Symantec:揭秘Hidden Lynx组织的APT***行动

美国时间2013年9月17日，Symantec发布了一份名为《Hidden Lynx - Professional Hackers for Hire》的报告，揭示了Symantec多年来跟踪分析的一个50～100人的顶级***组织的发起了多起APT活动行为。这些行动包括：

1）Bit9事件：针对美国著名安全厂商Bit9的***行动。先是利用SQL注入攻陷Bit9的WEB服务器，进而进入公司内部获得了一台数字代码签名证书的服务器权限，并对一些***和恶意代码脚本签发证书。注意：***Bit9并未最终目的。接下来，Bit9的客户在遭受***时，他们的Bit9软件会将那些恶意代码识别为合法的程序，从而让***者顺利进入受害人网络。这有点像之前的针对RSA SecurID的***和Comodo的***。

2）VOHO行动：针对美国政府、国防等机构的***，采用了新型的“水坑”***手法。该***首先攻陷了最终目标客户可能访问的网站——“水坑”，然后守株待兔，等那些最终受害者访问已经被植入***的网站。该***利用了一个当时的IE 0day漏洞（Microsoft XML Core Services CVE-2012-1889 Remote Code Execution Vulnerability (CVE-2012-1889)）和一个当时的JAVA远程代码执行的0day漏洞（Oracle Java SE CVE-2012-1723 Remote Code Execution Vulnerability (CVE-2012-1723)）。漏洞利用之后，hidden Lynx植入了两个具有该组织代表性的***Backdoor.Moudoor和Trojan.Naid，通过与C2连接，用于进行数据窃取。

3）FINSHO行动：针对日本的APT***。利用了0day漏洞——JAVA远程代码执行漏洞（CVE-2013-1493）。漏洞利用的程序先于Oracle的补丁出现。出现了Naid。

4）SCADEF行动：针对美国军方的供应链厂商的***。也出现了Backdoor.Moudoor。

报告总结道：From the evidence seen, it’s clear that Hidden Lynx belongs to a professional organization. They operate in a highly efficient manner. They can attack on multiple fronts. They use the latest techniques, have access to a diverse set of exploits and have highly customized tools to compromise target networks. Their attacks, carried out with such precision on a regular basis over long periods of time, would require a well-resourced and sizeable organization. They possess expertise in many areas, with teams of highly skilled individuals who can adapt rapidly to the changing landscape. This team could easily consist of 50-100 individuals. This level of resources would be needed to build these Trojans, maintain infection and C&C infrastructure and pursue confidential information on multiple networks. They are highly skilled and experienced campaigners in pursuit of information of value to both commercial and governmental organizations.

【参考】

TrendMicro：新的APT***针对亚洲和欧洲政府组织，包括中国媒体机构

Kapersky：NetTraveler APT***

TrendMicro：Safe APT***

Mandiant：APT1组织的***行动的情报分析报告

RSA：精准钓鱼***，只有榜上有名的人才会被***

TrendMicro：针对以色列美国等国的基于Xtreme RAT的APT***

McAfee：High Roller金融欺诈行动采用了创新性技术

TrendMicro：针对东亚政府和台湾电子企业的APT***IXESHE

Flame解读

Anonymous几天之内攻陷500多个中国网站

TrendMicro：针对印日的LuckyCat***

symantec：硝基***针对化工厂商

针对前独联体国家以及印度、中国的APT***案例

日本抑或也已遭受了APT***？

Stuxnet2.0现身欧洲

APT***实例研究与企业现有防御体系缺陷分析

美国五角大楼称24000份敏感文件透过网络泄露

连线杂志：史上最强的恶意软件Stuxnet揭秘