本文2751字阅读约需8钟
国家级APT（AdvancedPersistentThreat， ，，，，高级一连性威胁）组织是有国家配景支持的顶尖黑客团伙， ，，，，专注于针对特定目的举行恒久的一连性网络攻击 。。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!旗下的高级威胁研究团队红雨滴（RedDripTeam）每年会宣布全球APT年报【1】、中报， ，，，，对昔时各大APT团伙的运动举行剖析总结 。。。。。。
虎符智库特约意昂体育-科技赋能场景,让娱乐更有趣!旗下红雨滴团队， ，，，，开设“起底国家级APT组织”栏目， ，，，，逐个起底全球各地区活跃的主要APT组织 。。。。。。
01
LazarusGroup
LazarusGroup又名HIDDENCOBRA、Zinc、APT-C-26、GuardiansofPeace等称呼， ，，，，是东亚地区某国最活跃的APT组织之一 。。。。。。
其攻击目的主要以窃取资金为主， ，，，，堪称全球金融机构的最大威胁 。。。。。。
配景
LazarusGroup又名HIDDENCOBRA（美国情报界命名）、Zinc、APT-C-26、GuardiansofPeace等称呼， ，，，，是东亚地区某国最活跃的APT组织之一， ，，，，获得该国情报部分的鼎力大举支持 。。。。。。
自2009年以来， ，，，，被归因于该组织的攻击事务数目迅速增添 。。。。。。特殊在2017年后， ，，，，LazarusGroup加大了攻击行动力度， ，，，，组织了多起影响重大的攻击事务， ，，，，例如对波兰和墨西哥银行的攻击、WannaCry病毒爆发以及针对美国承包商的鱼叉式网络垂纶行动等 。。。。。。
Lazarus攻击目的主要以窃取资金为主， ，，，，针对银行、比特币生意所等金融机构及小我私家实验定向攻击， ，，，，堪称全球金融机构的最大威胁 。。。。。。其次， ，，，，Lazarus还针对航空航天、工程、手艺、政府、媒体、等机构及企业举行渗透， ，，，，抵达窃取主要资料及破损勒索的目的 。。。。。。
攻击特点手段、工具
Lazarus早期多使用僵尸网络对目的举行DDos攻击；； ； ；；；；中后期主要攻击手段转为鱼叉攻击、水坑攻击、供应链攻击等手法， ，，，，还针对差别职员接纳定向社会工程学攻击 。。。。。。
Lazarus组织的攻击主要有以下特点：
攻击周期普遍较长， ，，，，通常举行较长时间潜在， ，，，，并换差别要领诱使目的被入侵 。。。。。。
投递的诱饵文件具有极强的疑惑性和诱惑性， ，，，，导致目的无法甄别 。。。。。。
攻击历程会使用系统破损或勒索应用滋扰事务的剖析 。。。。。。
使用SMB协议误差或相关蠕虫工具实现横向移动和载荷投放 。。。。。。
每次攻击使用工具集的源代码都会修改， ，，，，并且网安公司披露后也会实时修改源代码 。。。。。。
（一）攻击手段
1.鱼叉攻击
通常以邮件夹带恶意文档作为诱饵， ，，，，常见文件名堂为DOCX， ，，，，后期增添了BMP名堂 。。。。。。入侵方法主要使用恶意宏与Office常见误差、0day误差、植入RAT的手法 。。。。。。
2.水坑攻击
Lazarus通常针对贫穷的或欠蓬勃地区的小规模银行金融机构使用水坑攻击， ，，，，这样就可以在短时间内大规模偷取资金 。。。。。。
2017年， ，，，，Lazarus对波兰金融羁系机构发动水坑攻击， ，，，，在网站官方网站植入恶意的JavaScript误差， ，，，，导致波兰多家银行被植入恶意程式 。。。。。。此次攻击熏染了31个国家的104个组织， ，，，，大大都目的是位于波兰、智利、美国、墨西哥和巴西的金融机构 。。。。。。
3.社工攻击
Lazarus善于将社工手艺运用到攻击周期中， ，，，，无论是投递的诱饵照旧身份伪装， ，，，，都令受害者无法甄别， ，，，，从而掉入它的陷阱中 。。。。。。
2020年时代， ，，，，Lazarus在领英网站伪装招聘加密钱币事情职员并发送恶意文档， ，，，，旨在获取凭证从而偷取目的加密钱币 。。。。。。
2021年， ，，，，LazarusGourp以网络清静职员身份潜在在Twitter中， ，，，，伺机发送嵌有恶意代码的工程文件攻击偕行职员 。。。。。。从这些案例可以看出， ，，，，Lazarus针对的目的越来越明确， ，，，，使用手法也越来越无邪直接 。。。。。。
（二）攻击使用工具及手艺特征
Lazarus使用的网络武器中包括大宗定制工具， ，，，，并且使用代码有许多相似之处 。。。。。�？？？？？？Ｒ欢ǖ厮�， ，，，，这些软件来自相同的开发职员， ，，，，可以说明Lazarus背后有稳固的大型开发团队 。。。。。。
Lazarus拥有的攻击能力和工具包括DDoSbotnets、keyloggers、RATs、wipermalware， ，，，，使用的恶意代码包括Destover、Duuzer和Hangman等 。。。。。。
通太过析攻击案例可以看出Lazarus攻击的手艺特征：
1.善于使用多种加密算法， ，，，，包括RC4， ，，，，AES， ，，，，Spritz等标准算法， ，，，，也使用XOR及自界说字符变换算法 。。。。。。
2.主要使用虚伪结构的TLS协议， ，，，，通过在SNIrecord中写入白域名来BypassIDS， ，，，，也使用IRC、HTTP协议 。。。。。。
3.通过破损MBR、分区表或者向扇区写入垃圾数据从而破损系统 。。。。。。
4.其工具包许多组件都包括自删除剧本
5.TCP后门支持数十个下令
着名攻击事务
（一）特洛伊和漆黑首尔行动
2009年至2012年， ，，，，LazarusGroup针对韩国武装步队和政府睁开恒久网络特工行动， ，，，，此运动后被命名为“特洛伊行动”【2】 。。。。。。2013年， ，，，，LazarusGroup对韩国金融行业开展第二次攻击， ，，，，后被称为“漆黑首尔行动”【3】 。。。。。。这两次运动的披露使得LazarusGroup首次成为公众关注的焦点 。。。。。。这些运动使用的恶意软类似于Win32/Spy.Keydoor或者Win64/Spy.Keydoor. 。。。。。。
（二）索尼公司攻击事务
2014， ，，，，索尼影视娱乐公司宣布上映《刺杀金某某》影戏， ，，，，引起该国强烈不满 。。。。。。随后， ，，，，LazarusGroup入侵索尼， ，，，，举行了抨击式的破损， ，，，，许多内部文件和文件被窃取、泄露或删除【4】 。。。。。。随后的两年， ，，，，多家清静公司加入视察， ，，，，最终通过Lazarus使用过的自删除文件、TCP后门中的名堂字符串、动态API加载例程、混淆函数名和使用虚伪TLS通讯等一系列证据， ，，，，将此前许多起攻击事务与索尼攻击事务一起归因至Lazarus 。。。。。。
（三）SWIFT系统偷取美金
2016年， ，，，，LazarusGroup通过Alreay攻击组件， ，，，，改动SWIFT软件， ，，，，使得其能够操作银行账号恣意举行转账， ，，，，窃取孟加拉央行8100万美元【5】 。。。。。。此次攻击使用的自扫除文件与攻击索尼公司的文件相似， ，，，，因此归因于Lazarus 。。。。。。别的， ，，，，这次攻击的流程与早年间越南、厄瓜多尔等多国银行被盗事务攻击流程相似， ，，，，也同样归因于Lazarus 。。。。。。
（四）Wannacry席卷全球
2017年5月， ，，，，勒索病毒“WannaCry”熏染事务爆发， ，，，，全球规模近百个国家遭到大规模网络攻击【6】， ，，，，Lazarus使用NSA泄露“永恒之蓝”误差散播勒索病毒“WannaCry”， ，，，，导致目的电脑中大宗文件被加密， ，，，，并被要求支付比特币以解密文件 。。。。。。谷歌团队在WannaCry代码中发明了来自Lazarus集团黑客工具的相似性， ，，，，因此归因Lazarus 。。。。。。2018年至2020年时代， ，，，，美国司法部起诉3名Lazarus成员 。。。。。。
（五）Lazarus入侵印度核电系统
2019年9月， ，，，，Lazarus乐成入侵印度核电系统， ，，，，由此印度紧迫关闭了一座核电站【7】 。。。。。。此次攻击主要针对印度原子能治理委员会成员使用鱼叉式攻击， ，，，，冒充印度核能组织发送诱饵电子邮件， ，，，，将带著名为“Dtrack”的恶意软件的链接附在邮件中， ，，，，一旦点击链接会将恶意软件下载到盘算机上 。。。。。。此次攻击使用的恶意软件“DTrack”与“漆黑首尔”有诸多相似之处， ，，，，实现功效的方法与代码编写气概均相同， ，，，，归因此事务出自Lazarus之手 。。。。。。
（六）针对误差研究职员发动定向攻击
2021年1月， ，，，，谷歌清静团队发明Lazarus恒久潜在在Twitter、LinkedIn、Telegram等社交媒体， ，，，，使用虚伪身份伪装成活跃的业内误差研究专家， ，，，，博取业内信托从而对其他误差研究职员发动0day攻击【8】 。。。。。。以后可以看出Lazarus现实上是想窃取高价值的0Day误差信息， ，，，，从而反应出其开发网络武器的职员的可能已经“黔驴之技” 。。。。。。
总结
Lazarus攻击主要目的以窃取资金和实现政治目的为起点， ，，，，无论是在网络武器方面和攻击手段方面都能看出该国网军的实力 。。。。。。
随着国际对Lazarus的手段越来越明晰， ，，，，其攻击的难度也会逐渐加大， ，，，，未来Lazarus会恒久觊0day误差等情报资料， ，，，，一直扩充其军器库， ，，，，从而提升武器储备能力 。。。。。。
注解
https://ti.qianxin.com/uploads/2021/02/08/dd941ecf98c7cb9bf0111a8416131aa1.pdf
https://www.theguardian.com/world/2009/jul/08/south-korea-cyber-attack
https://www.symantec.com/connect/blogs/four-years-darkseoul-cyberattacks-against-south-korea-continue-anniversary-korean-war
https://www.operationblockbuster.com/wp-content/uploads/2016/02/Operation-Blockbuster-Report.pdf
https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/07180244/Lazarus_Under_The_Hood_PDF_final.pdf
https://www.dropbox.com/s/hpr9fas9xbzo2uz/WhitepaperWannaCryRansomware.pdf
https://www.teiss.co.uk/nuclear-power-plant-dtrack-malware/
https://blog.google/threat-analysis-group/update-campaign-targeting-security-researchers/
关于作者
意昂体育-科技赋能场景,让娱乐更有趣!红雨滴团队（RedDripTeam， ，，，，@RedDrip7）， ，，，，依托全球领先的清静大数据能力、多维度多泉源的清静数据和专业剖析师的富厚履历， ，，，，自2015年一连发明多个包括海莲花在内的APT组织在中国境内的恒久运动， ，，，，并宣布海内首个组织层面的APT事务揭破报告， ，，，，开创了海内APT攻击类高级威胁系统化揭破的先河 。。。。。。阻止现在， ，，，，一连跟踪剖析的主要APT团伙凌驾46个， ，，，，自力发明APT组织13个， ，，，，一连宣布APT组织的跟踪报告凌驾90篇， ，，，，按期输出半年和整年全球APT运动综合性剖析报告 。。。。。。
连忙拨打
京公网安备11000002002064号