国外安全研究者爆料中国黑客组织针对柬埔寨发起的APT攻击恶意文档

2018-09-30 164842人围观 ,发现 10 个不明物体 网络安全观点

screen_5.png近期,法国安全研究者兼 BotConf 和 FastIR创始人Sebastien Larinier继续发布线索,声称中国黑客组织Goblin Panda曾针对柬埔寨和韩国发起了APT攻击。在这篇文章中,Sebastien披露了Goblin Panda针对柬埔寨APT攻击中所所使用的恶意文档。

恶意文档相关信息

RTF文档

SHA256: 9d0c4ec62abe79e754eaa2fd7696f98441bc783781d8656065cddfae3dbf503e

攻击者利用该文档,可在目标系统中生成一个合法文件。

核心的远控程序(RAT)

SHA256: 77361b1ca09d6857d68cea052a0bb857e03d776d3e1943897315a80a19f20fc2

dll文件

SHA256: 4a5bf0df9ee222dac87e2f1b38b18660ebb92de8ba3f1cbc845f945a766dd6a6

C2

dll文件会回连域名weather.gbaycruise.com,该域名对应IP为103.193.4.106,它与早前Sebastien发现的中国黑客组织针对越南政府APT攻击的另一使用IP地址103.193.4.115,有多处网络架构重合。

01.png另外有意思的是,对柬对越攻击中用到的所有域名都是通过注册机构NAMECHEAP INC注册的,并且使用的是同一个域名服务器,同时,其中一个SHA256为0e32ce9e0c309859fd0d1193f54cad0dde7928053795892a0f6c8c96cbf6753d的dll文件,还会回连域名baoin.baotintu.com。

02.pngSebastien认为,综合7月份FireEye发布的报告来看,他判断这个恶意文档是Goblin Panda用来攻击柬埔寨政府的。

FireEye曾经披露的报告要素

今年7月,FireEye披露调查线索,怀疑中国黑客组织TEMP.Periscope在柬埔寨大选前,意图入侵柬埔寨政府获取柬埔寨大选相关信息。FireEye的调查要点如下:

攻击者用 chemscalere[.]com 和 scsnewstoday[.]com两个域名作为C2回连域名,并在上面架设了网页服务;另外,还利用第三个域名 mlcdailynews[.]com作为用途为SCANBOX的网站服务;攻击者利用的C2域名服务器中留下了一些日志记录和用到的恶意软件。

FireEye通过反入侵以上三个服务器,获取了其中的日志和其它相关信息,得出以下初步结论:

攻击者从隶属中国海南的某个IP地址远程登录和控制以上服务器,针对目标系统的恶意软件植入、命令控制和数据获取进行掌控;

攻击者的入侵已经成功渗透到柬埔寨相关的教育、航空、化工、国防、政府、海事和科技等领域的多个部门;

FireEye经过识别,已经通知了所有的受害者单位;

攻击者在入侵中还使用了新系列的恶意软件:DADBOD 和 EVILTECH,之前被识别的恶意软件系列为AIRBREAK、EVILTECH、HOMEFRY、MURKYTOP、HTRAN和SCANBOX。

FireEye通过C2服务器上的命令控制记录,还得到了一些针对7月底柬埔寨大选进行网络攻击的线索:

FireEye发现了一封针对柬埔寨反对派人士的钓鱼邮件;

FireEye发现多个柬埔寨政府实体受到攻击,包括柬埔寨的国家选举委员会、内政部、外交和国际合作部、柬埔寨参议院、经济和财政部;

FireEye发现柬埔寨国家救援党多个议员、人权和民主倡导人士和两名柬埔寨海外外交官成为攻击者目标;

FireEye发现多个柬埔寨媒体机构成为攻击者目标。

其它发现

Sebastien Larinier综合FireEye的上述报告,他自己又发现了一个与此攻击相关的新的恶意文档,c0b8d15cd0f3f3c5a40ba2e9780f0dd1db526233b40a449826b6a7c92d31f8d9,该恶意文档回连的IP地址为103.243.175.181,该IP地址还可关联到另一域名update.wsmcoff.com,其对应的IP地址为185.174.173.157,最终,IP地址185.174.173.157会与FireEye报告中的C2服务器chemscalere.com发生关联行为。

03.png因此,综合以上发现,Sebastien Larinier认为,update.wsmcoff.com也是TEMP.Periscope使用的网络攻击架构之一,Goblin Panda和TEMP.Periscope都曾对柬埔寨政府发起网络攻击,它们两个组织之间有着多个相同的技术能力特点。

*参考来源:medium \ fireeye,clouds编译,转载请注明来自FreeBuf.COM

发表评论

已有 10 条评论

取消
Loading...
css.php