最新公告
  • 欢迎您光临悠哉网,本站秉承服务宗旨 履行“站长”责任,销售只是起点 服务永无止境!立即加入我们
  • ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    ESET的研究人员发现了一起针对越南政府网站的供应链攻击,就在Able Desktop软件遭受供应链攻击的几周后,越南政府认证机构(VGCA)的网站ca.gov.vn又发生了一起类似的攻击。攻击者修改了该网站上可供下载的两个安装程序,并添加了一个后门,以攻击合法应用程序的用户。

    ESET的研究人员在2020年12月初发现了这种新的供应链攻击,并通知了受攻击的组织和VNCERT。研究人员认为,截至2020年8月底,该网站并没有提供受攻击的软件安装程序,ESET的追踪研究数据也并没有表明受攻击的安装程序已传播到其他任何地方。越南政府认证机构也承认,他们在ESET通知之前就检测到了这次攻击,并通知了下载木马软件的用户。

    越南的供应链攻击

    在越南,数字签名非常普遍,因为数字签名的文档具有与“湿”签名相同的可执行性。根据第130/2018号法令,用于签署文件的加密证书必须由包括VGCA在内的授权证书提供商之一授予,VGCA是政府密码委员会的一部分,该委员会又归属新闻和通信部。

    除了颁发证书,VGCA还开发和发布了数字签名工具包。越南政府用它来签署数字文件,很可能私人公司也用它。对于APT小组来说,认证机构网站的攻击是一个很好的机会,因为访问者可能会对负责数字签名的国家组织高度信任。

    如图1所示,这些程序似乎部署在党和国家机构中。

    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    ca.gov.vn的屏幕截图

    根据ESET的分析,至少从2020年7月23日到2020年8月16日,ca.gov.vn就已经受到攻击。有两个安装程序可以下载,gca01-client-v2-x32-8.3.msi和gca01-client- v2-x64-8.3.msi被修改为包含了一个名为PhantomNet或SManager的恶意软件,NTT Security最近对该软件进行了分析。目前ESET能够确认这些安装程序是通过HTTPS协议从ca.gov.vn下载的,所以研究人员认为这不太可能是中间人攻击。指向恶意安装程序的URL为:

    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    来自VirusTotal的数据也证实了这一点,如图2所示。

    VirusTotal截图,它显示了木马安装程序下载URL的位置

    木马安装程序没有正确签名,但是我们注意到干净的GCA安装程序也没有正确签名(该对象的数字签名未验证),官方和木马MSI都使用分配给Safenet公司的证书。

    图3是供应链攻击的摘要,要想被破解,用户必须手动下载并执行官方网站上的破解软件。

    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    供应链攻击的简化方案

    下载并执行后,安装程序将启动正版GCA程序和恶意文件。恶意文件被写入C:\\ Program Files \\ VGCA \\ Authentication \\ SAC \\ x32 \\ eToken.exe。通过安装合法程序,攻击者可以确保最终用户不会轻易注意到这种攻击。

    这个恶意文件是一个简单的dropper ,它提取名为7z.cab的Windows cabinet文件(.cab),其中包含后门。

    如果dropper作为管理员运行,则后门将被写入c:\\ windows \\ appatch\\ netapi32.dll,并且为了持久性攻击,dropper将恶意DLL注册为服务。

    如果以普通用户身份运行,则后门将写入%TEMP%\\ Wmedia \\

    PhantomNet

    后门由其开发人员命名为Smanager_ssl.DLL,但研究人员使用的是PhantomNet,因为这是该后门的较旧版本中使用的项目名称。最新版本是在2020年4月26日,即在供应链攻击发生将近两个月之前编译的。除越南外,研究人员在菲律宾也看到了受害者,但不幸的是,研究人员没有发现这些示例中的传播机制。

    这个后门很简单,大部分的恶意功能可能是通过额外的插件来部署的。它可以检索受害者的代理配置,并使用它接触到命令和控制(C&C)服务器,这表明目标很可能在一个公司网络中运行。

    PhantomNet使用HTTPS协议与其硬编码的C&C服务器进行通信: vgca.homeunix[.]org和office365.blogdns[.]com。为了防止中间人攻击,PhantomNet使用SSPI库中的函数实现证书固定。在与C&C服务器的第一次连接期间下载证书,然后将其存储在Windows证书存储区中。

    除了使用动态DNS提供程序外,有趣的是注意到第一个子域的名称vgca是为了模仿越南政府证书颁发机构的名称而选择的。

    攻击者可以使用以下五个命令来控制植入程序:

    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    在VirusTotal上,研究人员找到了一个与上述导出匹配的插件。它是一个调试版本,根据其PDB路径和其他调试路径而命名为SnowballS:

    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    初步的粗略分析表明,该工具可以用于横向移动,因为它嵌入了Invoke-Mimikatz。invoke-mimikatz是powersploit渗透测试套装中的一个powershell版本的mimikatz工具,用来抓取windows操作系统中的密码。它还可以收集有关受害设备和用户帐户的信息。这表明PhantomNet可以接收额外的和复杂的插件,这些插件可能只部署在恶意软件运营商特别感兴趣的设备上。

    在越南的攻击事件中,研究人员时无法恢复有关攻击后活动的数据,因此研究人员无法了解攻击者的最终目标。

    总结

    借助Able Desktop的攻击威力,Lazarus对WIZVERA VeraPort的攻击以及最近对SolarWinds Orion的供应链攻击,可以看到,供应链攻击是网络间谍组织非常常见的攻击途径。在本文的示例中,攻击者就是攻击了一个越南证书颁发机构的网站,该机构的用户可能对该机构有很高的信任度。

    供应链攻击通常很难被发现,因为恶意代码通常隐藏在许多合法代码中,这使得发现它们变得非常困难。

    IoC

    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动
    ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    本文我翻译自:https://www.welivesecurity.com/2020/12/17/operation-signsight-supply-chain-attack-southeast-asia/如若转载,请注明原文地址。

    【编辑推荐】

    1. 2020年值得推荐的六大服务器管理软件和工具
    2. 2021—2025年数字经济九大技术趋势展望
    3. 20 分钟建立一个 Ansible 实验室
    4. 聊聊通信界的“超级网红”SRv6
    5. 2020年已如此糟糕,网络安全的2021还会更差吗?
    1. 本站所有资源来源于用户上传和网络,如有侵权请邮件联系站长!
    2. 分享目的仅供大家学习和交流,您必须在下载后24小时内删除!
    3. 不得使用于非法商业用途,不得违反国家法律。否则后果自负!
    4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解!
    5. 如有链接无法下载、失效或广告,请联系管理员处理!
    6. 本站资源售价只是赞助,收取费用仅维持本站的日常运营所需!
    7. 如遇到加密压缩包,默认解压密码为"www.yoozai.net",如遇到无法解压的请联系管理员!
    悠哉网 » ESET的研究人员发现了一起针对越南政府认证机构的供应链攻击行动

    常见问题FAQ

    免费下载或者VIP会员专享资源能否直接商用?
    本站所有资源版权均属于原作者所有,这里所提供资源均只能用于参考学习用,请勿直接商用。若由于商用引起版权纠纷,一切责任均由使用者承担。更多说明请参考 VIP介绍。
    提示下载完但解压或打开不了?
    最常见的情况是下载不完整: 可对比下载完压缩包的与网盘上的容量,若小于网盘提示的容量则是这个原因。这是浏览器下载的bug,建议用百度网盘软件或迅雷下载。若排除这种情况,可在对应资源底部留言,或 联络我们.。
    找不到素材资源介绍文章里的示例图片?
    对于PPT,KEY,Mockups,APP,网页模版等类型的素材,文章内用于介绍的图片通常并不包含在对应可供下载素材包内。这些相关商业图片需另外购买,且本站不负责(也没有办法)找到出处。 同样地一些字体文件也是这种情况,但部分素材会在素材包内有一份字体下载链接清单。
    悠哉网 WWW.YOOZAI.NET
    悠哉网,用户消费首选的网站,喜欢你就悠哉一下。

    发表评论

    • 894会员总数(位)
    • 32093资源总数(个)
    • 4440本周发布(个)
    • 782 今日发布(个)
    • 300稳定运行(天)

    提供最优质的资源集合

    立即查看 了解详情