打脸事件:卡巴斯基遭APT攻击长达数月未察觉


发布人:admin分类:网络安全浏览量:28发布时间:2017-12-12

Duqu2.0是现今为止最为复杂的蠕虫,广泛应用于各种APT攻击事件中。全球知名网络安全公司——卡巴斯基实验室经常会披露各机构遭APT攻击,但是这次却亲身感受了下,且被攻击长达数月未察觉。

FreeBuf百科:Duqu

Duqu最早出现在2011年9月,是继Stuxnet蠕虫后最为恶性的一种可窃取信息的蠕虫,大多数Duqu出现在工控系统中。它是一非常复杂的恶意程序,利用了大量的0day漏洞和恶意软件。安全研究员发现Duqu2.0的目标主要是新近P5+1的伊朗核武器谈判和IT安全公司,当然还不止这些,西方国家、亚洲国家、中东国家也在他们的攻击范围之内。

据卡巴斯基实验室的研究员人员的调查发现Duqu2.0使用的0day主要有以下3种:

·CVE-2015-2360;
·CVE-2014-4148;
·CVE-2014-6324;

卡巴斯基实验室被Duqu2.0入侵长达数月

卡巴斯基实验室在检测高级持续性攻击(APT)新技术时,无意中发现了Duqu2.0的入侵行为,专家确定Duqu2.0应该已经在公司的网络中潜伏数月了,同时表示卡巴斯基的用户或合作伙伴的信息没有收到威胁。

此次攻击应该是以钓鱼攻击(罪恶的源头)开始的,攻击者先从亚太地区一小公司职员入手的,通过钓鱼攻击层层地入侵,直至入侵卡巴斯基实验室的内网。

检测到Duqu2.0的入侵之后,卡巴斯基实验室就开始了大规模的内部审计,并且一直还在持续审计中。之所以做出了规格如此高的审核,就是因为他们也认为Duqu2.0是极其复杂的恶意程序,稍有不慎就有可能被趁机而入了。

新型的Duqu和2011年出现的变种很像,还有一个比较有趣的现象是Duqu2.0的幕后黑手似乎只在周六的时候不工作,不信请看下面的时间戳:

Duqu2.0不会建立任何on-desk文件,也不会生成注册表目录,它是一种基于内存的应用程序,因此很难检测到;另外它与控制服务器通信时所使用的系统也很复杂,它不会直接与C&C服务器进行通信,而是会先在网关和防火墙处安装恶意驱动,然后将所有流经内部网络的流量发送到攻击者C&C服务器上。这样一经混合,就很难被检测到了。

为什么攻击卡巴斯基实验室?

1、可能是想窃取卡巴斯基实验室的技术信息,旨在下次发动间谍攻击的时候不被检测到;

2、可能是对卡巴斯基的调查感兴趣,因为公司中有很多有价值的数据。

卡巴斯基发文回应

为了安抚公司的客户和合作伙伴,并找回一点面子,卡巴斯基实验室创始人、执行总裁Eugene Kaspersky本人在Forbes网站上专门写了一篇文章《Why Hacking Kaspersky Lab Was A Silly Thing To Do》(为什么黑卡巴斯基的行为是愚蠢的):

“这次攻击很明显是一次国家支持的工业间谍行动,因为对手用了“极为创新和先进”的恶意软件,而其中的手法也很叫绝,并且代价高昂,需要很多时间和人力来琢磨和开发。
这种攻击并不明智:你偷我的源代码有意义大吗?软件总是在不断进步的嘛,偷来的代码很快就会过时。这么想了解我们公司内部怎么运作和技术机密?这里当然是有些机密的,但是并没有什么速成宝典,一切都是我们的人艰苦努力的成果而已,如果有兴趣可以多做技术交流,而且我们也一直在对外授权很多技术。”

完整报告点

* 参考来源securityaffairs,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21242059(PV) 页面执行时间:63.44(MS)
  • xml
  • 网站地图