安全头条

综合

资讯

资料

赛门铁克发现新的APT组织Gallmaker,目标锁定全球政府、军事和国防机构

黑客视界 2018-10-12



赛门铁克最近新发现了一个以政府、军事、国防部门及东欧国家的海外使馆为攻击目标的APT组织,他们在攻击中有意隐藏身份,...

赛门铁克最近新发现了一个以政府、军事、国防部门及东欧国家的海外使馆为攻击目标的APT组织,他们在攻击中有意隐藏身份,使用现有的攻击策略和公开的攻击工具,使得这一系列行为看起来与间谍活动性质极其类似。

该组织被命名为Gallmaker,至少自2017年12月开始运营,最近一次的活动在2018年6月。

战术和工具

Gallmaker的攻击方法最具特色之处是他们在攻击操作过程中不适用恶意软件,赛门铁克观察到的攻击活动仅使用LotL策略和公开的黑客工具来执行。他们采取了一系列步骤来访问受害者的设备,随后部署了几种不同的攻击工具,如下所示:

1.该组织向受害者发送恶意的办公室诱饵文件,发送方式很可能是鱼叉式网络钓鱼电子邮件。

2.这些诱饵文件使用带有政府、军事和外交主题的标题,文件名用英语或西里尔语书写。文件本身不是很复杂,但感染的证据表明它们是有效的。攻击者使用了会引发攻击目标阅读兴趣的文件名,例如:

  • bg embassy list.docx
  • Navy.ro members list.docx
  • Документи виза Д - кореспонденция.docx

3.这些诱饵文档尝试利用Microsoft Office动态数据交换(DDE)协议来访问受害计算机。当受害者打开诱饵文件时,会出现一个警告,要求受害者“启用内容” (参见图1)。如果用户启用此内容,则攻击者可以使用DDE协议远程执行受害者系统内存中的命令。通过仅在内存中运行,攻击者可以避免在磁盘上留下痕迹,这使得他们的活动难以检测。

4.一旦Gallmaker攻击者获得对设备的访问权限,他们就会执行各种程序,包括:

  • WindowsRoamingToolsTask:用于调度PowerShell脚本和任务。
  • Metasploit的“reverse_tcp”负载:攻击者使用通过PowerShell执行的模糊的shellcode下载这个反向shell。
  • WinZip控制台的合法版本:将创建一个任务来执行命令并与命令与控制(C&C)服务器通信。它也可能用于存档数据或者过滤新。
  • 在GitHub上可公开使用的Rex PowerShell库也在受害设备上出现。这个库帮助创建和操作PowerShell脚本,以便于Metasploit漏洞一起运行。

Gallmaker为其C&C基础设施使用三个主要IP地址与受感染的设备通信。也有证据表明,一旦它完成任务,就会从受损设备上删除一些工具,以隐藏其活动的痕迹。

图1.诱饵文档示例

此外,Gallmaker利用了DDE协议功能,尽管微软官方已经禁用,但受害者并没有安装相关补丁(或进行升级)。

目标和时间表

Gallmaker的活动目标似乎具有高度针对性,受害者都与政府,军队或国防部门有关,攻击目标还包括东欧国家的大使馆,尽管它们分布于全球不同地区,但隶属国家均一致。此外还有中东国防承包商和相关军事组织,不过东欧和中东目标之间没有明显的联系。但目标特征共性已经较为明显,显然攻击事件并非偶然。

从赛门铁克跟踪观察它起,Gallmaker的活动总体表现还算稳定,变化趋势见下图。

图2.Gallmaker 2017年12月至2018年6月活动趋势

全部评论()
邮箱
昵称
密码
确认密码
阅读并接受《用户协议》
使用其他方式登录
微信登陆 QQ登录