Buckeye網路間諜組織正將數家中國香港機構作為攻擊目標

玄學醬發表於2018-05-17

Buckeye網路間諜組織又被稱為APT3、Gothic Panda、UPS Team和 TG-0110，該組織已經成立超過五年，並主要針對美國及其他目標國家的企業組織開展攻擊行動。但自2015年6月起， Buckeye似乎逐漸將攻擊重點轉向中國香港的政府機構。2016年3月至今，該組織集中針對中國香港的相關機構進行惡意攻擊。最近一次攻擊發生在8月4日，Buckeye犯罪組織企圖通過傳送惡意電子郵件至被入侵的目標網路，以實現盜取資訊的目的。

通過賽門鐵克與BlueCoat Systems的聯合威脅情報服務，賽門鐵克的安全團隊清晰掌握了Buckeye組織在近幾年的策略演變。這一發現能夠幫助賽門鐵克進一步增強安全防護功能，並幫助企業使用者抵禦該組織的攻擊活動。

背景

2015年8月起，賽門鐵克遙測技術發現中國香港的部分計算機感染Backdoor.Pirpi。2016年3月底至4月初，該惡意程式的感染數量出現大幅增長。不僅如此，賽門鐵克同樣在其他調查中發現與該惡意程式相關的惡意軟體樣本，並從而確定該犯罪組織的攻擊目標為中國香港的政府機構。

在近期的部分攻擊中，Buckeye使用帶有惡意壓縮附件(.zip)的魚叉式網路釣魚電子郵件，這些電子郵件的壓縮文件附件中包含帶有MicrosoftInternet Explorer標識的Windows快捷方式 (.lnk) 檔案。受害者一旦點選該快捷方式，計算機將會下載Backdoor.Pirpi惡意程式，並在受感染的計算機中執行。

攻擊目標

2016-09-09-072d4b6385-56ec-48ce-abad-5ee

圖1.Buckeye感興趣的攻擊物件地區分佈（2015 年至今）

賽門鐵克的監測資料從2015年開始統計，但值得注意的是，在 2016 年 3 月，針對中國香港的攻擊比例出現大幅增長。2015年中期之前，Buckeye的傳統攻擊目標主要為不同型別的美國和英國組織機構。而在2015年6月，Buckeye的攻擊目標發生巨大轉變，開始攻擊中國香港，並逐漸停止對英國和美國的攻擊。

2016-09-09-26cf617efa-6734-4d45-ad20-a22

圖2.  在不同時期及不同地區中，Buckeye攻擊目標分佈圖

惡意軟體和黑客工具

Buckeye攻擊組織採用多種黑客工具和惡意軟體進行攻擊，其中，許多黑客工具為開源應用。此外，為了躲避檢測，Buckeye對這些工具還進行了一定程度的修補或調整。

Buckeye通過使用遠端訪問木馬Backdoor.Pirpi，來讀取、寫入和執行檔案與程式，以及收集攻擊目標的本地網路資訊，包括域控制器和工作站等。

Buckeye所採用的黑客工具包括：

Keylogger：Keylogger（鍵盤記錄器）可通過使用命令列引數網路服務、替換、安裝、登出進行配置。這些引數可以作為服務被安裝，然後Keylogger開始記錄如thumbcach_96.dbx等加密檔案的擊鍵次數。該工具將記錄如thumbcach_96.dbx等加密檔案的鍵盤輸入資訊。此外，Keylogger還能夠收集MAC地址、IP 地址、WINS、DHCP伺服器和閘道器等網路資訊。

RemoteCMD：RemoteCMD工具類似於Ps___exec工具，主要用於在遠端計算機上執行命令。用法為：%sshareIp domain [USER INFORMATION|[USER NAME AND PASSWORD]][/run:[COMMAND]] ，能夠傳遞的命令包括上傳、下載、服務（建立、刪除、開始、停止）、刪除、重新命名和AT。

PwDumpVariant：RemoteCMD工具可以匯入lsremora.dll（通常攻擊者將其作為工具箱的一部分一同下載），並使用GetHash匯出DLL檔案。該工具可在執行過程中，將自身注入到 lsass.exe中，並通過引數“dig”觸發。

OSinfo：OSInfo是一種通用系統資訊收集工具。它具有以下命令列引數幫助指令：

info  [options]

 -d 域

 -t 任務資訊

 -s 分享資訊和目錄

 -a區域性和全域性組使用者資訊

 -g 全域性組使用者資訊

 -gp 組高階使用者

 -f //輸入檔案中的伺服器列表，一行一臺伺服器

賽門鐵克和諾頓產品可通過檢測以下惡意軟體，幫助使用者抵禦該網路間諜組織的攻擊行為：

防病毒程式

·      Backdoor.Pirpi!dr

·      Backdoor.Pirpi!gen2

·      Backdoor.Pirpi!gen4

·      Backdoor.Pirpi.B

·      Backdoor.Pirpi.D

·      Downloader.Pirpi!g1

入侵預防系統

賽門鐵克公司（納斯達克：SYMC）是全球網路安全領導廠商。擁有全球最大的資料智慧網路之一，能夠監測全球更多網路威脅，保護更多客戶從容應對下一代網路威脅。賽門鐵克公司旨在為個人、企業和政府機構的重要資料提供全面的安全保護。

本文出處：暢享網
本文來自雲棲社群合作伙伴暢享網，瞭解相關資訊可以關注vsharing.com網站。


相關文章