国外安全研究者爆料中国黑客组织针对柬埔寨发起的APT攻击恶意文档

栏目: 编程工具 · 发布时间: 6年前

内容简介:RTF文档SHA256: 9d0c4ec62abe79e754eaa2fd7696f98441bc783781d8656065cddfae3dbf503e

国外安全研究者爆料中国黑客组织针对柬埔寨发起的APT攻击恶意文档 近期,法国安全研究者兼 BotConf 和 FastIR创始人Sebastien Larinier继续发布线索,声称中国黑客组织Goblin Panda曾针对柬埔寨和韩国发起了APT攻击。在这篇文章中,Sebastien披露了Goblin Panda针对柬埔寨APT攻击中所所使用的恶意文档。

恶意文档相关信息

RTF文档

SHA256: 9d0c4ec62abe79e754eaa2fd7696f98441bc783781d8656065cddfae3dbf503e

攻击者利用该文档,可在目标系统中生成一个合法文件。

核心的远控程序(RAT)

SHA256: 77361b1ca09d6857d68cea052a0bb857e03d776d3e1943897315a80a19f20fc2

dll文件

SHA256: 4a5bf0df9ee222dac87e2f1b38b18660ebb92de8ba3f1cbc845f945a766dd6a6

C2

dll文件会回连域名weather.gbaycruise.com,该域名对应IP为103.193.4.106,它与早前Sebastien发现的中国黑客组织针对越南政府APT攻击的另一使用IP地址103.193.4.115,有多处网络架构重合。

国外安全研究者爆料中国黑客组织针对柬埔寨发起的APT攻击恶意文档 另外有意思的是,对柬对越攻击中用到的所有域名都是通过注册机构NAMECHEAP INC注册的,并且使用的是同一个域名服务器,同时,其中一个SHA256为0e32ce9e0c309859fd0d1193f54cad0dde7928053795892a0f6c8c96cbf6753d的dll文件,还会回连域名baoin.baotintu.com。

国外安全研究者爆料中国黑客组织针对柬埔寨发起的APT攻击恶意文档 Sebastien认为,综合7月份FireEye发布的报告来看,他判断这个恶意文档是Goblin Panda用来攻击柬埔寨政府的。

FireEye曾经披露的报告要素

今年7月,FireEye披露调查线索,怀疑中国黑客组织TEMP.Periscope在柬埔寨大选前,意图入侵柬埔寨政府获取柬埔寨大选相关信息。FireEye的调查要点如下:

攻击者用 chemscalere[.]com 和 scsnewstoday[.]com两个域名作为C2回连域名,并在上面架设了网页服务;另外,还利用第三个域名 mlcdailynews[.]com作为用途为SCANBOX的网站服务;攻击者利用的C2域名服务器中留下了一些日志记录和用到的恶意软件。

FireEye通过反入侵以上三个服务器,获取了其中的日志和其它相关信息,得出以下初步结论:

攻击者从隶属中国海南的某个IP地址远程登录和控制以上服务器,针对目标系统的恶意软件植入、命令控制和数据获取进行掌控;

攻击者的入侵已经成功渗透到柬埔寨相关的教育、航空、化工、国防、政府、海事和科技等领域的多个部门;

FireEye经过识别,已经通知了所有的受害者单位;

攻击者在入侵中还使用了新系列的恶意软件:DADBOD 和 EVILTECH,之前被识别的恶意软件系列为AIRBREAK、EVILTECH、HOMEFRY、MURKYTOP、HTRAN和SCANBOX。

FireEye通过C2服务器上的命令控制记录,还得到了一些针对7月底柬埔寨大选进行网络攻击的线索:

FireEye发现了一封针对柬埔寨反对派人士的钓鱼邮件;
FireEye发现多个柬埔寨政府实体受到攻击,包括柬埔寨的国家选举委员会、内政部、外交和国际合作部、柬埔寨参议院、经济和财政部;
FireEye发现柬埔寨国家救援党多个议员、人权和民主倡导人士和两名柬埔寨海外外交官成为攻击者目标;
FireEye发现多个柬埔寨媒体机构成为攻击者目标。

其它发现

Sebastien Larinier综合FireEye的上述报告,他自己又发现了一个与此攻击相关的新的恶意文档,c0b8d15cd0f3f3c5a40ba2e9780f0dd1db526233b40a449826b6a7c92d31f8d9,该恶意文档回连的IP地址为103.243.175.181,该IP地址还可关联到另一域名update.wsmcoff.com,其对应的IP地址为185.174.173.157,最终,IP地址185.174.173.157会与FireEye报告中的C2服务器chemscalere.com发生关联行为。

国外安全研究者爆料中国黑客组织针对柬埔寨发起的APT攻击恶意文档 因此,综合以上发现,Sebastien Larinier认为,update.wsmcoff.com也是TEMP.Periscope使用的网络攻击架构之一,Goblin Panda和TEMP.Periscope都曾对柬埔寨政府发起网络攻击,它们两个组织之间有着多个相同的技术能力特点。


以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

React

React

卓越开发者联盟 / 寸志、范洪春、杨森、陈涌 / 电子工业出版社 / 2015-5-1 / CNY 65.00

2014 年横空出世的由Facebook 推出的开源框架React.js,基于Virtual DOM 重新定义了用户界面的开发方式,彻底革新了大家对前端框架的认识,将PHP 风格的开发方式迁移到客户端应用开发。其优势在于可以与各种类库、框架搭配使用。《React:引领未来的用户界面开发框架》是这一领域的首作,由多位一线专家精心撰写,采用一个全程实例全面介绍和剖析了ReactReact.js 的方方......一起来看看 《React》 这本书的介绍吧!

JS 压缩/解压工具
JS 压缩/解压工具

在线压缩/解压 JS 代码

在线进制转换器
在线进制转换器

各进制数互转换器

Markdown 在线编辑器
Markdown 在线编辑器

Markdown 在线编辑器