蔓灵花（BITTER），，，，，，，，外洋著名APT组织，，，，，，，，因该组织常用的特种木马数据包头部为“BITTER”而得名，，，，，，，，近一两年一连针对我国重点行业单位举行垂纶攻击，，，，，，，，其中攻击方法较多样，，，，，，，，横跨PC端到移动端，，，，，，，，通常接纳的手段为垂纶邮件攻击，，，，，，，，其中邮件中搭载的可能是垂纶网站，，，，，，，，也可能是恶意附件。。。。。。 。。
在疫情爆发以来，，，，，，，，蔓灵花组织从2020年头就最先制作防疫诱饵，，，，，，，，攻防双方的战斗仍在继续。。。。。。 。。
一次告警，，，，，，，，蔓灵花组织漏出了狐狸尾巴
2020年10月的某天深夜，，，，，，，，一台办公电脑收到了一封相助公司发来的营业邮件。。。。。。 。。
“条约终于发过来了。。。。。。 。。”大李端起咖啡杯轻抿了一口，，，，，，，，兴奋地说。。。。。。 。。为了这一次相助，，，，，，，，大李一个月来都没怎么好好休息过。。。。。。 。。
就在大李翻开附件后不久，，，，，，，，电脑上装置的意昂体育-科技赋能场景,让娱乐更有趣!天擎终端清静治理系统弹出了一个窗口。。。。。。 。。
“中病毒了？？？？？？不可�。。。。。。 。。�，，，，，，我也没干啥�。。。。。。 。。�，，，，，，岂非是？？？？？？”想到这里，，，，，，，，大李毛骨悚然，，，，，，，，迅速关上电脑并将网线拔掉，，，，，，，，拨通了公司网络清静认真人老K的电话。。。。。。 。。
“嗯，，，，，，，，我知道了。。。。。。 。。”老K甚至来缺乏洗把脸，，，，，，，，往公司奔驰而去。。。。。。 。。盯着天擎治理后台的告警纪录，，，，，，，，老K心里诅咒着，，，，，，，，稍有平复，，，，，，，，拨通了4009-727-120。。。。。。 。。窗外，，，，，，，，夜已深了。。。。。。 。。
“喂，，，，，，，，您好！这里是意昂体育-科技赋能场景,让娱乐更有趣!应急响应中心……”
恰在此时，，，，，，，，南亚地区APT组织蔓灵花的总部也“热闹特殊”。。。。。。 。。
????“拿下几多台终端了？？？？？？”一其中年男子从里屋走出来说。。。。。。 。。
“还没。。。。。。 。。这轮攻击刚最先，，，，，，，，垂纶邮件发出去没多久，，，，，，，，预计还需要一段时间。。。。。。 。。”
“嗯，，，，，，，，注重盯着点，，，，，，，，我估摸着鱼饵很快就能看到效果。。。。。。 。。”中年男子看了一眼旁边的机房，，，，，，，， “这一次，，，，，，，，绝对能挖到一些我们意想不到的工具。。。。。。 。。”
“定心吧，，，，，，，，这几年哪次不是手到擒来。。。。。。 。。来了，，，，，，，，C2（下令与控制，，，，，，，，Command And Control）效劳器后台有反应了……”
还原作案现�。。。。。。 。。�，，，，，，蓄谋已久的社会工程学攻击
“嚯！这蔓灵花组织又来了。。。。。。 。。”收到客户求助电话后，，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!第一时间启动了应急响应程序，，，，，，，，威胁情报中心随即针对样本和攻击手法睁开了溯源剖析事情，，，，，，，，最终锁定了蔓灵花APT组织。。。。。。 。。
自2016年首次披露以来，，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心与蔓灵花组织已经较量了多达数十次。。。。。。 。。
“从这几年和蔓灵花交手的履向来看，，，，，，，，我们发明了他们攻击手法的几个特点。。。。。。 。。”意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心认真人Star称。。。。。。 。。
第一类是以发送伪装成目的单位邮箱登录界面的垂纶网站为主，，，，，，，，通过垂纶网站控制目的用户的邮箱账户，，，，，，，，从而窃取敏感信息。。。。。。 。。
第二类主要是发送带毒附件，，，，，，，，释放专用下载器下载其特种木马。。。。。。 。。蔓灵花组织会使用自有的C2效劳器，，，，，，，，远程控制木马完成敏感信息窃取使命，，，，，，，，并回传至自有的效劳器中。。。。。。 。。
为了提升目的的中招几率，，，，，，，，蔓灵花组织很是善于伪装。。。。。。 。。他们会把诱饵加上一个目今热门事务的“外壳”，，，，，，，，从而吸引目的的注重力。。。。。。 。。正如本文开头所说，，，，，，，，在今年疫情爆发后，，，，，，，，蔓灵花组织就多次使用疫情热门话题，，，，，，，，向攻击目的发送垂纶邮件，，，，，，，，直到现在依然没有阻止。。。。。。 。。
厥后，，，，，，，，业界习惯把这种使用人性好奇或者其他弱点的攻击方法，，，，，，，，叫做社会工程学攻击。。。。。。 。。这和某些新型毒品伪装成跳跳糖、邮票、奶茶等形象，，，，，，，，从而诱骗不知情人士染上毒瘾的原理，，，，，，，，很是相似。。。。。。 。。
网络证据链，，，，，，，，威胁情报的进击
“第一次面临APT攻击的时间，，，，，，，，真的很难。。。。。。 。。”Star笑着说，，，，，，，，“你的敌手完全是生疏的，，，，，，，，你不知道他使用的攻击手法、恶意样本、基础设施资源的情形，，，，，，，，甚至你不可判断这个行为是否正当。。。。。。 。。”
这就像一名拳击手站在擂台上面临一个完全生疏的敌手，，，，，，，，你不知道对方的实力究竟多大、速率多快，，，，，，，，也不知道对方习惯使用上勾拳照旧下勾拳。。。。。。 。。
一切都得从0最先。。。。。。 。。
时间拉回到蔓灵花组织首次被披露的2016年，，，，，，，，威胁情报如日中天，，，，，，，，这为高级威胁检测提供了一种全新的思绪。。。。。。 。。
“每一个APT组织都有自己的招牌，，，，，，，，也可以称之为仪式感。。。。。。 。。好比蔓灵花组织使用的特种木马，，，，，，，，它的数据包头部就有‘BITTER’字样。。。。。。 。。”
看过武侠剧的朋侪也都知道，，，，，，，，许多能手都有自己的仪式，，，，，，，，好比《神探狄仁杰》中的杀手蝮蛇会在杀人后留下一方绣有蝮蛇的手帕。。。。。。 。。
威胁情报剖析师就是要从海量数据中，，，，，，，，找到这些显著特征，，，，，，，，为攻击检测和后续的溯源剖析提供有力证据。。。。。。 。。
基于这些特征，，，，，，，，一条条IOC（全称为失陷检测情报，，，，，，，，是威胁情报的一种）便被生产出来了。。。。。。 。。通俗明确，，，，，，，，IOC就是攻击者所使用工具的‘招牌’，，，，，，，，包括攻击者使用的恶意文件署名、恶意IP地点以及效劳器域名等等。。。。。。 。。
失陷检测情报就是用来检测已经失陷（被入侵）终端和效劳器的。。。。。。 。。
举个例子，，，，，，，，当通过IOC与异常流量举行匹配，，，，，，，，防火墙发明公司内网的一台电脑正在实验与蔓灵花组织经常使用的C2域名毗连，，，，，，，，那么这台电脑就很可能已经熏染蔓灵花组织植入的木马了，，，，，，，，清静职员就可以实时设置，，，，，，，，让防火墙阻断所有不法毗连。。。。。。 。。
就像在古龙的武侠小说里，，，，，，，，六扇门的捕头发明有人被灵犀一指杀死了，，，，，，，，马上就能想到这很有可能是陆小凤干的。。。。。。 。。
时至今日，，，，，，，，IOC的应用已经很是普遍。。。。。。 。。SANS历年的威胁情报调研报告都显示，，，，，，，，最受接待、应用最多的威胁情报类型始终是IOC ；；；；；；；；在卡巴斯基宣布的应急响应手册里，，，，，，，，IOC的匹配是触发应急响应流程的最主要入口。。。。。。 。。
但IOC的生产绝非一日之功。。。。。。 。。就像你相识一小我私家一样，，，，，，，，必需要终年累月的与其接触。。。。。。 。。
经由长时间对蔓灵花组织的追踪，，，，，，，，意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心掌握了大宗有关蔓灵花组织的IOC，，，，，，，，例如蔓灵花组织所使用的键盘纪录器、文件上传、远程控制等插件的MD5值（通俗明确为文件信息经由加密算法获得的一串十六进制字符，，，，，，，，可以为具有唯一性），，，，，，，，域名为162.0.229.203的C2效劳器等等信息，，，，，，，，一旦清静装备检测到了与IOC匹配的异常信息，，，，，，，，则基本可以判断受到了蔓灵花组织的攻击，，，，，，，，并实时阻断不法通讯和删除病毒文件。。。。。。 。。
后续更深入的关联剖析，，，，，，，，就可以交给专业的威胁情报剖析师来处置惩罚了。。。。。。 。。
收网！QOWL反病毒引擎“一锤定音”
为了资助防守方快速剖析攻击者所使用的攻击手法，，，，，，，，美国研究机构MITRE于2014年推出了ATT&CK框架。。。。。。 。。通俗明确ATT&CK框架是一个一直完善的知识库，，，，，，，，能够将已知攻击者的攻击手段、木马类型、破损行为等总结成一个列表，，，，，，，，用于周全泛起攻击者的技战术水平，，，，，，，，从而给防御步伐提供依据。。。。。。 。。
听起来十分有用，，，，，，，，只要这个知识库足够富厚，，，，，，，，遇到攻击只要往内里套就没错了。。。。。。 。。但Star却“泼了一盆冷水”。。。。。。 。。
“理论上是这样没错，，，，，，，，但在现实的APT剖析历程中，，，，，，，，价值不大，，，，，，，，由于现有的ATT&CK框架只能让你相识大致上的攻击手法和历程，，，，，，，，并不可作为判断攻击泉源的依据。。。。。。 。。APT剖析的焦点在于能够望见的细节，，，，，，，，我称之为‘元数据为王’。。。。。。 。。”
所谓元数据可以简朴明确为强特征。。。。。。 。。举个例子，，，，，，，，说一小我私家两米二六你能想到谁？？？？？？我想所有人都会众口一词的回覆：姚明。。。。。。 。。由于放眼全天下，，，，，，，，各人所熟知的也就只有姚明是两米二六。。。。。。 。。以是，，，，，，，，两米二六就是姚明的强特征。。。。。。 。。但若是你说一其中国篮球队员长的很是高，，，，，，，，这生怕得在中国篮球队所有的中锋里，，，，，，，，逐步挑了。。。。。。 。。
APT剖析也是云云。。。。。。 。。好比蔓灵花组织，，，，，，，，他们所使用的C2效劳器就是162.0.229.203，，，，，，，，发明这个域名再团结其他关联信息，，，，，，，，基本就能判断出就是蔓灵花组织所提倡的攻击。。。。。。 。。
不过，，，，，，，，元数据的获取并禁止易，，，，，，，，需要专业的剖析师，，，，，，，，使用专业的工具，，，，，，，，对攻击行为、攻击样本开展深度剖析。。。。。。 。。
针对网络流量的剖析和元数据提�。。。。。。 。。�，，，，，，其时业界有不少专业的产品，，，，，，，，好比意昂体育-科技赋能场景,让娱乐更有趣!天眼新一代威胁感知系统、科来的全流量剖析系统等等。。。。。。 。。但受限于古板反病毒引擎对可疑文件的剖析能力缺乏，，，，，，，，往往难以做到细粒度准确度高的查杀和追踪。。。。。。 。。这也是所有清静厂商在防御APT攻击时所面临的难点。。。。。。 。。
“既然现在没有合适的反病毒引擎，，，，，，，，我们干嘛不研发一款呢？？？？？？”Star琢磨着。。。。。。 。。
于是，，，，，，，，QOWL反病毒引擎应运而生，，，，，，，，这个APT狩猎的独门特技，，，，，，，，为文件元数据提取、APT样本挖掘及检测，，，，，，，，立下了汗马收获。。。。。。 。。
在此次攻击运动中，，，，，，，，蔓灵花组织依旧使用了其常用的攻击手法，，，，，，，，妄想释放执行其常用的下载者举行恶意软件安排，，，，，，，，威胁情报剖析师生产的IOC，，，，，，，，团结QOWL反病毒引擎的深度检测剖析，，，，，，，，蔓灵花组织这次失算了。。。。。。 。。
这个天下上，，，，，，，，天天都有数以万计的“IOC”被生产出来。。。。。。 。。“把它用在最合适的地方，，，，，，，，就是APT阻击战的战士。。。。。。 。。”Star说。。。。。。 。。
连忙拨打
京公网安备11000002002064号