攻击SolarWinds的黑客再涉入2起后门程序感染行动

去年底通过软件供应链在微软、FireEye及10多个美国联邦政府机关植入后门程序的黑客组织,近日又被发现蠢蠢欲动,接连发动攻击,在受害服务器上植入后门程序FoggyWeb及Tomiris,以长期渗透或窃取资料。

去年底一个黑客组织借由包括美国商务部、财政部及FireEye、微软等众多组织,所使用的IT管理平台SolarWinds Orion黑入其客户网络。这波攻击背后的黑客组织,据信是和俄罗斯政府支持的Nobelium,又称Cozy Bear、The Dukes或APT 29有关。它利用Orion的更新平台下载后门程序,包括Supernova及Sunburst等到用户网络上。

本周微软及卡巴斯基安全研究人员分别发现两个后门程序感染行动,且不约而同指向Nobelium。

首先是微软威胁情报中心发现,Nobelium锁定微软Active Directory Federation Services (AD FS)服务器,在取得流出的用户登录凭证后,就在AD FS服务器内植入永久性的后门程序FoggyWeb。

图片来源_微软

FoggyWeb是一个“后开采”被动式后门程序,具高度目标性。在受害系统中,它滥用SAML(Security Assertion Markup Language)令牌,以拦截进出Active Directory Federation Services (AD FS)服务器的流量。微软相信,攻击者利用FoggyWeb从受害服务器中窃取用户登录帐密、组态数据库、解密令牌(token)的签章凭证,并下载其他组件,像是进入内存中的恶意DLL。之后的行动可能包括执行恶意下载、接收C&C服务器的指令,或是监控对内流量,拦截任何想知道的对象通信内容。

微软分析研判FoggyWeb今年4月初就被用于攻击活动。微软已通知所有遭到锁定或已被黑入的客户。不过微软并未说明感染机器情形,或是分布范围等。

卡巴斯基则是在今年6月于DNS劫持的攻击中发现Tomiris。它的某些特征和今年5月发现的Sunshuttle后门程序很像。Sunshuttle属于SolarWinds Orion平台被植入的Sunburst后门变种,因此卡巴斯基推测Tomiris也源于Nobelium。

安全公司发现Tomiris是在去年12月到今年1月间,感染独立国家联合体(后苏联时代成立的9个国家)地区。黑客如何劫持受害者的DNS服务器尚不得而知,推测可能是取得受害者使用的域名注册机构的管理控制台凭证。

一旦劫持DNS解析器成功,受害者的邮件服务器流量会被重引导到黑客控制的域名,并通过假的登录页,诱使用户输入帐密,少部分引诱用户下载Tomiris后门程序。

图片来源_卡巴斯基

Tomiris和Sunshuttle一样,一经植入用户计算机就会持续和外部C&C服务器连接以下载之后的恶意程序,以在受害者网络上长期渗透。研究人员另外发现Tomiris变种还会寻找特定文件类型,如.doc、.PDF、.rar等上传外部服务器。

卡巴斯基在感染Tomiris的网络上发现另一只后门程序Kazuar,至于两波感染是因果关系、个别发生,或是和Nobelium有没关系尚则无法确定。

发表评论