安全動(dòng)態(tài)

Buhtrap 黑客組織使用微軟零日漏洞進(jìn)行間諜行動(dòng)

來源:聚銘網(wǎng)絡(luò)    發(fā)布時(shí)間:2019-07-13    瀏覽次數(shù):
 

信息來源:hackernews

Buhtrap黑客組織已將其目標(biāo)從俄羅斯金融業(yè)務(wù)和機(jī)構(gòu)轉(zhuǎn)移。自2015年12月進(jìn)行網(wǎng)絡(luò)間諜活動(dòng)以來,其影響最大的活動(dòng)是在2019年6月期間使用了近期修補(bǔ)的Windows零日漏洞。

Windows本地權(quán)限提升零日漏洞(CVE-2019-1132)被Buhtrap濫用于其攻擊,它允許犯罪組織在內(nèi)核模式下運(yùn)行任意代碼。微軟在本月的補(bǔ)丁星期二修復(fù)了此漏洞。

盡管Buhtrap自2014年以來不斷攻擊銀行客戶,但它直到一年之后才被檢測(cè)到。根據(jù)Group-IB和ESET研究人員的說法,它從2015年以后便開始尋找金融機(jī)構(gòu)等更高級(jí)的目標(biāo)。Group-IB報(bào)告稱,“從2015年8月到2016年2月,Buhtrap成功對(duì)俄羅斯銀行進(jìn)行了13次攻擊,總金額達(dá)18億盧布(2570萬美元)”。

被Buhtrap利用的Windows零日漏洞
ESET研究人員通過多個(gè)有針對(duì)性的活動(dòng)觀察到黑客組織的工具集“是如何通過用于在東歐和中亞進(jìn)行間諜活動(dòng)的惡意軟件進(jìn)行擴(kuò)展的”。

2019年6月,Buhtrap利用零日漏洞攻擊政府機(jī)構(gòu),主要攻擊方式是濫用舊版Windows中的“win32k.sys組件中空指針的逆向引用”。


轉(zhuǎn)為網(wǎng)絡(luò)間諜

Buhtrap發(fā)展過程

“當(dāng)他們?cè)诰W(wǎng)上免費(fèi)提供工具源代碼的時(shí)候,很難將行為歸罪于特定的參與者,”ESET說, “然而,因?yàn)樗麄冊(cè)谠创a泄露之前更改了目標(biāo),所以我們確信首批對(duì)企業(yè)和銀行進(jìn)行Buhtrap惡意軟件攻擊的人也參與了針對(duì)政府機(jī)構(gòu)的攻擊?!?

此外,“盡管新的工具已經(jīng)添加到他們的武器庫中并且更新可以應(yīng)用于舊版本,但不同的Buhtrap活動(dòng)中使用的策略,技術(shù)和程序(TTP)在這些年中并沒有發(fā)生顯著變化?!?

ESET在關(guān)于Buhtrap集團(tuán)網(wǎng)絡(luò)間諜活動(dòng)的報(bào)告最后提供了一份完整的IOC表單,其中包括C2服務(wù)器領(lǐng)域,惡意軟件樣本哈希,代碼簽名證書指紋以及MITRE ATT&CK技術(shù)的表格。

 
 

上一篇:2019年07月11日 聚銘安全速遞

下一篇:我國IPv6規(guī)模部署第一階段任務(wù)全面完成