freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

因安装木马化的Windows 10程序,乌克兰政府网络被攻破
2022-12-16 11:42:48
所属地 上海


乌克兰政府实体在其网络安装了带有木马ISO文件的Windows 10程序后,遭到了有针对性的黑客攻击。

这些恶意安装程序所加载的恶意软件能够从被攻击的计算机中收集数据,部署额外的恶意工具,并将窃取的数据渗透到攻击者控制的服务器。

在这次活动中推送的ISO文件中有一个是由2022年5月创建的托管在toloka[.]to乌克兰洪流跟踪器上。

网络安全公司Mandiant说:ISO被配置为禁用Windows计算机将发送至微软的典型安全遥测,并阻止自动更新和许可证验证。此次的攻击活动,无论是从通过窃取可赚钱的信息还是部署勒索软件或加密软件,都没有迹象表明入侵的经济动机。

在分析乌克兰政府网络上的几个受感染的设备时,Mandiant还发现了2022年7月中旬设置的预定任务,旨在接收将通过PowerShell执行的命令。

在最初的侦察之后,攻击者还部署了Stowaway、Beacon和Sparepart后门,使他们能够保持对被攻击的计算机的访问,执行命令,传输文件,并窃取信息,包括证书和击键。

木马化的Windows 10 ISO是通过乌克兰语和俄语的torrent文件共享平台分发的,与网络间谍组织在其基础设施上托管有效载荷的类似攻击不同。虽然这些恶意的Windows 10安装程序不是专门针对乌克兰政府的,但攻击者分析了受感染的设备,并对那些被确定为属于政府实体的设备进行了进一步的、更集中的攻击。

攻击者身份有迹可循

这次供应链攻击背后的组织被追踪为UNC4166,其目标可能是收集和窃取乌克兰政府网络的敏感信息。

虽然目前还没有明确的归属,但Mandiant的安全研究人员发现,在这次活动中被攻击的组织以前是与俄罗斯军事情报有联系的APT28国家黑客的目标名单上的。

UNC4166的目标与战争开始时GRU相关集群用擦拭器攻击的组织重合。

UNC4166进行后续互动的组织包括历史上遭受破坏性刮刀攻击的组织,自入侵爆发以来,我们与APT28有关。

APT28至少从2004年开始代表俄罗斯总参谋部主要情报局(GRU)开展活动,并与针对世界各地政府的活动有关,包括2015年对德国联邦议会的黑客攻击和2016年对民主党国会竞选委员会(DCCC)和民主党全国委员会(DNC)的攻击。

自从俄罗斯开始入侵乌克兰以来,多个针对乌克兰政府和军事组织的网络钓鱼活动被谷歌、微软和乌克兰的CERT标记为APT28行动。

Mandiant补充说:使用木马化的ISO在间谍行动中是新颖的,包括反侦测能力,表明这一活动背后的组织者有安全意识和耐心,因为该行动需要大量的时间和资源来开发和等待ISO安装在受关注的网络上。


参考来源:https://www.bleepingcomputer.com/news/security/ukrainian-govt-networks-breached-via-trojanized-windows-10-installers/

本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录