2015年，，，，， ，天眼实验室（意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心前身）首次披露了一起针对中国的国家级黑客攻击细节，，，，， ，这也是我国披露的第一起APT团伙攻击事务。 。。。。。。由于其攻击目的多为我国海事机构、海域建设、航运企业等与“海”相关的主要领域，，，，， ，清静剖析师为这个组织取了一个相当好听的名字——海莲花。 。。。。。。
数年来，，，，， ，清静工程师们和“海莲花”举行了无数轮的较量，，，，， ，并乐成挫败了多次攻击。 。。。。。。然而，，，，， ，在2020年，，，，， ，“海莲花”依然放纵并一再到手，，，，， ，其幻化莫测的攻击手法，，，，， ，让政企机构防不堪防。 。。。。。。
复工复产 一个新的阴谋正在酝酿
2020年2月9日元宵节刚过，，，，， ，复工复产的大幕已经悄然拉开。 。。。。。。
出于疫情防控需要，，，，， ，软件外包公司员工上门效劳基本上是不被允许的。 。。。。。。为了包管项目开发的进度，，，，， ，一些机构专程为他们的开放了VPN效劳，，，，， ，允许外包公司员工远程会见内网代码效劳器。 。。。。。。
达七正是众多外包公司员工中的通俗一位，，，，， ，他所在的公司正在为部委甲的OA（协同办公软件）举行定制化开发。 。。。。。。
到公司后，，，，， ，达七从双肩包里掏出了自己的电脑，，，，， ，熟练地登上了VPN，，，，， ，准备最先新一天的事情。 。。。。。。不过在天天最先事情之前，，，，， ，达七会检查一篇自己的收件箱，，，，， ，看看是否有遗漏的主要邮件。 。。。。。。
果真，，，，， ，“一封来自客户的邮件”吸引了达七的注重。 。。。。。。正文部分空缺，，，，， ，只有一个word附件，，，，， ，问题为《关于推进有序复工复产的通知》。 。。。。。。
出于好奇，，，，， ，达七翻开了附件。 。。。。。。简陋一览，，，，， ，文档内容大多跟自己没有关系。 。。。。。。达七呵呵一笑，，，，， ，“谁这么无聊把内部邮件转给我了？？ ？？？？？”
随手关掉邮箱，，，，， ，达七一天的事情最先了，，，，， ，口中还默念着一个撒播已久的梗：PHP是天下上最好的语言。 。。。。。�？？ ？？？？？伤趺匆裁幌氲剑�， ，一次针对部委甲的网络渗透，，，，， ，就从这封邮件这儿最先了。 。。。。。。
恰在此时，，，，， ，位于东南亚的一台效劳器上，，，，， ，收到了“海莲花”组织特种木马传回来的信息。 。。。。。。一场全心策划的APT攻击已经乐成了第一步。 。。。。。。
线索扑朔迷离 竟然难住了清静老鸟？？ ？？？？？
若干天后，，，，， ，转眼又入冬。 。。。。。。刚吃过午饭的DP半躺在办公椅上打着盹，，，，， ，他是意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心的主力剖析师，，，，， ，和“海莲花”组织已经交手过太多次。 。。。。。。
突然，，，，， ，认真人Star的一通电话让DP睡意全无。 。。。。。�？？ ？？？？？突Р喟才诺囊獍禾逵�-科技赋能场景,让娱乐更有趣!天眼高级威胁检测系统爆发告警，，，，， ，疑似发明APT攻击，，，，， ，需要DP到客户现场配合清静效劳团队举行排查。 。。。。。。
这是个苦差事。 。。。。。。
由于部委甲的特殊性，，，，， ，因此对来访职员管制步伐较为严酷。 。。。。。。DP紧了紧外衣的领口，，，，， ，时时时还跺着脚，，，，， ，排队期待进入客户现场。 。。。。。。
天气似乎显得格外严寒。 。。。。。。
来到办公区后，，，，， ，DP凭证告警日志第一时间找到了中招的电脑终端（失陷终端）。 。。。。。。在将该终端的DNS剖析纪录、域名会见信息与意昂体育-科技赋能场景,让娱乐更有趣!威胁情报比对后，，，，， ，DP心里已有了谱：“呵，，，，， ，又是‘海莲花’，，，，， ，你就不可换个效劳器地点么？？ ？？？？？”
履历告诉他，，，，， ，垂纶邮件是“海莲花”等APT组织最常用的攻击手法之一，，，，， ，简朴直接。 。。。。。。若是黑客是通过垂纶邮件渗透进来的，，，，， ，那么一定会在邮件效劳器里，，，，， ，发明一些蛛丝马迹，，，，， ，从而找出所有失陷终端，，，，， ，并还原整个攻击轨迹。 。。。。。。
一下昼的时间很快就已往了，，，，， ，DP双眉紧锁。 。。。。。。邮件阻挡纪录显示，，，，， ，带毒邮件或者其他垃圾邮件都被阻挡了，，，，， ，黑客很难用这种方法攻进来。 。。。。。。
“不是通过垂纶邮件？？ ？？？？？”DP揉了揉有些发酸的眼睛，，，，， ，转过头问客户道，，，，， ，“咱们这儿应该不让用自己的电脑吧。 。。。。。。”
“嗯，，，，， ，不让。 。。。。。。我们也装了终端清静治理的软件，，，，， ，对接入内网的电脑、手机，，，，， ，都有很是严酷的管控。 。。。。。。”该部委的清静认真人说到，，，，， ，“今天先到这儿吧，，，，， ，快下班了，，，，， ，按划定我得把你们送出去。 。。。。。。”
“行，，，，， ，那我先回去，，，，， ，中毒的那台电脑别用了。 。。。。。。”
蹲点摸排 终于锁定23台失陷主机
脱离客户现场之后，，，，， ，DP并没有连忙回家，，，，， ，而是就近订了一家快捷旅馆住下，，，，， ，想着明天早点已往。 。。。。。。他知道，，，，， ，接下来几天就要交接在这里了，，，，， ，自己住得太远不太利便。 。。。。。。
房间里，，，，， ，DP简朴向Star汇报了一下今天下昼排查的基本情形。 。。。。。。Star倒是没有以为希奇：“嗯，，，，， ，没关系。 。。。。。。像他们这种清静防护做的较量完善的单位，，，，， ，垂纶邮件已经很难了，，，，， ，你注重排查一下网络界线装备，，，，， ，好比防火墙、VPN这些，，，，， ，我预计‘海莲花’这次是通过界线渗透进来的。 。。。。。。这几天你就在那盯着，，，，， ，有难题后方随时支援。 。。。。。。”
第二天一大早，，，，， ，DP就出门了。 。。。。。。“今天这么早啊。 。。。。。。”客户外交了一句。 。。。。。。
“嗯，，，，， ，这不想早点搞定问题么。 。。。。。。”DP说，，，，， ，“对了，，，，， ，你们最近远程办公何等？？ ？？？？？”
“最近应该是没有，，，，， ，你也知道我们单位较量特殊，，，，， ，都是要求在办公区的。 。。。。。。不过早些时间我们给一家外包公司开放过VPN端口开发OA，，，，， ，那时间不是不让上门么，，，，， ，我们又要赶项目进度。 。。。。。。你嫌疑？？ ？？？？？”
“嗯，，，，， ，昨天晚上我们仔细复盘了一下，，，，， ，有这个可能。 。。。。。。前段时间VPN曝出许多误差，，，，， ，也泛起了一些误差使用的事务。 。。。。。。”
正说着话，，，，， ，DP似乎发明了一丝眉目。 。。。。。。误差扫描工具显示，，，，， ，VPN保存一个远程绕过误差，，，，， ，允许攻击者在未经授权的情形下会见内网。 。。。。。。顺着这条线，，，，， ，DP果真找到了来自外包公司的异常会见，，，，， ，木马应该是从外包公司带进来的。 。。。。。。
DP随即通过流量剖析工具和恶意文件剖析工具，，，，， ，划分针对异常流量和可疑文件举行了特征提取� 。。。。。。�， ，获得了很是完整的失陷威胁情报（IOC）信息，，，，， ，包括文件MD5和与木马通讯的C2（下令与控制）效劳器域名、IP地点等。 。。。。。。
这些域名均为“海莲花”所使用的C2效劳器域名和IP地点。 。。。。。。
“接下来应该就容易了，，，，， ，只需要排查哪些终端与这些地点爆发了毗连就行。 。。。。。。”完成了最要害的一步，，，，， ，DP终于松了一口吻。 。。。。。。经由两天的蹲点排查，，，，， ，日志剖析效果显示，，，，， ，与这些域名爆发通讯的共有23台终端。 。。。。。。
还原攻击历程：海内首次基于VPN误差的供应链攻击
从客户那里回来后，，，，， ，DP向威胁情报团队复盘了整个攻击事务。 。。。。。。
事实上，，，，， ，“海莲花”组织并非一最先就实验这种渗透要领，，，，， ，而是走他们的老路子，，，，， ，垂纶邮件攻击。 。。。。。。只不过厥后他们发明，，，，， ，发出去的垂纶邮件犹如泥牛入海，，，，， ，没什么太大效果，，，，， ，因此黑客绕了个弯，，，，， ，把目的放在了部委甲的上游供应商上。 。。。。。。
外包公司的清静防护水平狼籍不齐，，，，， ，黑客也知道“老太太捏柿子——挑软的欺压”的原理。 。。。。。。一封略加伪装的垂纶邮件，，，，， ，便攻破了达七的电脑。 。。。。。。
恰逢疫情爆发，，，，， ，远程办公需求猛增，，，，， ，许多机构不得不开放VPN端口，，，，， ，这就给了攻击者可乘之机，，，，， ，即是多了一个入口。 。。。。。。有视察数据显示，，，，， ，疫情时代，，，，， ，VPN使用率较平时提升了30%左右。 。。。。。。
“可能平时的误差治理事情不敷详尽，，，，， ，这次‘海莲花’使用远程绕过误差并不是0day，，，，， ，而是一个Nday。 。。。。。。意思就是VPN厂商很早就果真披露过误差详情，，，，， ，并提供了补丁� 。。。。。。�， ，但该部委并没有实时更新。 。。。。。。”
正是这个不起眼的误差，，，，， ，让“海莲花”组织原本在达七电脑上植入的木马，，，，， ，放到了部委甲存储代码的效劳器上，，，，， ，并以此获取了效劳器的控制权。 。。。。。。DP说，，，，， ，这是意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心发明的海内首次基于VPN误差的供应链攻击。 。。。。。。
拿下效劳器后，，，，， ，为了获取更多敏感信息，，，，， ，“海莲花”针对员工办公终端最先了渗透。 。。。。。。
理论上，，，，， ，内部恣意一台电脑都可能与效劳器爆发互联，，，，， ，以是“海莲花”可以向恣意一台电脑下发他们的远程控制木马。 。。。。。。但这一次，，，，， ，他们只选择了一台登录口令强度不高并且毗连互联网的电脑作为目的。 。。。。。。
为了对抗检测手段，，，，， ，“海莲花”组织做了许多事情。 。。。。。。
第一项是免杀，，，，， ，通俗明确就是躲过杀毒软件的检测。 。。。。。。
海莲花组织一旦发明其下发的木马被杀毒软件干掉了，，，，， ，就会远程修改木马设置，，，，， ，直到杀毒软件检测不出来为止。 。。。。。。DP说，，，，， ，最多的时间“海莲花”组织曾做过5次修改。 。。。。。。
第二项是与电脑的物理地点（MAC地点）绑定。 。。。。。。
由于物理地点具有唯一性，，，，， ，因此在木马与其绑定后，，，，， ，便不可在其他电脑上运行。 。。。。。。它有一个很主要的作用就是逃避沙箱（沙盒）检测。 。。。。。。沙箱可以明确成一个虚拟电脑，，，，， ，把可以文件放在沙箱里运行，，，，， ，视察其行为、特征，，，，， ，从而判断文件究竟是不是病毒。 。。。。。。
由于“海莲花”植入的木马只能在绑定的电脑上运行，，，，， ，在沙箱里便不可运行了，，，，， ，因此通俗的沙箱并不可获得检测效果。 。。。。。。但履历富厚的DP耍了一个“小智慧”，，，，， ，把沙箱的MAC地点调解为和宿主电脑一样，，，，， ，对木马来了个“将计就计”。 。。。。。。
第三项是长期化。 。。。。。。
为了避免木马文件意外丧失，，，，， ，“海莲花”组织将其木马�？？ ？？？？？橛胧淙敕ň傩邪蠖ǎ�， ，从而包管开机自动运行，，，，， ，实现恒久潜在。 。。。。。。
“‘海莲花’这次内部横移是怎么做的？？ ？？？？？”有同事提问。 。。。。。。
“照旧老套路，，，，， ，基本上都是通过局域网内里的445、80这些没有关闭的高危端口，，，，， ，举行横向弱口令暴力破解。 。。。。。。破解乐成后，，，，， ，再次重复上面的三个行动。 。。。。。。”DP回覆。 。。。。。。
昔时，，，，， ，台甫鼎鼎的“永恒之蓝”勒索病毒也是通过445端口在内网撒播的。 。。。。。。
厥后，，，，， ，DP跟笔者聊起了这次攻击事务，，，，， ，他拿起了一张事先准备好的草图▲。 。。。。。。拿起来一看，，，，， ，此次攻击的轨迹一目了然。 。。。。。。
这种使用上游供应链完成攻击渗透的方法，，，，， ，业界喜欢它们叫做供应链攻击。 。。。。。。
举例来说，，，，， ，不久前，，，，， ，意昂体育-科技赋能场景,让娱乐更有趣!披露的2020年度最严重APT攻击事务，，，，， ，即导致200多家全球主要机构受害的SolarWinds（太阳风）事务，，，，， ，就是典范的供应链攻击，，，，， ，其幕后组织“金链熊”更是多达数百人。 。。。。。。
海莲花的牌还没出完 猎人狐狸的游戏还在继续
“‘海莲花’远不止接纳这一种攻击方法。 。。。。。。”DP说，，，，， ，“厥后排查的时间，，，，， ，还发明了他们获取了杀毒软件后台的控制权。 。。。。。。”提及来也巧了，，，，， ，“海莲花”组织在对部委甲举行端口扫描时，，，，， ，恰恰发明了处在统一网段的杀毒软件，，，，， ，进而挖出两个0day误差，，，，， ，完成攻击。 。。。。。。
虽然，，，，， ，在清静厂商的围追切断之下，，，，， ，“海莲花”的日子也欠好过。 。。。。。。单说意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心，，，，， ，每年都能捉住他们许多次。 。。。。。。每捉住一次，，，，， ，就把他们使用的C2效劳器域名、IP地点、木马文件设置等信息提取下来并天生威胁情报，，，，， ，下次他们若是再使用相同的IP地点发动网络攻击，，，，， ，就会直接被阻挡了。 。。。。。。
再加上意昂体育-科技赋能场景,让娱乐更有趣!和友商之间的威胁情报共享机制，，，，， ，时间一长，，，，， ，他们手上的效劳器被查的七七八八，，，，， ，不得不换新的效劳器。 。。。。。。
那么问题来了，，，，， ，下一次若是“海莲花”用全新的效劳器，，，，， ，还能查出来么？？ ？？？？？
“你说第一次披露海莲花组织攻击的时间，，，，， ，是怎么发明的呢？？ ？？？？？” DP反问了一句。 。。。。。。
连忙拨打
京公网安备11000002002064号