从白宫遭袭击事件看APT攻击

最新推荐文章于 2019-05-08 07:17:00 发布

亚信安全

最新推荐文章于 2019-05-08 07:17:00 发布

阅读量3.3k

点赞数

本文链接：https://blog.csdn.net/iqushi/article/details/45745711

版权

Pawn Storm活动激增，锁定北大西洋公约组织（NATO）与美国白宫

一直长期活跃的Pawn Storm“高级持续性威胁”（Advanced PersistentThreat，以下简称APT攻击）活动在新的一年呈现爆炸性成长，植入了新的基础架构，同时也开始锁定北大西洋公约组织（NATO）会员国，甚至是美国白宫。这是趋势科技持续研究其背后黑客组织得到的最新情报，同时也是2014年10月份Pawn Storm研究报告的后续补充。

Pawn Storm 攻击活动：背景

PawnStorm是一项专门从事经济和政治间谍活动的攻击活动，其目标广泛，包括：军事、政府、国防工业、媒体等等。

该组织是由一群处心积虑的黑客构成，至少从2007年开始活跃至今，其犯案模式非常固定，我们为其所取的名称，是根据黑客联合搭配多种工具和手法来袭击单一目标的作法，与西洋棋中的Pawn Storm（小兵联合攻击）策略如出一辙。

该组织运用了三种非常容易辨别的攻击手法：第一种是发送含有恶意Microsoft® Office文件的网络诈骗性邮件，文件当中暗藏专门窃取数据的 SEDNIT、Sofacy恶意软件；第二种是在波兰政府的一些网站上植入某些漏洞攻击程序，让浏览者感染恶意软件；第三种则是利用网络诈骗性电子邮件来将用户诱导至假冒的Microsoft Outlook Web Access（OWA）登陆网页。

PawnStorm主要攻击对象为美国及其盟友的军事单位、政府机关和媒体机构，我们判断该组织也曾攻击俄罗斯异议团体以及那些和克里姆林宫作对的团体，此外，乌克兰激进团体与军事单位也在攻击之列，因此有人揣测该组织可能跟俄罗斯政府有所关联。

今年二月，趋势科技观察到Pawn Storm又有新的活动，并发现一个专门攻击Apple用户的iOS间谍程序。

Pawn Storm 的最新发展

该组织在2015年第一季活动频繁，最值得关注的是他们设立了数十个漏洞攻击网址与十几台新的幕后操纵（C&C）服务器，专门锁定北大西洋公约组织会员国以及欧洲、亚洲与中东国家的政府单位。

与以往手法不同的是，Pawn Storm还会发送精心特制的电子邮件来诱骗用户点击某个恶意链接。

（图1网络诈骗性邮件范例）

在其中一个案例中电子邮件的主题是有关欧盟发起的“南部天然气走廊”（Southern Gas Corridor）计划，该计划的目标就是希望能减少对俄罗斯天然气的仰赖。除此之外，还有一些和政治地缘相关的其他邮件主题，例如俄罗斯和乌克兰之间的冲突，以及欧洲安全与合作组织（OSCE）的“开放天空咨询委员会”（Open Skies ConsultativeCommission）。

这些电子邮件通常内含一个看似正常的新闻网站链接，一旦点击该链接，浏览器就会执行一段系统识别程序码，偷偷将用户的操作系统版本、时区、浏览器版本以及安装的插件等等信息传送给黑客。当系统满足某些特定条件时，这个假冒的新闻网站就会显示一个用户必须安装HTML5插件才能查看网站内容的消息，如果用户Linux系统此插件则是X-Agent或Fysbis间谍软件，若用户是Windows系统此插件则是Sednit恶意软件。