内容简介:RTF文档SHA256: 9d0c4ec62abe79e754eaa2fd7696f98441bc783781d8656065cddfae3dbf503e
近期,法国安全研究者兼 BotConf 和 FastIR创始人Sebastien Larinier继续发布线索,声称中国黑客组织Goblin Panda曾针对柬埔寨和韩国发起了APT攻击。在这篇文章中,Sebastien披露了Goblin Panda针对柬埔寨APT攻击中所所使用的恶意文档。
恶意文档相关信息
RTF文档
SHA256: 9d0c4ec62abe79e754eaa2fd7696f98441bc783781d8656065cddfae3dbf503e
攻击者利用该文档,可在目标系统中生成一个合法文件。
核心的远控程序(RAT)
SHA256: 77361b1ca09d6857d68cea052a0bb857e03d776d3e1943897315a80a19f20fc2
dll文件
SHA256: 4a5bf0df9ee222dac87e2f1b38b18660ebb92de8ba3f1cbc845f945a766dd6a6
C2
dll文件会回连域名weather.gbaycruise.com,该域名对应IP为103.193.4.106,它与早前Sebastien发现的中国黑客组织针对越南政府APT攻击的另一使用IP地址103.193.4.115,有多处网络架构重合。
另外有意思的是,对柬对越攻击中用到的所有域名都是通过注册机构NAMECHEAP INC注册的,并且使用的是同一个域名服务器,同时,其中一个SHA256为0e32ce9e0c309859fd0d1193f54cad0dde7928053795892a0f6c8c96cbf6753d的dll文件,还会回连域名baoin.baotintu.com。
Sebastien认为,综合7月份FireEye发布的报告来看,他判断这个恶意文档是Goblin Panda用来攻击柬埔寨政府的。
FireEye曾经披露的报告要素
今年7月,FireEye披露调查线索,怀疑中国黑客组织TEMP.Periscope在柬埔寨大选前,意图入侵柬埔寨政府获取柬埔寨大选相关信息。FireEye的调查要点如下:
攻击者用 chemscalere[.]com 和 scsnewstoday[.]com两个域名作为C2回连域名,并在上面架设了网页服务;另外,还利用第三个域名 mlcdailynews[.]com作为用途为SCANBOX的网站服务;攻击者利用的C2域名服务器中留下了一些日志记录和用到的恶意软件。
FireEye通过反入侵以上三个服务器,获取了其中的日志和其它相关信息,得出以下初步结论:
攻击者从隶属中国海南的某个IP地址远程登录和控制以上服务器,针对目标系统的恶意软件植入、命令控制和数据获取进行掌控;
攻击者的入侵已经成功渗透到柬埔寨相关的教育、航空、化工、国防、政府、海事和科技等领域的多个部门;
FireEye经过识别,已经通知了所有的受害者单位;
攻击者在入侵中还使用了新系列的恶意软件:DADBOD 和 EVILTECH,之前被识别的恶意软件系列为AIRBREAK、EVILTECH、HOMEFRY、MURKYTOP、HTRAN和SCANBOX。
FireEye通过C2服务器上的命令控制记录,还得到了一些针对7月底柬埔寨大选进行网络攻击的线索:
FireEye发现了一封针对柬埔寨反对派人士的钓鱼邮件; FireEye发现多个柬埔寨政府实体受到攻击,包括柬埔寨的国家选举委员会、内政部、外交和国际合作部、柬埔寨参议院、经济和财政部; FireEye发现柬埔寨国家救援党多个议员、人权和民主倡导人士和两名柬埔寨海外外交官成为攻击者目标; FireEye发现多个柬埔寨媒体机构成为攻击者目标。
其它发现
Sebastien Larinier综合FireEye的上述报告,他自己又发现了一个与此攻击相关的新的恶意文档,c0b8d15cd0f3f3c5a40ba2e9780f0dd1db526233b40a449826b6a7c92d31f8d9,该恶意文档回连的IP地址为103.243.175.181,该IP地址还可关联到另一域名update.wsmcoff.com,其对应的IP地址为185.174.173.157,最终,IP地址185.174.173.157会与FireEye报告中的C2服务器chemscalere.com发生关联行为。
因此,综合以上发现,Sebastien Larinier认为,update.wsmcoff.com也是TEMP.Periscope使用的网络攻击架构之一,Goblin Panda和TEMP.Periscope都曾对柬埔寨政府发起网络攻击,它们两个组织之间有着多个相同的技术能力特点。
以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网
猜你喜欢:- 国外安全研究者爆料中国黑客组织针对越南政府的APT攻击样本
- 安全研究者的自我修养(续)
- 8个常见的研究者认知偏误陷阱
- 从研究者的视角看 Fuzzing 技术发展 30 年
- 【安全帮】谷歌研究者:软件技术无法解决“幽灵”芯片漏洞
- NIPS 更名风波再起,众多研究者联合抗议NIPS不改名的决定
本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。