链中链？造成3CX 软件供应链事件的是另外一起供应链事件？

最新推荐文章于 2024-11-12 23:07:13 发布

奇安信代码卫士

最新推荐文章于 2024-11-12 23:07:13 发布

阅读量819

点赞数

文章标签：网络安全

原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247516298&idx=1&sn=e138d641346e77698d70abee3a29e62c&chksm=ea94b1e0dde338f6f767e54778211adb78e8788fc03bf10ec5b5ef9e6851b5efabf99041633b&scene=126&sessionid=0

版权

聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

Mandiant Consulting 公司调查发现，上个月发生的 3CX 软件供应链事件是由疑似朝鲜黑客组织攻陷股票交易自动化公司 Trading Technologies 并推送木马化的软件引发的。

该公司的首席技术官 Charles Carmakal 表示，“我们认为大量组织机构目前尚不清楚已遭攻陷。我们希望发布这则消息能够帮助企业加快判断自己是否受陷且处理安全事件。”

攻击者下载Trading Technologies 公司 X_TRADER 软件的恶意程序，并将其安装在 3CX 公司员工的个人电脑上，部署了多阶段模块化后门 VEILEDSIGNAL 以执行 shellcode，将通信模块注入 Chrome、Firefox 或 Edge 进程并自我终止。

Mandiant 公司指出，执行该攻击的组织是 UNC4736，它从员工设备上切去了企业凭据并借此在 3CX 网络中进行横向移动，最终攻陷了 Windows 和 macOS 构建环境。该公司提到，“在 Windows build 环境中，攻击者部署了 TAXHAUL 启动器和 COLDCAT 下载器，它们通过 DLL 劫持 IKEEXT 服务和以 LocalSystem 权限保持持久性。该 macOS 构建服务器通过 POOLRAT 后门攻陷，将 LaunchDaemons 作为持久机制。”该恶意软件通过合法的微软 Windows 二进制进行 DLL 侧加载实现可持久性，同时在启动时自动加载，使攻击者能够在互联网上远程访问所有的受陷设备。

和 AppleJeus 行动的关联

Mandiant 公司表示，UNC4736 和受经济利益驱动的朝鲜 Lazarus Group 组织有关，而该组织发动了 AppleJeus 活动。谷歌威胁分析团队 (TAG) 在2022年3月份的一份报告中将该攻击活动和攻陷 www.tradingtechnologies[.]com 网站关联在一起。

基于重叠的基础设施，Mandiant 公司还将 UNC4736 与APT43 （UNC3782和UNC4469）关联在一起，“从木马化的 X_TRADER app 来看，我们认为 UNC4736与朝鲜黑客存在关联。该木马 app 是通过 TAG 博客上提到的受陷的同样的网站分发的。再加上它们在TTPs 上的相似之处以及在其它基础设施上的重合之处，我们认为这些组织之间是有关联的。”