解码Sofacy APT组织开发新的Flash Player利用平台——DealersChoice

2016-10-28 267281人围观 ,发现 1 个不明物体 工具

Sofacy(又被称为“Fancy Bear”、“Sednit”、“STRONTIUM”或“APT28”)是一个至少从2008年就开始活跃的并且使用俄语的高级威胁组织。其攻击目标主要为全球的军事机构和政府机构。该攻击组织自从2014年进入公众视线后,一直没有停止其攻击行动。不仅如此,安全专家最近还发现Sofacy组织在攻击中使用了最新的和更高级的工具。

根据Palo Alto Networks公司所言,该组织主要针对乌克兰国防组织以及邻国的外交部等进行APT攻击。Sofacy通过伪装成欧洲议会出版社的鱼叉式网络钓鱼邮件,传播恶意文件感染受害者。

sofacy-apt-develops-new-flash-player-exploit-platform-called-dealerschoice-509413-2.jpg

Flash exploits隐藏于多层办公文件中

该鱼叉式钓鱼邮件通过发布一个关于“俄罗斯可能入侵乌克兰”的恶意文件来吸引收件人的注意。据Palo Alto公司的研究人员表示,一旦受害者打开这些文件,他们将看到众多虚假文件,包含从国际新闻媒体上复制粘贴下来的文本。而在这些文件下面,原始文件将通过对象连接与嵌入技术(Object Linking and Embedding,OLE)加载另一个Word文档,其中包含Adobe Flash SWF文件。

这些双层嵌套(double-nested)的办公文件将试图利用用户的个人电脑中未打补丁的Flash漏洞。

Sofacy研发了新型Flash开发框架

安全研究人员称,他们发现了两种截然不同的攻击,使用这些策略部署两种不同版本的嵌入式Flash SWF文件,他们称其为“DealersChoice”。

攻击者在8月相连的两个星期内,部署了两个版本:DealersChoice.ADealersChoice.B。

两者之间的差异非常明显,DealersChoice.A是一个独立的开发包(exploitation package),而DealersChoice.B则是一个模块化系统,与一个在线指挥和控制(C&C)服务器之间进行交流。

对于DealersChoice.A,该恶意软件分析当前Flash版本的本地系统,并传递包含其中的一个有效载荷。对于DealersChoice.B,初始模块会扫描系统并通知服务器,只发送适当的开发包到受害者的电脑中。

DealersChoice利用的漏洞包括:CVE-2016-4117,CVE-2016-1019和CVE-2015-7645等。

?sofacy-apt-develops-new-flash-player-exploit-platform-called-dealerschoice-509413-3.jpg

安全专家怀疑,DealersChoice是Sofacy组织研发的新开发框架的产品。我们暂时还不清楚这两个变体是否是两种独立的工具,又或者DealersChoice.B是否由DealersChoice.A演变而来。

基础设施与Sofacy此前的攻击活动相关

Palo Alto研究人员表示,鱼叉式钓鱼邮件发往的基础设施,及指挥和控制(C&C)服务器所在的托管地,都与Sofacy组织此前的攻击活动相关。因为该组织使用了相同的电子邮件地址注册了域名,这些域名与当前这些攻击和此前的攻击活动有关。

Palo Alto安全专家表示:

“DealersChoice是一个漏洞平台,允许Sofacy组织利用Adobe Flash中的漏洞发起攻击。跨平台漏洞是Sofacy组织的明显关注点,因为DealersChoice中包含检测功能,能确定目标系统的操作系统。这些检测还可以针对苹果的OS X操作系统,加上我们此前发现的Sofacy组织开发的Komplex OSX木马,意味着该组织能够在Windows和苹果操作环境中实现操作。”

关于Komplex OSX木马

2016年9月,安全研究人员发现新型Mac OS?X木马“Komplex”,研究人员称该木马与网络间谍组织Sofacy有关。因为Komplex木马病毒中的恶意编码与黑客组织Sofacy曾通过钓鱼邮件攻击美国政府的Carberp木马病毒相同。至少可以确定的是,Carberp木马病毒和Komplex木马病毒使用至少是同一个设计框架。

taikong.jpg

该病毒以“俄罗斯太空计划”作为诱饵,而且针对Mac OS X操作系统。在入侵装有Mac OS X 系统的电脑后,会自动保存一个声称与俄国太空计划有关的PDF文件,用户打开文件后就会中招。

Palo Alto称,截至目前,已知的Komplex木马有三个版本,分别可用来攻击x64架构、x86架构以及x64和x86架构。目前有多少人感染了Komplex病毒还是未知数。

*原文链接:softpedia、米雪儿编译,转载请注明来自FreeBuf黑客与极客

更多精彩
相关推荐
发表评论

已有 1 条评论

取消
Loading...

特别推荐

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php