8827太阳集团

首页 > 安全钻研 > 钻研汇报 > 攻击与威胁分析

【网络战】乌克兰战争下的最新网络攻击活动综合汇报

颁布功夫 2022-04-29

一、布景

自2022年2月24日俄乌矛盾升级为全面战争后，，，，，，，，俄罗斯试图通过“闪电战”的战术急剧实现战争的主张落空，，，，，，，，直到2个多月的今天，，，，，，，，这次战争仍处于胶着状态，，，，，，，，俄乌双方均遭逢到了极度严沉的损失和伤亡。。。。。在凶残的战争之下，，，，，，，，双方依然不休地在网络战场上进行着强烈的较量。。。。。在战争发作当日，，，，，，，，8827太阳集团ADLab就对双方网络战有关的威胁谍报进行了整顿，，，，，，，，并且对乌克兰背后的网络攻击和有关谍报活动进行深刻分析，，，，，，，，颁布了有关分析文章《乌克兰战争背后的网络攻击和谍报活动》；；；；；；在3月份我们应邀撰写了《【网络战】从乌克兰战争谈现代战争的第二战场》的长篇汇报，，，，，，，，结合汗青上的对战争起着关键作用的网络战案例以及乌克兰和俄罗斯之间长达30年的网络匹敌案例，，，，，，，，全面分析了现代战争下的网络战技术、思想、作用及影响；；；；；；近期，，，，，，，，我们又接连捕获到多起针对乌克兰当局和单元的网络攻击活动，，，，，，，，攻击者借以“乌克兰防御方式”、“乌克兰汇报_最终”、“日益复杂的俄乌�；；；；；；故汀焙汀靶孤兜目死锬妨止缱佑始允久魉箍撕吞浮钡扔涤懈叨裙苹笮缘娜鹊愕龆牡到泄セ鳎�，，，，，，，试图窃取有关当局单元的机密信息。。。。。

本文将对自战争以来我们所监控到的网络攻击事务进行梳理和汇总，，，，，，，，同时从多个角度启程，，，，，，，，对部门典型的网络攻击事务进行深刻分解。。。。。

二、近期攻击事务回首

自战争发作以来，，，，，，，，网络空间就成了俄乌双方博弈和交锋的第二战场！�。。。�，，，，，，，凭据乌克兰CERT近期颁布的新闻，，，，，，，，乌克兰已经受到了至少12个黑客组织的攻击。。。。。在这些攻击中，，，，，，，，黑客组织不仅针对乌克兰当局、电信、国防、军队等要沉要部门发展网络攻击，，，，，，，，甚至还直接对乌克兰能源等基建设施进行了粉碎性网络攻击。。。。。凭据8827太阳集团ADLab的威胁谍报数据及乌克兰CERT-UA的公开汇报，，，，，，，，我们对自2022年3月以来乌克兰所遭逢的部门网络攻击安全事务进行了梳理和汇总，，，，，，，，有关网络攻击事务的功夫线如下图所示。。。。。现实上，，，，，，，，这些统计的网络攻击事务仅仅是现实攻击情况的冰山一角；；；；；；但仍不难看出，，，，，，，，战争期间针对乌克兰的网络攻击者多多，，，，，，，，其中不乏“InvisiMole”、“Vermin”、“APT-28”等驰名黑客组织，，，，，，，，有关网络攻击活动亦格表频仍。。。。。

图1.png

· 3月6日，，，，，，，，8827太阳集团ADLab监测到了一批针对乌克兰当局机构的网络攻击活动。。。。。在这次攻击活动中，，，，，，，，攻击者利用携带恶意宏或缝隙恶意文件作为初始攻击载荷，，，，，，，，诱使受害者信赖并执行后续的QuasarRAT恶意木马，，，，，，，，试图从受害主机中窃取敏感文件。。。。。乌克兰CERT也将这次事务的攻击者定名为“UAC-0086”，，，，，，，，攻击者使用的部门钓饵文档如下所示。。。。。

（1）钓饵文档示例一：假装成ISW（战争钻研钻研所）机构文件

图2.png

（2）钓饵文档示例二：假装成“Hunter Biden,Burisma, and Corruption: The Impact on U.S.Government Policy and RelatedConcerns”（”亨特·拜登《凋落:对美国当局政策的影响及有关关怯追”）汇报文件

图3.png

（3）钓饵文档示例三：“The increasinglycomplicated Russia-Ukraine crisis explained”（“日益复杂的俄罗斯-乌克兰�；；；；；；故汀保┗惚ㄎ募�

图4.png

· 3月7日，，，，，，，，被乌克兰CERT定名为“UAC-0051”的黑客组织使用恶意软件MicroBackdoor对乌克兰多个国度部门和单元发展了屡次网络攻击活动。。。。。其中，，，，，，，，有关的钓饵文件和部门恶意文件代码如下图所示。。。。。

图5.png

· 3月9日，，，，，，，，被乌克兰CERT定名为“UAC-0041”的黑客组织将“Лист про затвердження гарант??грошових кошт?в”（“现金担保核准函”）作为邮件标题，，，，，，，，并以“战争和提供财政增援议题”为邮件内容，，，，，，，，向乌克兰当局机构和单元进行大量的投递。。。。。其中，，，，，，，，“support letter.xlsx”邮件附件是携带宏代码的恶意文档，，，，，，，，受害者一旦启用宏，，，，，，，，该宏则会从攻击者的服务器高低载Formbook/XLoader恶意法式，，，，，，，，攻击者即可发展进一步的网络攻击活动。。。。。这次攻击活动的有关文件的具体信息如下图所示。。。。。

图6.png

· 3月11日，，，，，，，，被乌克兰CERT定名为“UAC-0056”的黑客组织假装成“sed-rada.gov.ua”（北顿涅茨克军民总署）向乌克兰国度机构大规模分发垂钓邮件。。。。。该邮件中蕴含两个钓饵文档，，，，，，，，且邮件正文中宣称要求各机构从“https://forkscenter.fr”网站下载并装置防病毒软件的更新文件“BitdefenderWindowsUpdatePackage.exe”。。。。。当该EXE文件成功执行后，，，，，，，，最终会从指定服务器高低载并执行GraphSteel和GrimPlant后门，，，，，，，，以便攻击者实现进一步的网络窃密指标。。。。。这次攻击事务的有关文件如下图所示：

图7.png

图8.png

钓饵文档：“?нструкц?я з антив?русногозахисту.doc”（防病毒注明.doc）

图9.png

恶意软件下载页面

· 3月15日，，，，，，，，ESET在乌克兰发现第三个粉碎性擦除器CaddyWiper，，，，，，，，其中前两个粉碎型擦除器别离是于2月23日初次发现的HermeticWiper和在2月24日第二次发现的IsaacWiper。。。。。此表，，，，，，，，与此擦除器有关的黑客组织也被乌克兰CERT定名为“UAC-0082”。。。。。粉碎性擦除器CaddyWiper中的“遍历磁盘文件并销毁”职能的代码如下图所示：

图10.png

图11.png

· 3月16日，，，，，，，，疑似APT28（UAC-0028）黑客组织仿照起源于UKR.NET新闻的垂钓邮件，，，，，，，，邮件正文中使用URL短链接服务创建的二维码，，，，，，，，疏导指标用户进行接见。。。。。一旦用户接见后，，，，，，，，则会被沉定向到假装的UKR.NET密码沉置页面的垂钓网站，，，，，，，，继而通过HTTP POST要求将用户输入的数据发送到攻击者在Pipedream平台账户钟祝。。。。

图12.png

仿照来自UKR.NET的电子邮件内容

图13.png

UKR.NET密码沉置伪造页面

图14.png

部门垂钓页面代码

· 3月17日，，，，，，，，由Vermin (UAC-0020) 组织假装为“乌克兰国防部”向乌克兰国度当局机构投递主题为“供给”的垂钓邮件。。。。。邮件中携带一个加密的RAR文件，，，，，，，，压缩包中蕴含一个文件快捷方式和一个EXE文件，，，，，，，，当打开快捷方式时，，，，，，，，将执行EXE文件。。。。。随后，，，，，，，，受害者的主机遇被恶意软件SPECTR攻击，，，，，，，，该恶意软件蕴含：SPECTR.Usb、SPECTR.Shell、SPECTR.Fs、SPECTR.Info、SPECTR.Archiver等�？？？？？椤！�。。。部门文件内容如下图所示。。。。。

图15.png

· 3月17日，，，，，，，，UAC-0088组织使用 DoubleZero对乌克兰的部吩祗业进行网络攻击。。。。。在这次攻击事务中，，，，，，，，被发现的压缩包名为“Вирус... крайне опасно!!!.zip”（“病毒...极度危险! ! !”），，，，，，，，该压缩包蕴含两个文件：cpcrs.exe和csrss.exe。。。。。通过度析发现，，，，，，，，它们使用C#编写并被归类为DoubleZero病毒。。。。。该病毒会覆盖磁盘上所有的非系统文件，，，，，，，，并依照肯定的挨次进行沉写。。。。。

图16.png

图17.png

· 3月18日，，，，，，，，InvisiMole（UAC-0035）组织针对乌克兰国度当局机构和国防单元提议了鱼叉式网络垂钓邮件攻击。。。。。邮件附件是名为“501_25_103.zip”的压缩包文件，，，，，，，，其中蕴含501_25_103.lnk快捷方式。。。。。当运行恶意快捷方式时，，，，，，，，该快捷方式会接见攻击者服务器并下载和执行HTA文件。。。。。之后，，，，，，，，HTA文件再从黑客服务器高低载并运行钓饵文档501_25_103.doc和后门法式LoadEdge。。。。。

图18.png

钓饵文档内容

· 3月22日，，，，，，，，Scarab APT组织（UAC-0026）使用 HeaderTip 恶意软件提议针对乌克兰当部门门和单元的网络攻击。。。。。8827太阳集团ADLab最初捕获到了名为“Прозбереження в?деоматер?ал?в з ф?ксац??ю злочинних д?й арм??рос?йсько?федерац??.rar”的压缩包文件，，，，，，，，里面蕴含同名的EXE文件。。。。。该恶意文件执行后会开释并打开无害的钓饵文档（“#2163_02_33-2022.pdf”），，，，，，，，同时开释和执行批处置文件（“officecleaner.bat”），，，，，，，，之后，，，，，，，，bat文件开释“httpshelper.dll”恶意文件，，，，，，，，并挪用rundll32.exe执行该恶意木马。。。。。

图19.png

压缩包文件内容

图20.png

钓饵文档有关内容

· 3月23日，，，，，，，，疑似UNC1151黑客组织（UAC-0051）使用恶意软件Cobalt Strike Beacon对乌克兰国度部门和单元进行网络攻击。。。。。被发现的恶意压缩包名为“Диверсанти.rar”，，，，，，，，其蕴含名为“Диверсанти 21.03.rar”的压缩包，，，，，，，，而该压缩包又蕴含“Диверсанти filerar.scr” 的SFX文件，，，，，，，，似乎借以暗藏文件的.scr扩大名。。。。。这次攻击事务中的sfx文件蕴含钓饵文档和图片，，，，，，，，以及恶意VBS代码。。。。。该恶意vbs代码会创建和运行名为“dhdhk0k34.com”的 .NET法式，，，，，，，，最终执行Cobalt Strike Beacon木马，，，，，，，，有关的恶意文件内容如下图所示:

图21.png

SFX文件内容

图22.png

有关钓饵文档内容

图23.png

有关钓饵图片

图24.png

混合后的恶意vbs代码

· 3月28日，，，，，，，，UAC-0056组织针对乌克兰当局（蕴含个人电视频路ICTV）投递主题为“Заборгован?сть по зарплат?”（“拖欠工资”）的垂钓邮件，，，，，，，，该垂钓邮件中蕴含Excel文档的附件文件与邮件主题名称一样，，，，，，，，使受害人削减防备而后打开恶意文件。。。。。该恶意文档中蕴含一个嵌入的宏，，，，，，，，以及部门暗藏在表格中的有效载荷。。。。。

图25.png

图26.png

该恶意宏代码会开释并执行初始可执行文件“Base-Update.exe”，，，，，，，，该法式被执行后会从黑客服务器194[.]31.98.124高低载并执行下一阶段黑客将使用的木马“java-sdk.exe”。。。。。其中，，，，，，，，java-sdk.exe的重要职能是实现持续化，，，，，，，，并从黑客服务器194[.]31.98.124下载部署接下来将使用的恶意法式“oracle-java.exe”与“microsoft-cortana.exe”。。。。。

其中，，，，，，，，“oracle-java.exe”（Elephant Implant/被称为GrimPlant后门）是这次攻击中最沉要的恶意法式，，，，，，，，Implant能够通过4种RPC要求与C2进行通讯，，，，，，，，向C2发送信息并且接管有关指令，，，，，，，，有关RPC要求如下所示：

图27.png

而“microsoft-cortana.exe”则是一个数据窃取软件，，，，，，，，其重要职能蕴含网络受害者主机名、操作系统名称（windows）、CPU数量、IP地址、名称、用户名和主目录、浏览器痛处、无线网络信息、凭证治理器数据、邮件帐户、Putty衔接数据、Filezilla 痛处以及受害者用户目录中所有文件，，，，，，，，并进行哈希处置，，，，，，，，发送到指定的C2服务器上。。。。。

· 3月30日，，，，，，，，被乌克兰CERT定名为“UAC-0041”的黑客组织以“Нова програма для запису в журналi.”（“新期刊录入打算”）为主题对乌克兰当局机构和单元进行大量的垂钓邮件攻击。。。。。邮件正文中蕴含关于“електронних навчальних журнал?в”（“电子进建期刊”）的有关信息，，，，，，，，以及MarsStealer木马的下载链接和文档密码。。。。。其中，，，，，，，，MarsStealer木马是一种常见的贸易木马，，，，，，，，其重要职能蕴含网络被习染主机的敏感信息，，，，，，，，从浏览器中窃取用户的身份验证数据，，，，，，，，从加密钱包插件或多成分身份验证法式中窃取文件，，，，，，，，下载和运行可执行文件并截取屏幕截图。。。。。

图28.png

· 4月4日，，，，，，，，被乌克兰CERT定名为“UAC-0010”（疑似Armageddon）的黑客组织针对乌克兰当局机构发送主题为“?нформац?я щодо в?йськових злочинц?в РФ”（译：俄罗斯联国战犯纪录）的垂钓邮件，，，，，，，，邮件附件为“В?йськов?злочинц?РФ.htm”（译：俄罗斯联国的战犯.htm）。。。。。

图29.png

若是受害者打开该htm文件，，，，，，，，其浏览器则会自动下载“Viyskovi_zlochinci_RU.rar”。。。。。

图30.png

该压缩包蕴含一个名为“В?йськов?-злочинц? що знищують Укра?ну (домашн?адреси, фото, номера телефон?в, стор?нки у соц?альних сетях)”（译：“粉碎乌克兰的战犯（家庭住址，，，，，，，，照片，，，，，，，，电话号码，，，，，，，，社交网站中的页面）”）的lnk文件。。。。。

图31.png

该lnk文件将会从黑客服务器高低载下一阶段的攻击兵器，，，，，，，，即一个蕴含VB代码的HTA文件。。。。。此HTA文件会从黑客服务器高低载get.php，，，，，，，，而该文件现实上却是一个powershell剧本，，，，，，，，其重要用于确定推算机的唯一标识符。。。。。

图32.png

· 4月12日，，，，，，，，被披露由俄罗斯国度赞助的APT组织Sandworm（乌克兰CERT定名为“UAC-0082”）使用恶意法式 INDUSTROYER2 和 CADDYWIPER，，，，，，，，在4月8日试图对一家大型乌克兰能源供给商进行攻击。。。。。这次攻击事务的具体功夫节点如图所示：

图33.png

从有关事务的分析报路中能够揣摩出攻击者的部门主张：

（1）利用恶意法式INDUSTROYER2针对高压变电站进行攻击，，，，，，，，每个可执行文件中均含一组静态指定的各个变电站的唯一参数，，，，，，，，能够看出此恶意法式为高度定造化的攻击工具。。。。。

图34.png

（2）利用CADDYWIPER恶意法式对指标的Windows系统的推算机进行粉碎攻击。。。。。

（3）使用恶意粉碎型剧本ORCSHRED、SOLOSHRED、AWFULSHRED对企业内部的Linux系统的服务器进行粉碎攻击。。。。。

· 4月14日，，，，，，，，被乌克兰CERT定名为“UAC-0098”的黑客组织利用名为“Моб?л?зац?йний ре?стр.xls”（“带头登记册.xls”）的恶意文件对乌克兰组织进行大规模网络垂钓攻击活动。。。。。一旦受害者打开文档并启用宏，，，，，，，，恶意宏代码会下载并执行名为“spisok.exe”的恶意代码。。。。。其中，，，，，，，，该“spisok.exe”恶意法式会开释运行GzipLoader恶意软件，，，，，，，，并且从黑客服务器高低载并运行IcedID恶意法式，，，，，，，，进前进一步的信息窃密活动。。。。。

图35.png

三、典型攻击事务分析

伴随俄乌矛盾大势的不休恶化，，，，，，，，近期对准乌克兰的网络攻击活动显著增多。。。。。本节从上述多多针对乌克兰进行的网络攻击事务中，，，，，，，，别离拔取8827太阳集团ADLab在2022年3月6日和3月22日监测到的两起攻击事务为例，，，，，，，，进行具体的技术分析。。。。。

3.1 攻击事务一

2022年3月6日，，，，，，，，8827太阳集团ADLab检测到一批针对于乌克兰的网络攻击样本，，，，，，，，攻击者借以“乌克兰防御方式”、“乌克兰汇报_最终”、“日益复杂的俄乌�；；；；；；故汀焙汀靶孤兜目死锬妨止缱佑始允久魉箍撕吞浮钡扔涤懈叨裙苹笮缘娜鹊愕龆牡到泄セ鳎�，，，，，，，以此诱使受害者信赖并执行后续的恶意木马。。。。。

通过对攻击者的溯源和关联分析，，，，，，，，我们整顿了其在这次攻击活动中使用的恶意文件。。。。。具体信息如下表所示。。。。。

图36.png

3.1.1 攻击载荷

在这次活动的初始攻击环节中，，，，，，，，攻击者重要使用了三种体式的攻击载荷，，，，，，，，其中蕴含携带恶意宏的恶意文档、携带缝隙的恶意文档和恶意压缩包文件。。。。。

（1）携带恶意宏的恶意文档

该恶意文档以“Leaked Kremlin emails show Minsk protocol designed as path toUkraine's capitulation”（译：“泄露的克里姆林宫电子邮件显示，，，，，，，，明斯克和谈被设计成乌克兰降服的蹊径”）作为钓饵内容，，，，，，，，并提醒受害者“启用宏”。。。。。具体内容如下图所示。。。。。

图37.png

当受害者打开该文档并启用宏代码职能后，，，，，，，，将自动挪用Document_Open函数，，，，，，，，其重要职能为提取并执行保留在UserForm1中的powershell指令。。。。。

图38.png

对powershell后面的代码进行Base64解码后，，，，，，，，得到了混合后的ps剧本。。。。。具体内容如下图所示。。。。。

图39.png

在对该剧本进行去混合处置后，，，，，，，，能够看到该powershell指令的重要职能为从指定的url列表中下载“SoftwareUpdate.exe”，，，，，，，，再将其保留到%TEMP%目录并定名为“update.exe”。。。。。

图40.png

（2）恶意压缩包文件

另一种类型是RAR压缩包文件，，，，，，，，攻击者将其定名为“The increasinglycomplicated Russia-Ukraine crisis explained”，，，，，，，，该压缩文件蕴含用于蛊惑受害者的正常pdf钓饵文档以及假装成pdf文件图标的二进造可执行恶意法式（通过批改exe图标为文德反诱导受害者点击）。。。。。

正常pdf钓饵文档的部门内容如下图所示。。。。。

图42.png

（3）携带缝隙的恶意文档

攻击者在这次攻击行动中使用的是office缝隙cve-2021-40444，，，，，，，，该缝隙是微软于2021年9月颁布的一个MicrosoftMSHTML远程代码执行缝隙。。。。。攻击者可造作一个由托管浏览器出现引擎的 Microsoft Office 文档使用的恶意 ActiveX 控件，，，，，，，，之后诱导用户打开恶意文档，，，，，，，，则可在指标系统上以该用户权限执行肆意代码。。。。。

我们将携带缝隙的恶意文档解压后，，，，，，，，在rels的document.xml文件中发现了可疑的下载链接：Target="mhtml:https://web.sunvn.net/QYWI6LH4M71O.html!x-usc:https://web.sunvn.net/QYWI6LH4M71O.html"。。。。。

图43.png

尝试下载该QYWI6LH4M71O.html文件，，，，，，，，发现服务器已无法接见了，，，，，，，，经验证该域名已经失效。。。。。

在进一步的分析后，，，，，，，，我们发现攻击者使用了定造的POC模板进行批量自动化天生恶意文档，，，，，，，，且对各缝隙文档中蕴含的下载链接所指向的html均进行了随机化处置。。。。。

图44.png

3.1.2 后门分析

目前，，，，，，，，8827太阳集团ADLab监测到黑客组织使用了恶意木马QuasarRAT来实现窃密、远程节造等恶意行为。。。。。该木马是一种公开可用的开源远程接见木马，，，，，，，，重要针对Windows操作系统。。。。。其最初是由GitHub用户 MaxXor 开发，，，，，，，，用于合法用处。。。。。然而，，，，，，，，该工具尔后被黑客用于各类网络间谍活动。。。。。该木马提供的部门远程职能菜单如下图所示。。。。。

图45.png

具体职能如下表所示。。。。。

图46.png

3.2 攻击事务二

2022年3月22日，，，，，，，，8827太阳集团ADLab捕获到一个针对乌克兰的攻击样本。。。。。攻击者通过类似“关于保留俄罗斯联国军队犯罪状为的视频纪录”等拥有蛊惑性的文件名来诱使受害者执行恶意木马，，，，，，，，以此达到对特定攻击指标执行入侵的主张。。。。。我们对这次攻击活动的线索进行了深刻的追踪和溯源分析，，，，，，，，发显熹与汗青悠久的Scarab黑客组织拥有肯定的类似性。。。。。

3.2.1 溯源分析

我们从这次黑客组织所使用的基础设施及攻击手法等层面进行关联分析，，，，，，，，并结合该组织早期攻击活动中的有关特点，，，，，，，，得出了下面几处沉要的关联点。。。。。

（1）基础设施

通过提取所有样本中的C2服务器，，，，，，，，我们发现攻击者在这次活动中所使用的回联域名，，，，，，，，是在ChangeIp.com平台上免费注册的三级子域（该平台提供的免费域现实上是二级域，，，，，，，，如下图所示）。。。。。

图47.png

为了确定攻击者所属组织，，，，，，，，我们对木马进行溯源分析，，，，，，，，找到了其他的同源木马。。。。。查看这些域名的注册信息，，，，，，，，我们发现这些木马所使用的C2也均是在ChangeIp.com平台进行注册的。。。。。并且已被标注为所属Scarab黑客组织。。。。。在早期的攻击活动中，，，，，，，，该黑客组织险些齐满是通过动态域名系统（DDNS）域来执行号令和节造（C&C）操作。。。。。具体如下图所示。。。。。

图48.png

（2）攻击手法

攻击者在这次攻击活动中，，，，，，，，是以恶意压缩包作为攻击载荷，，，，，，，，固然我们未能确定该文件是否通过电子邮件进行投递。。。。。但通过对Scarab黑客组织早期的攻击载荷进行全面地网络和分析后，，，，，，，，我们观察到该组织惯于使用压缩包作为第一阶段的钓饵文档。。。。。具体如下图所示。。。。。

图49.png

此表，，，，，，，，黑客组织在早期攻击活动中，，，，，，，，是通过压缩包中的恶意文德反发展下一阶段的攻击行动，，，，，，，，文档中都蕴含一样的提醒�？？？？？椤！�。。。具体内容如下图所示。。。。。

图50.png

而在这次活动中，，，，，，，，攻击者改用了与压缩包同名的EXE可执行文件来进行入侵行为。。。。。但与早期手法类似的是，，，，，，，，在执行完此阶段的攻击载荷后，，，，，，，，其城市在%TMP%目录下写入并打开一个无害的与主题有关的文档，，，，，，，，用以蛊惑受害者。。。。。具体如下图所示。。。。。

图51.png

除了以上列举出的攻击手法同Scarab黑客组织拥有肯定的沉叠性以表，，，，，，，，在后续攻击中攻击者使用到的恶意剧本和木马（蕴含文件名称和内容）均为该组织所佑祝。。。。

图52.png

图53.png

基于该组织的域名使用爱好、攻击手法和入侵战术等方面的对比分析，，，，，，，，我们初步判断本次的攻击活动来自Scarab黑客组织。。。。。值妥贴心的是，，，，，，，，Scarab黑客组织曾被部门国表公司象征为来自中国的黑客组织。。。。。然而，，，，，，，，我们对这些公司提供的具体汇报和所谓的证据进行仔细分析后发现，，，，，，，，所谓的证据不外是无法提供的“基于说话的资源”和钓饵文档中的中文“用户”二字，，，，，，，，这显然太过牵强，，，，，，，，我们并不知路该公司把攻击归罪于中国的主张是什么，，，，，，，，但这种“凭据无力的证据就把网络攻击归罪于中国”的牵强逻辑并不少见，，，，，，，，其背后的推手及其主张早已昭然若揭。。。。。

3.2.2 技术分析

这次攻击活动中，，，，，，，，8827太阳集团ADLab捕获到了该组织使用RAR文件的方式来发展攻击。。。。。我们虽未能确定该恶意文件的起源，，，，，，，，但凭据以往的攻击，，，，，，，，能够揣度Scarab组织有可能是利用垂钓邮件，，，，，，，，将压缩包作为附件从而进行攻击行动。。。。。当压缩包中的exe文件被执行后，，，，，，，，会开释并打开无害的钓饵pdf文档，，，，，，，，同时在%TEMP%目录下写入并执杏装officecleaner.bat”批处置文件。。。。。之后，，，，，，，，bat文件则在同目录下开释“httpshelper.dll”恶意文件，，，，，，，，并挪用rundll32.exe执行恶意木马。。。。。单从职能来看，，，，，，，，此木马仅蕴含单一的上传下载文件、设置休眠功夫等，，，，，，，，但是，，，，，，，，其可直接从号令和节造（C2）服务器上，，，，，，，，下载加载特定职能�？？？？？槔唇徊降闹葱卸褚獠僮鳌！�。。。

（1）初始载荷

8827太阳集团ADLab最初发现的RAR文件，，，，，，，，名称为“прозбереженнявзеоматер?ал?взф?ксац?шйарм?ш?Рос?йськоюфедерац?????.rar”（译：“关于保留俄罗斯联国军队犯罪状为的视频纪录.rar”），，，，，，，，压缩包中蕴含一个同名的EXE可执行文件。。。。。

图54.png

当恶意EXE文件执行后，，，，，，，，会从其资源节中读取指定的数据并写入到用户电脑%TEMP%目录下，，，，，，，，该文件是名为“#2163_02_33-2022.pdf”（来自于乌克兰国度警员局的来信）的钓饵文件，，，，，，，，随后再执行CMD号令打开此文件。。。。。文件具体内容如下图所示。。。。。

图55.png

图56.png

接着，，，，，，，，再次读取指定的资源数据，，，，，，，，并将其写入到%TEMP%目录下，，，，，，，，定名为“officecleaner.bat”。。。。。内容如下图所示。。。。。

图57.png

最后，，，，，，，，使用CMD号令将BAT文件增长到注册表启动项，，，，，，，，以确保该批处置文件的悠久性。。。。。

图58.png

（2）bat批处置文件

“officecleaner.bat”的重要职能为，，，，，，，，代替%TMP%目录下“officecleaner.bat”的MZ头部并在同目录下写入“httpshelper.dll”文件，，，，，，，，之后删除bat批处置文件，，，，，，，，以及增长开机启动项确保此DLL文件的悠久化。。。。。

图59.png

（3）恶意木马

DLL文件在DllMain入口处，，，，，，，，会先判断其自身的加载法式是否为“rundll32.exe”。。。。。当判断了局为true时，，，，，，，，则挪用dll的主职能导出函数“OAService”。。。。。

图60.png

该主职能函数首先通过PEB动态获取后期所使用的API函数。。。。。

图61.png

之后获取系统目录的卷序列号并进行保留。。。。。

图62.png

接着，，，，，，，，将获取到的序列号进行体式化后发送给黑客组织的服务器。。。。。

图63.png

当与服务器成功衔接后，，，，，，，，则凭据服务器的节造指令来进行相应的操作。。。。�？？？？＝谠熘噶罱系ヒ唬�，，，，，，，蕴含上传文件、下载文件、接管发送指定数据和指定休眠功夫等。。。。。

图64.png

四、总结

俄乌战争发作以来，，，，，，，，双方除了在实地战场进行交锋表，，，，，，，，在网络空间战场中进行的博弈也愈加强烈；；；；；；不难发现，，，，，，，，网络空间战已成为现代战争的沉要组成部门，，，，，，，，网络战对现代战争大势的影响同样沉要。。。。。在俄乌战争全面发作之前，，，，，，，，双方在网络空间战场就早已交锋，，，，，，，，只不外网络战产生于一个“无声的并且没有硝烟的战场”，，，，，，，，并不为公家所关注，，，，，，，，但其对实地战争的影响却举足轻沉；；；；；；好比，，，，，，，，在乌俄战争发作当天，，，，，，，，俄罗斯对乌克兰的部门军事基地进杏装定点断根攻击”，，，，，，，，直接导致乌克兰失去在第一功夫内回击的能力，，，，，，，，此“定点断根攻击”背后所涉及的谍报很可能就是从网络战中获取！�。。�；；；；；；战争全面发作后，，，，，，，，双方在网络战场的交锋越发强烈，，，，，，，，各类网络攻击事务频发，，，，，，，，网络攻击一方面可能窃取敌手手中与战争缜密有关的机密信息，，，，，，，，另一方面粉碎网络和其他基础设施也能震慑敌手，，，，，，，，侵扰敌手对实地战局的大势判断，，，，，，，，从而影响战局走势。。。。。结合本次攻击活动分析及以往我们对乌克兰遭逢的黑客攻击的分析——《乌克兰战争背后的网络攻击和谍报活动》和《针对乌克兰边防局和国防部攻击活动深度分析》，，，，，，，，能够看出，，，，，，，，网络空间战其实比实地战争发作的功夫更早，，，，，，，，战线更长并且荫蔽，，，，，，，，网络空间安全对国度安全的沉要性不言而喻。。。。。

上一篇下一篇

7*24幼时服务热线

400-624-3900

+86(10)56631988(港澳专线)

官方微信

官方微博

网御星云合多数据书生电子云子可信

司法申明

Copyright ? 8827太阳集团版权所有京ICP备05032414号京公网安备11010802024551号

【网站地图】【sitemap】