针对中东石油能源工业控制系统的又一网军诞生

最新推荐文章于 2022-05-20 16:22:36 发布

blackorbird

最新推荐文章于 2022-05-20 16:22:36 发布

阅读量372

点赞数

本文链接：https://blog.csdn.net/blackorbird/article/details/102462759

版权

640?wx_fmt=png

自打石油，天然气等资源被合理开采和利用后，中东地区给人的体验，基本就是富的流油，流的连飞机模型和真正的飞机都区分不清，3.29欧元和3.29亿欧元之间的区别，可能仅仅是觉得价格有点贵，但仍然是合理的。

640?wx_fmt=png

当然，有钱赚的地方，就会有争端，更何况中东地区之间的矛盾与纷争已经不是一年两年的事情，此前黑鸟在某课上也大概讲了讲关于中东之间的矛盾点，以及衍生的网络战争，为去敏，打码部分自行脑补。

640?wx_fmt=png

如上图所看，还有很多的中东网军并没有罗列进去，诸如，野山猫，甚至各类间谍机构，如大名鼎鼎的以色列，伊朗圣城旅。

而今天要谈的是一个新披露的中东网军，其名目前有两，一为HEXANE(正己烷)，二为 LYCEUM(阅览室)。

由于该网军大多针对中东的能源组织发起攻击，而dragos对其命名为HEXANE(正己烷)更为贴近组织特征(深得黑鸟欢心)，因此下文均已该名称进行阐述。

640?wx_fmt=png

HEXANE主要针对工业控制系统（ICS）的相关实体发起攻击。主要目标是中东的石油和天然气公司，包括科威特作为主要经营区域。

640?wx_fmt=png

HEXANE还针对中东，中亚和非洲的电信供应商发起攻击，目的可能是为了成为网络流通的中间人以图拦截流量，或用作相关攻击的跳板。

与其他组织一样，该组织也会通过分发恶意文档进行攻击，这些文档会释放恶意软件以为后续活动建立立足点。虽然该小组至少在2018年中期开始运作，但活动在2019年初至中期频繁进行。这一时间表，目标和增加的行动恰逢中东目前的紧张局势升级，充分表明目前的政治和军事冲突领域。

域名注册表明，2018年中期该组织的一项活动主要针对南非目标。在2019年5月，其发起了一场针对中东石油和天然气组织的攻击活动。

HEXANE针对电信供应商的行为体现出APT组织的针对供应链攻击趋势。

首先针对工业控制系统ICS的攻击越来越多地瞄准潜在目标供应链中的第三方组织。

例如，在2018年，针对几家工业原始设备制造商（OEM）以及硬件和软件供应商的APT组织XENOTIME。其通过攻击ICS系统内的目标所使用的设备，固件或电信网络，从而可能通过受信任的供应商进入受害环境，并绕过实体的大部分网络安全防护。

HEXANE表现出与MAGNALLIUM和CHRYSENE攻击组织存在的相似之处。

可见他们公司比较喜欢使用化学符号作为攻击组织的代号。

MAGNALLIUM (镁)= APT33

640?wx_fmt=png

CHRYSENE(屈) = APT34(OilRig)

640?wx_fmt=png

这两个组织均会针对ICS目标进行攻击活动，同样主要集中在石油和天然气，而一些行为和最近观察到的战术，技术和过程（TTPs）是相似的。与HEXANE一样，APT33也在2019年初至中期增加了活动。并且最近针对美国政府和金融机构以及石油和天然气公司的APT33活动中，曾试图访问同个目标组织的计算机。

HEXANE最初使用通过密码暴力破解的方式获得的帐户权限。并通过这类账户发送带有恶意Excel附件的电子邮件，其中文档会释放DanBot恶意软件，并部署后渗透工具。

工具包如下：

DanBot - 第一阶段远程访问木马（RAT），使用基于DNS和HTTP的通信机制，提供基本的远程访问功能，包括通过cmd.exe执行任意命令以及上传和下载文件的能力
DanDrop - 嵌入在Excel XLS文件中的VBA宏，用于释放DanBot
kl.ps1 - 基于PowerShell的键盘记录器
Decrypt-RDCMan.ps1 - PoshC2框架的一部分
Get-LAPSP.ps1 - 来自PowerShell Empire框架的基于PowerView的脚本