制来实现网络流量的过滤。 (ETW(Event trace for Windows)是微软提供的追踪和记录由应用程序和内核驱动事件的机制。) 关于White Lambert,该木马在执行一系列操作后,最终会加载一个恶意驱动程序,该驱动是一个通过NDIS流量过滤的Rookit,木马会通过NDIS注册一个自定义的协议,并通过该协议过滤对应网卡中的流量数据,并实现具体的功能(远程控制命令)。 (NDIS网络驱动程序接口规范 (Network Driver Interface Specification)。

资源下载

更多资源
Mario

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长,特征是大鼻子、头戴帽子、身穿背带裤,还留着胡子。与他的双胞胎兄弟路易基一起,长年担任任天堂的招牌角色。

Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称,一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring

Spring框架(Spring Framework)是由Rod Johnson于2002年提出的开源Java企业级应用框架,旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念,提供核心容器、应用上下文、数据访问集成等模块,支持整合Hibernate、Struts等第三方框架,其适用范围不仅限于服务器端开发,绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux

Rocky Linux(中文名:洛基)是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版,作为CentOS稳定版停止维护后与RHEL(Red Hat Enterprise Linux)完全兼容的开源替代方案,由社区拥有并管理,支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性,采用模块化包装和SELinux安全架构,默认包含GNOME桌面环境及XFS文件系统,支持十年生命周期更新。

用户登录
用户注册