首页 文章 精选 留言 我的

精选列表

搜索[工具库],共10000篇文章
优秀的个人博客,低调大师

美国CIA网络武器新增被动流量监听器

2021年4月27日,卡巴斯基发布了2021年第一季度APT活动总结,里面提到了一个新的Lambert家族木马。 卡巴斯基表示,在2019年2月,多家反病毒公司收到了一系列恶意软件样本,其中大多数与各种已知的APT组织相关。而一些样本不能与任何已知活动相关联,并且样本使用的技术非常先进。 该样本是在2014年编译,因此有可能在2014年和2015年末部署在目标设备上。卡巴斯基表示没有发现样本与任何其他已知恶意软件的存在相同的代码,但样本的编码模式,风格和使用的技术却能够在各个Lambert木马家族中看到。 卡巴斯基会将Lambert各个木马家族以颜色来命名。因此,卡巴斯基将此恶意软件命名为Purple Lambert。 Purple Lambert由几个模块组成,其网络模块会被动监听流量,当监听到特定流量(Magic Packet)时会被唤醒,木马才会脱离潜伏状态,从而执行其他恶意行为。 木马可以为攻击者提供有关受感染系统的基本信息,并执行接收攻击者发送的恶意Payload,从而进行下一步的攻击行动。 卡巴斯基认为,该木马的功能与另一个在用户模式进行被动监听Gray Lambert很相似。 事实证明,Gray Lambert在多次攻击中都替代了在内核模式进行被动监听的White Lambert木马。最后,Purple Lambert实现的功能(监听流量)类似于Gray Lambert和White Lambert,但实现的方式不同。 关于Gray Lambert,黑鸟通过查阅发现,该木马会以服务的形式启动,在进行了一系列持久化操作后,会正式开始进行被动监听流量操作,其会先从资源中释放加载一个网络流量监控和过滤模块,并尝试通过驱动获取过滤的流量。 主要会从System\\CurrentControlSet\\Services\\Null注册表项获取Description值,其中存储的是驱动注册的文件名,以此来实现和驱动的通信。若不存在对应驱动,那么其采用Windows的ETW机制来实现网络流量的过滤。 (ETW(Event trace for Windows)是微软提供的追踪和记录由应用程序和内核驱动事件的机制。) 关于White Lambert,该木马在执行一系列操作后,最终会加载一个恶意驱动程序,该驱动是一个通过NDIS流量过滤的Rookit,木马会通过NDIS注册一个自定义的协议,并通过该协议过滤对应网卡中的流量数据,并实现具体的功能(远程控制命令)。 (NDIS网络驱动程序接口规范 (Network Driver Interface Specification)。

资源下载

更多资源
腾讯云软件源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题,腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构,目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring

Spring框架(Spring Framework)是由Rod Johnson于2002年提出的开源Java企业级应用框架,旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念,提供核心容器、应用上下文、数据访问集成等模块,支持整合Hibernate、Struts等第三方框架,其适用范围不仅限于服务器端开发,绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册