【APT威胁】荷兰活跃APT大盘点

颁布功夫 2018-10-17
原文链接：：

https://securelist.com/threats-in-the-netherlands/88185/


引言


2018年10月4日，，荷兰军事谍报与安全局（MIVD）进行新闻颁布会披露了一路针对不容化学兵器组织（OPCW）的网络攻击事务。。。该攻击是由APT组织Sofacy（别名APT28或花式熊）提议的。。。凭据MIVD，，四名嫌犯在试图入侵OPCW网络时被当场抓获。。。该组织之前在荷兰出现过，，因而这一次的攻击活动也并不令人惊讶。。。然而，，令人惊讶的是，，除了Sofacy之外，，我们并没有在荷兰发现更多的APT组织（至少与中东地域相比，，荷兰APT组织的数量相当稀少）。。。仔细审视之后，，我们以为这相当古怪，，由于荷兰拥有多个大型跨国公司和高科技企业，，还有好多潜在的战术指标，，这些都可能成为攻击者的指标。。。我们决定对针对或影响荷兰的网络威胁活动进前进一步的审视。。。


对一个APT活动进行总结已极度难题，，更何况是对影响一个国度的所有APT活动进行综述。。。第一个难题就是，，我们只能看到我们所能看到的。。。也就是说我们只能从自己能接见的信息起源获取数据，，例如OG东方厅客户通过KSN自愿共享的数据（这些数据还要与特定的APT有关）。。。因而，，与其它安全厂商一样，，OG东方厅遥测技术也是不全面的。。。


一种改进的步骤是利用沉洞数据（sinkhole）。。。当一个APT使用的域名到期时，，钻研人员会注册该域名并将其流量引入一个沉洞服务器。。。这种情况很常见，，我们在跟踪APT组织时也沉洞了不止一个域名。。。与其它信息起源（例如KSN和多职能扫描服务）相比，，沉洞数据拥有好多利益。。。例如，，在某些情况下，，你能够通过它更好地相识受害者的情况。。。当然沉洞数据也出弊端，，由于这些数据可能存在大量的误报（例如其它钻研人员正在调查该恶意软件），，因而必须对其进行过滤。。。这种过滤处置极度麻烦，，由于若是只基于IP地址及其要求进行判断，，那么就很可贵到一个有效的verdict。。。


钻研步骤


本文中网络了从前四年内（2014年9月至2018年9月）所有荷兰IP的沉洞数据，，共计约8.5万条。。。当然这个数量敌手动验证来说太多了。。。因而OG东方厅第一步就是数据过滤，，尤其是过滤掉那些属于扫描器的数据。。。其中一些数据相对而言较易过滤（例如所有的TOR出口节点，，所有的ZmEu扫描器流量等），，另一些则复杂一点。。。


为了过滤掉扫描器流量，，去掉了那些IP地址匹配超过4个标签的数据条款（每一个标签代表了一个分歧的恶意活动）。。。这么做之后，，还渣滓约1.1万条数据。。。这或许削减了工作量的77%，，但我们还有很长的路要走，，因而我们采取了一些更为激进的过滤措施。。。


下表列出了每个IP射中的标签数。。。


OG东方厅·(中国大陆)


本文的主张是综述在荷兰活跃的APT组织及其兴致地点，，这必要正例（TP）而不是反例（FP）。。。对于渣滓的数据条款，，我们进行了反向DNS查问并保留了其ASN信息。。。在被动DNS数据库中查抄了该IP地址是否拥有与该IP地址初次进入沉洞数据库时一样的域名。。。若是域名一样，，则保留该条款 ；反之则尝试找出该IP属于哪个组织。。。确定沉洞数据中的攻击是真阳性（TP）还是假阳性（FP）的一种步骤是找出受害者。。。因而我们反向查问了其IP地址，，查抄在该IP地址初次进入沉洞数据库时，，其DNS纪录是否存在于OG东方厅被动DNS数据库中。。。若是不存在，，则该条款被忽略。。。我们采取的第二个步骤是去掉无法调查的条款（例如属于ADSL衔接的IP地址）。。。只管这种步骤过于单一粗鲁，，会忽略掉部门TP，，但由于资源有限，，调查所有的条款是不现实的，，因而我们依然决定选取该措施。。。最终了局：：还有约1000条数据期待调查。。。


此时，，对于渣滓的条款，，将其原始要求在APT模板要求中进行检索。。。最后，，对于列表中渣滓的IP地址，，尝试将其与公司或机构进行关联。。。若是关联成功，，则该条款最终被保留并象征为TP。。。


我们还查抄了OG东方厅APT汇报，，以相识位于荷兰的攻击指标并将这些了局增长到综述中。。。


钻研了局


通过以上步骤，，我们发现以下APT组织在荷兰活跃或已经活跃：：


1、BlackOasis（玄色绿洲）


BlackOasis 是我们自2016年5月以来一向跟踪的APT组织。。。该组织重要使用贸易恶意软件FinFisher（由GammaInternational公司开发的贸易恶意软件，，重要销售给国度和法律机构LEA）。。。与其它APT组织显著分歧的是，，BlackOasis利用过多个零日缝隙：：2015年以来至少已使用过5个零日缝隙。。。该组织对政治很感兴致，，其攻击指标重要是中东的国度。。。我们还曾观察到该组织针春结合国成员以及区域新闻记者的攻击。。。最近的观察了局批注该组织的攻击指标转移至俄罗斯、英国和此刻的荷兰等国度。。。其在荷兰的攻击指标也切合其兴致的转变。。。


2、 Sofacy（花式熊）


Sofacy，，别名兵风暴、花式熊等，，是一个活跃的APT组织。。。自从2011年以来我们一向在跟踪该组织。。。Sofacy以利用鱼叉式垂钓邮件习染指标和积极部署零日缝隙而闻名。。。在2015年，，趋向科技的钻研人员颁布汇报称该组织针对MH17调查小组提议攻击。。。去年，，Volkskrant又颁布汇报称该组织试图习染荷兰的多个当部门门。。。而后就是2018年10月4日的新闻，，四名Sofacy成员在2018年4月试图入侵OPCW时被捕。。。只管我们对后两起事务所知不多，，但我们也观察到多个位于荷兰的指标被Sofacy习染。。。有趣的是，，我们观察到Xagent（Sofacy的一个�？？椋┑牟渴鹪谠�2018年4月之后越来越少。。。只管在2018年8月还有一路事务中部署了Xagent，，但总体来看该组织在2018年4月至6月期间起头转向新恶意软件的部署。。。


3、Hades（哈迪斯）


Hades（冥王哈迪斯）是在2018岁首针对平昌冬奥会提议攻击的APT组织，，该组织使用的恶意软件是Olympic Destroyer。。。由于OG东方厅几条Yara规定与该恶意软件100%匹配，，因而最初我们以为该恶意软件与犯罪团伙Lazarus有关。。。然而，，经过仔细调查之后，，我们发现了指向分歧APT组织的多个谬误标签。。。几个月后，，在2018年5月（OPCW事务产生后不久），，我们发现Hades东山再起，，并且这次重要针对金融机构和化学威胁预防尝试室。。。鉴于这种兴致上的转变，，我们以为该组织转变为针对荷兰的指标也不令人不测。。。


4、Buhtrap


Buhtrap是重要针对金融机构的犯罪团伙之一，，其最终主张是窃取资金。。。该组织的工具、技术和流程（TTP）与传统的APT组织区别不大。。�：：虲arbanak、Tyupkin一样，，Buhtrap最初也是重要针对俄罗斯和乌克兰的金融机构，，但随后转变为针对其它地域的指标。。。我们在2017年在荷兰发现Buhtrap组织的恶意活动。。。


5、The Lamberts


2017年3月，，维基解密披露了Vault 7系列的泄密文档。。。其中一些文档描述的恶意软件类似于犯罪团伙the Lamberts使用的恶意软件（一个使用了几年的toolkit，，其大无数活动产生在2013年和2014年）。。。我们已经调查过的一个TheLamberts的变体是“GreenLamberts”。。。该恶意软件重要针对伊朗，，但令人惊讶地是我们在荷兰发现了不少的习染事务。。。我们对这些荷兰受害者的情况并不相识，，但是，，Lamberts在荷兰活跃的事实批注，，APT组织的兴致点可能会转移，，并且对APT组织来说国界是不存在的。。。


6、Turla


Turla别名Uroboros，，是一个非� ；钤镜腁PT组织。。。该组织与很多驰名的安全事务有关，，例如2008年针对美国中央司令部的攻击以及RUAG（一个瑞士的军事承包商）数据泄露事务。。。该组织的其它指标还蕴含当部门门和当局机构等。。。有鉴于此，，荷兰成为Turla组织的指标也极度切合逻辑。。。事实上，，若是没有在荷兰发现Turla组织的习染活动才令人惊讶。。。7、 Gatak

Gatak，，也被称为Stegoloader或GOLD，，是一个重要通过水坑攻击窃取数据的组织。。。该组织至少从2015年以来一向活跃，，其重要对知识产权感兴致。。。只管使用水坑攻击意味着该组织无法齐全节制习染指标，，但其也成功袭击了多个高价值的指标。。。OG东方厅沉洞数据库批注其中一个高价值的指标位于荷兰。。。


8、 Putter Panda（推杆熊猫）


2015年，，荷兰芯片制作商ASML遭犯罪团伙Putter Panda入侵。。。ASML认可了该次事务并宣称一个文件被盗。。。该公司没有向公家披露更多细节，，只管有一个电视节目“KRO reporter”试图还原事件的真相。。。ASML是荷兰仅有的少数高科技公司之一。。。该公司遭到入侵的事实明显地批注外国攻击者已经意识到并且对荷兰的工业间谍活动极度感兴致。。。


9、Animal Farm（动物农场�。。�


AnimalFarm是一个至少从2009年起头活跃的犯罪团伙。。。该APT组织在从前数年内攻击了多个分歧的企业，，受害者蕴含当局机构、军事承包商、活动分子和记者等。。。只管该组织重要针对法语国度，，但我们依然在荷兰发现了一些习染案例。。。


结论


固然我们对荷兰的网络威胁活动的见解仍不齐全，，但OG东方厅钻研了局也已令人惊讶。。。一些我们正本没有想到的APT组织也在该国活跃（例如Lamberts）。。。经过进一步的思虑，，尤其是将位于荷兰的潜在攻击指标与这些APT组织的兴致地点进行比力，，我们以为它们在荷兰的活动也是切合其行为逻辑的。。。


无论是意料之中还是意料之外，，这些APT在荷兰出现自身对于企业而言就是一个相识网络空间最新发展趋向（尤其是通过威胁谍报）的优良参数。。。由于既然你已经知晓了这些APT组织在做什么、它们针对了哪些企业以及它们使用的TTP，，那么你就可能提前一步去执行相应的防护措施。。。


我们在沉洞数据库中发现了令人吃惊的受“常见恶意软件”习染的企业数量，，这批注相应的预防措施很有必要。。。这些被习染的企业蕴含航空公司、机场以及其它重要公司等（应该把稳的是，，不仅仅是荷兰，，其它国度的情况也差不多）。。。这再次证了然APT组织入侵有价值的指标是多么地容易，，以及每一小我都应该维持基础的网络安全习惯。。。


最后要谨记，，对APT组织进行调查之时应该审慎对待得出的结论，，尤其是在归因方面。。。例如，，固然我们在OPCW（不容化学兵器组织）攻击事务后短功夫内发现了恶意软件OlympicDestroyer针对化学威胁预防尝试室的攻击活动，，但这并不能证明这两者是统一个攻击者所为，，甚至不能证明这两者是有关的。。。无论若何，，若是你由于以为自己可能是Sofacy的潜在攻击指标而在网络中加强安全措施以预防OlympicDestroyer（也有可能是相反的情况），，这也不失为一个好的行动。。。