“金鏈熊”已致200多家機(jī)構(gòu)受害，奇安信披露年度最嚴(yán)重APT攻擊事件細(xì)節(jié)
【獵云網(wǎng)北京】12月17日報(bào)道
截止12月16日，奇安信CERT已確認(rèn)至少200家重要機(jī)構(gòu)受害，美國占比超過60%；
奇安信CERT分析認(rèn)為，執(zhí)行該攻擊行動(dòng)的是一個(gè)數(shù)百人的集團(tuán)化組織，并將其命名為“金鏈熊”；
華爾街日報(bào)稱，美國將該網(wǎng)絡(luò)間諜活動(dòng)確定為最高等級(jí)。
美國國家安全事務(wù)助理羅伯特?奧布萊恩當(dāng)?shù)貢r(shí)間15日縮短了他的出訪行程，從巴黎緊急返回華盛頓，以協(xié)調(diào)處理“美國政府機(jī)構(gòu)遭遇網(wǎng)絡(luò)攻擊”事件。
根據(jù)奇安信CERT對(duì)該事件的持續(xù)追蹤分析，截止12月16日，已確認(rèn)受害的重要機(jī)構(gòu)至少200家，波及北美、歐洲等全球重要科技發(fā)達(dá)地區(qū)的敏感機(jī)構(gòu)，其中美國占比超過60%。同時(shí)發(fā)現(xiàn)，執(zhí)行該行動(dòng)的可能是一個(gè)數(shù)百人的集團(tuán)化組織。
受害機(jī)構(gòu)中，美國占比超過60%
針對(duì)此次攻擊事件，微軟宣布，從北京時(shí)間12月17日0點(diǎn)開始，Microsoft Defender 軟件將開始阻止已知的惡意SolarWinds安裝文件。同時(shí)，據(jù)外媒 ZDNet 報(bào)道，微軟已查封在本次事件中扮演核心角色域名所在的服務(wù)器。
奇安信CERT分析發(fā)現(xiàn)，核心域名被指向一個(gè)微軟公司擁有的IP地址，根據(jù)攻擊樣本的預(yù)制指令，所有受害者的相關(guān)攻擊活動(dòng)都被即刻終止。
這顯然是美國對(duì)本次APT事件的緊急反應(yīng)，據(jù)《華爾街日報(bào)》等多家美媒報(bào)道，如果將網(wǎng)絡(luò)間諜活動(dòng)按可能的嚴(yán)重性和對(duì)國家安全的影響劃分1-10個(gè)等級(jí)，此次行動(dòng)的等級(jí)能達(dá)到10級(jí)。美國國土安全部的網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局甚至發(fā)出命令說，目前受到的黑客攻擊有可能會(huì)危及政府系統(tǒng)。
奇安信CERT發(fā)現(xiàn)，至少有200家以上的機(jī)構(gòu)被該APT組織采取了行動(dòng)，受害者遍及北美、歐洲、亞洲和中東地區(qū)的政府、科技公司和電信公司，覆蓋軍工、能源等多個(gè)涉及國家安全的行業(yè)。截至12月16日，美國已有124家機(jī)構(gòu)遭受到攻擊，占比62%。
奇安信CERT安全專家rem4x@A-TEAM認(rèn)為，這是一場足以影響全世界大型機(jī)構(gòu)的軟件供應(yīng)鏈攻擊。該組織APT攻擊具有極大的戰(zhàn)略意圖，可能是為了長期控制某些重要目標(biāo)，或者獲取足以長期活動(dòng)的憑據(jù)。
執(zhí)行該行動(dòng)的是數(shù)百人的集團(tuán)組織
奇安信CERT分析發(fā)現(xiàn)，這是一個(gè)數(shù)百人的集團(tuán)化APT組織。該組織系統(tǒng)龐大、分工明確、紀(jì)律性強(qiáng)、攻擊隱蔽，在執(zhí)行該次任務(wù)中，至少包括三個(gè)不同職能的行動(dòng)組織。
奇安信CERT根據(jù)他們的攻擊手法、樣本分析，勾畫出該APT組織的作戰(zhàn)路線圖：“這次攻擊有三個(gè)作戰(zhàn)任務(wù)，分別由三個(gè)獨(dú)立的行動(dòng)組織來完成。”奇安信CERT安全專家rem4x@A-TEAM表示。
作戰(zhàn)任務(wù)一：入侵供應(yīng)商，大范圍撒網(wǎng)
rem4x@A-TEAM判斷，該APT組織攻陷了世界知名網(wǎng)管軟件廠商SolarWinds作為入侵目標(biāo)。該軟件在全球有超過200,000個(gè)組織中使用，客戶包括美國軍方的所有五個(gè)分支機(jī)構(gòu)、五角大樓、國務(wù)院、司法部、美國國家航空航天局、總統(tǒng)執(zhí)行辦公室和國家安全局。
奇安信CERT此前分析，這次APT攻擊首先是對(duì)SolarWinds旗下的Orion網(wǎng)絡(luò)監(jiān)控軟件更新服務(wù)器進(jìn)行黑客入侵，并植入惡意代碼。目前被污染的SolarWinds軟件帶有該公司簽名，這表明SolarWinds公司內(nèi)部很可能已經(jīng)被黑客完全控制。
SolarWinds在聲明中也表示：“根據(jù)監(jiān)測，今年3月和6月發(fā)布的Orion產(chǎn)品可能已經(jīng)被秘密地安裝在大量高度復(fù)雜的、有針對(duì)性的目標(biāo)中。”同時(shí)，SolarWinds在向美國證券交易委員會(huì)提交的文件中還表示：“大約有18,000個(gè)客戶下載了木馬化的SolarWinds Orion版本”。
作戰(zhàn)任務(wù)二：實(shí)施供應(yīng)鏈攻擊，精準(zhǔn)篩選重點(diǎn)目標(biāo)
奇安信CERT發(fā)現(xiàn)，該組織具有極強(qiáng)的紀(jì)律性，對(duì)于攻擊時(shí)機(jī)、攻擊目標(biāo)的選擇，極富耐心，極其謹(jǐn)慎。
奇安信CERT認(rèn)為，完成該目標(biāo)的團(tuán)隊(duì)至少需要數(shù)十人。這些人員具有高超的代碼仿冒能力，植入的惡意代碼與SolarWinds產(chǎn)品的代碼風(fēng)格完全一致，完全不同于黑客所寫的代碼風(fēng)格，從而成功繞過SolarWinds公司復(fù)雜的測試、交叉審核、校驗(yàn)等多個(gè)環(huán)節(jié)將惡意代碼植入發(fā)布的軟件版本之中。
惡意樣本植入后，至少要通過8個(gè)步驟進(jìn)行復(fù)雜的校驗(yàn)、檢查工作才會(huì)正式開啟供應(yīng)鏈攻擊，截取部分攻擊流程圖如下：
接下來，該組織會(huì)根據(jù)回傳的受害者信息，判斷是否進(jìn)行下一步行動(dòng)，分為終止、等待、行動(dòng)三個(gè)類別，再按照不同對(duì)象，分配不同的行動(dòng)團(tuán)隊(duì)。執(zhí)行該作戰(zhàn)階段的團(tuán)隊(duì)至少需要數(shù)十人，他們需要完成基礎(chǔ)設(shè)施維護(hù)、攻擊框架設(shè)計(jì)開發(fā)、目標(biāo)甄別篩選等工作。根據(jù)奇安信CERT截止到12月16日分析的數(shù)據(jù)顯示，攻擊者至少將100家目標(biāo)排除出了行動(dòng)類別。
作戰(zhàn)任務(wù)三：針對(duì)特定目標(biāo)的滲透，完成收網(wǎng)
目前，根據(jù)奇安信CERT的統(tǒng)計(jì)，已經(jīng)完成作戰(zhàn)任務(wù)二的目標(biāo)機(jī)構(gòu)，至少有200家。一旦發(fā)起第三階段作戰(zhàn)，就意味著他們擁有這200個(gè)組織的“上帝之手”……
這200家受害的重點(diǎn)機(jī)構(gòu)，覆蓋了美國、加拿大、日本、比利時(shí)、荷蘭、澳大利亞等，多為發(fā)達(dá)國家。在行業(yè)分布上，包括國防科技、政府、醫(yī)療服務(wù)、教育、金融、食品等關(guān)鍵基礎(chǔ)商業(yè)。
奇安信CERT測算，針對(duì)200家重點(diǎn)機(jī)構(gòu)進(jìn)行定點(diǎn)滲透，就代表著有200個(gè)攻擊小組。保守估計(jì)，第三階段的作戰(zhàn)人數(shù)可能為數(shù)百人。
一個(gè)細(xì)思極恐的細(xì)節(jié)和一個(gè)終極懸念
細(xì)節(jié)：新冠疫情大幅提升了攻擊成功率
奇安信CERT發(fā)現(xiàn)，此次網(wǎng)絡(luò)攻擊的行為與新冠疫情的爆發(fā)存在重合的時(shí)間窗口。SolarWinds官網(wǎng)顯示，在新冠疫情期間，其開啟了遠(yuǎn)程辦公，并宣稱支撐全球客戶進(jìn)行線上辦公。
今年2月、3月后新冠疫情在全球蔓延，加速了全球數(shù)字化進(jìn)程，很多公司和機(jī)構(gòu)將業(yè)務(wù)從線下轉(zhuǎn)移到線上。
奇安信CERT整理相關(guān)時(shí)間軸，攻擊者在2020年2月26日更新了核心控制域名的NS記錄，該記錄被認(rèn)為是本次行動(dòng)的樞紐，圖示如下：
終極懸念：還有多少個(gè)“SolarWinds”？
SolarWinds表示，早在今年3月，該公司客戶就在不知情的情況下安裝了惡意軟件，該惡意軟件是植入到一款名為Orion的軟件產(chǎn)品發(fā)布的看似無害的例行更新中。而就是這款Orion的軟件產(chǎn)品，成了此次APT攻擊的傳送帶。
“還有多少未被發(fā)現(xiàn)的‘SolarWinds’，誰會(huì)是下一個(gè)被發(fā)現(xiàn)的‘SolarWinds’？隱藏在冰山下的APT攻擊，規(guī)模究竟有多大，輻射范圍有多廣？”這一切問題，尚無法知曉。“唯一確定的是，APT攻擊安全威脅，比我們想象要嚴(yán)重的多。我們看到的遠(yuǎn)遠(yuǎn)少于所有的可能性。”rem4x@A-TEAM表示。
相關(guān)文章
-
那個(gè)說中國是“惡龍”的美國瘋鷹，突然回咬起美國！
說起皮特·納瓦羅這個(gè)名字，關(guān)心中美關(guān)系的人應(yīng)該都聽說過。這個(gè)對(duì)中國的意識(shí)形態(tài)偏見極為強(qiáng)烈、并曾著書宣稱美國“會(huì)被中國這個(gè)惡龍殺死”的美國政治經(jīng)濟(jì)學(xué)者，自從成為美國現(xiàn)任總統(tǒng)特朗普的貿(mào)易顧問以來，就一直在煽動(dòng)特朗普對(duì)中國采取極端的貿(mào)易政策，導(dǎo)致兩國的經(jīng)貿(mào)往來不斷惡化。不過，在上個(gè)月的美國總統(tǒng)大選以特朗普的敗選而收場后，一個(gè)有趣的事情便隨之而來：身為特朗普死硬支持者的納瓦羅，開始將他對(duì)華的那股偏執(zhí)勁兒 另外，福布斯還發(fā)現(xiàn)納瓦羅所有的指控都是有選擇性地只針對(duì)民主黨贏得的州，而且針對(duì)的只是民主黨的選民。至于共和黨贏...
2020-12-18 14:53:04 美國國是突然 -
“毒瘤”壯大、階層裂變、政府失能……憤怒的美國靠什么自愈？
如果說，2016年特朗普的當(dāng)選使國際社會(huì)猛然意識(shí)到，美國社會(huì)分裂程度被嚴(yán)重低估，那么，2020年美國大選則讓整個(gè)世界開始懷疑：一個(gè)如此分裂的美國還能否愈合？2020年11月5日，警察在美國華盛頓白宮附近警戒。圖|新華社 造成這種分裂的原因，怎樣一步步將美國社會(huì)撕裂至此？雙腳踏在世界最大經(jīng)濟(jì)體土地上的美國人，為何對(duì)自身生存狀況感到如此不滿、憤怒，甚至絕望？ 在新的時(shí)空條件下，曾讓美國人引以為傲的制度“自我修復(fù)能力”還能否發(fā)揮作用？文 | 柯靜 上海社會(huì)科學(xué)院國際問題研究所編輯 | 李雪 瞭望智庫本文為瞭望智...
2020-12-18 14:50:42 毒瘤美國靠什么 -
?聽說他要成為美國駐華大使，有人急了
今天，美國那些支持現(xiàn)任總統(tǒng)特朗普的保守派政治勢力，又獲得了一個(gè)指控美國當(dāng)選總統(tǒng)“私通中國”的新材料。這個(gè)材料是：有來自美國好萊塢的消息稱，曾于2011年時(shí)來中國為上海迪士尼樂園奠基的美國迪士尼公司現(xiàn)任執(zhí)行董事長羅伯特·艾格（Robert Iger，也被稱為鮑勃·艾格），可能會(huì)出任美國下一任政府的駐華大使。根據(jù)美國《國會(huì)山報(bào)》的報(bào)道，這個(gè)宣稱艾格有可能出任美國駐華大使的消息來自美國一家報(bào)道好萊塢影 古代匈奴女子長得年輕漂亮，為何中原男子不愿娶？一缺陷難以忍受 薩達(dá)姆死前寫下一封“遺書”：內(nèi)容短短11個(gè)字，...
2020-12-18 11:49:59 他要美國急了 -
李新野：旅美華人|美國的腐敗令人絕望|2020-12-18
美國政府腐敗嗎？我的看法：美國政府極度腐敗，無可救藥。不要以為我在開玩笑，讀完這篇文章，你就明白美國的腐敗的運(yùn)行機(jī)制了。本文作者：李新野，旅美華人，文章來源網(wǎng)絡(luò)，內(nèi)容略有修改，版權(quán)歸原作者所有。如果說像中國出現(xiàn)的那種“普通人給公務(wù)員塞錢，換取公務(wù)員讓你辦事方便”這種直接的腐敗，美國是基本沒有的。即使零星有，受賄的公務(wù)員也會(huì)很快被捕，入獄。美國對(duì)直接腐敗的懲罰十分嚴(yán)苛。我剛到美國的時(shí)候，發(fā)現(xiàn)美國政府、醫(yī)院、學(xué)校等等所有單位的辦事都十分正規(guī)。法律規(guī)章說什么他們就做什么，不會(huì)給你故意找麻煩，更不會(huì)跟你吃拿卡要。...
2020-12-18 11:04:24 美國腐敗都是 -
齊魯縱橫：《是誰覺醒了中國？》：美國軍事作家驚世一問！|2020-12-18
北京時(shí)間12月17日1時(shí)59分，“采擷月壤”的嫦娥五號(hào)榮耀歸來，穩(wěn)穩(wěn)著陸在內(nèi)蒙古四子王旗，中國首次月面自動(dòng)采樣返回任務(wù)取得圓滿成功。與此前的四位“姐姐”相比，嫦娥“五姑娘”無疑是個(gè)幸運(yùn)兒：由于執(zhí)行自動(dòng)采樣返回任務(wù)而拿到了一張珍貴的地月旅行“往返票”。截至目前，世界上只有美國（據(jù)說）、蘇聯(lián)的航天器（據(jù)說）以及中國探月三期再入返回飛行試驗(yàn)器，成功開展了繞月再入返回試驗(yàn)。來自國家航天局的消息稱，作為我國復(fù)雜度最高、技術(shù)跨度最大的航天系統(tǒng)工程，嫦娥五號(hào)任務(wù)成功實(shí)現(xiàn)了多方面技術(shù)創(chuàng)新、突破了一系列關(guān)鍵技術(shù)！當(dāng)然，以第...
2020-12-18 10:59:32 中國美國蘇聯(lián) -
遏制美國科技巨頭，歐盟修訂法律要重罰了！
作者：李建秋的世界來源：李建秋的世界（ID：lijianqiudeshijie）周一的時(shí)候，歐盟定了兩部法律《數(shù)字服務(wù)法》和《數(shù)字市場法》，兩部法律主要就是限制互聯(lián)網(wǎng)巨頭在歐盟市場的力量，其中受影響最大的毫無疑問是谷歌，蘋果，亞馬遜，F(xiàn)acebook。法案包括了：公司可能因違反競爭規(guī)則而被處以年?duì)I業(yè)額10％的罰款。科技巨頭可能因“嚴(yán)重且屢次違反法律”而被完全禁止進(jìn)入歐盟市場。大型科技公司將被指定為互聯(lián)網(wǎng)的“守門人”，使它們受到更嚴(yán)格的監(jiān)管公司在任何計(jì)劃的合并或收購之前通知?dú)W盟。某些類型的數(shù)據(jù)必須與監(jiān)管機(jī)構(gòu)...
2020-12-18 09:50:22 重罰美國歐盟 -
看到這個(gè)數(shù)據(jù)，中國人都笑了，美國得吐血！
原創(chuàng)：占豪來源公眾號(hào)：占豪微信ID：zhanhao668有些事情，就是人算不如天算。特朗普這幾年，算計(jì)中國多少？簡直是罄竹難書！特朗普2017年上臺(tái)，通過大力減稅刺激了經(jīng)濟(jì)增長，爾后借助經(jīng)濟(jì)數(shù)據(jù)階段性向好的時(shí)機(jī)，在2018年向中國發(fā)起貿(mào)易戰(zhàn)。特朗普的本意是，在美國力量最強(qiáng)的時(shí)候制服中國。然而，讓特朗普沒想到的是，中國的經(jīng)濟(jì)實(shí)力會(huì)那么強(qiáng)，韌勁會(huì)那么足，美國對(duì)中國無可奈何，最后不得不兩次打電話到北京復(fù)談。2020年，新冠疫情在武漢率先被發(fā)現(xiàn)和報(bào)告，結(jié)果美國對(duì)中國落井下石，第一宣布從武漢撤離總領(lǐng)館，同時(shí)宣布與中...
2020-12-18 09:48:47 美國都笑中國人 -
范勇鵬：30多萬條生命都不能讓美國進(jìn)步，還有什么能？|2020-12-17
【文/ 范勇鵬】觀傳媒的朋友們大家好，咱們又見面了。我研究世界歷史，在人類歷史上，平均身高、健康水平和可預(yù)期壽命，是一個(gè)文明發(fā)展、社會(huì)進(jìn)步，以及其制度民主性的最主要的指標(biāo)。這幾年大家看到我們中國人的平均身高在迅速上升，而美國以如此之高的人均GDP，它的平均可預(yù)期壽命竟然在下降，所以我們在理解政治制度的時(shí)候，這也是一個(gè)重要的維度。我今天要跟大家交流的題目，跟新冠疫情也有關(guān)系。我起了一個(gè)題目叫《危機(jī)鍛造制度》，我們知道人類制度就是為了解決問題的，那么每當(dāng)危機(jī)到來的時(shí)候，對(duì)制度是一個(gè)檢驗(yàn)，同時(shí)危機(jī)對(duì)制度的發(fā)展演...
2020-12-17 19:19:08 制度中國美國 -
中俄“導(dǎo)彈發(fā)射通報(bào)協(xié)定”延期10年，美國不必緊張！
原創(chuàng)： 后沙來源微信公眾號(hào)：后沙已獲轉(zhuǎn)載授權(quán)12月15日，國防部新聞發(fā)言人譚克非在新聞發(fā)布會(huì)上證實(shí)：經(jīng)中俄兩國元首批準(zhǔn)，12月15日，國防部長魏鳳和同俄羅斯國防部長紹伊古簽署了《關(guān)于延長2009年10月13日〈中華人民共和國政府與俄羅斯聯(lián)邦政府關(guān)于相互通報(bào)發(fā)射彈道導(dǎo)彈和航天運(yùn)載火箭的協(xié)定〉有效期的議定書》。兩國國防部長舉行視頻會(huì)議，正式確認(rèn)簽署議定書，宣布將《協(xié)定》延長10年，強(qiáng)調(diào)兩軍愿在此基礎(chǔ)上加強(qiáng)務(wù)實(shí)合作，進(jìn)一步充實(shí)雙邊關(guān)系內(nèi)涵。中國外交部發(fā)言人汪文斌在12月16日也表示：上述議定書的簽署，是中俄新時(shí)...
2020-12-17 19:16:37 美國協(xié)定中俄 -
美國記者感染新冠 曾與拜登同行 拜登此前在講話過程中接連咳嗽
據(jù)“今日俄羅斯”（RT）16日報(bào)道，美國一名記者新冠病毒檢測呈陽性，本周二（15日）曾與當(dāng)選總統(tǒng)拜登一同赴佐治亞州參加活動(dòng)。報(bào)道稱，拜登此前在講話過程中接連咳嗽，之后解釋自己“患了感冒”。延伸閱讀：拜登新冠疫情工作組成員：拜登將很快接種新冠疫苗據(jù)美國有線電視新聞網(wǎng)（CNN）16日報(bào)道，美國當(dāng)選總統(tǒng)拜登的新冠疫情工作組成員里克·布萊特（Rick Bright）周三表示，拜登“很快就會(huì)接種疫苗”，他 “拜登他不想插隊(duì)，這是一定的，”布萊特告訴CNN，“他希望確保有限劑量的疫苗能夠提供給最需要的人，最脆弱的人，...
2020-12-17 19:10:04 美國過程中曾與
| 留言與評(píng)論（共有 0 條評(píng)論） |
