【APT威胁】荷兰活跃APT大盘点
颁布功夫 2018-10-17https://securelist.com/threats-in-the-netherlands/88185/
引言
2018年10月4日，荷兰军事谍报与安全局（MIVD）进行新闻颁布会披露了一路针对不容化学兵器组织（OPCW）的网络攻击事务�！８霉セ魇怯葾PT组织Sofacy（别名APT28或花式熊）提议的�！Ｆ揪軲IVD，四名嫌犯在试图入侵OPCW网络时被当场抓获�！８米橹霸诤衫汲鱿止�，因而这一次的攻击活动也并不令人惊讶�！Ｈ欢�，令人惊讶的是，除了Sofacy之外，我们并没有在荷兰发现更多的APT组织（至少与中东地域相比，荷兰APT组织的数量相当稀少）�！Ｗ邢干笫又�，我们以为这相当古怪，由于荷兰拥有多个大型跨国公司和高科技企业，还有好多潜在的战术指标，这些都可能成为攻击者的指标�！Ｎ颐蔷龆ǘ哉攵曰蛴跋旌衫嫉耐缤不疃敖徊降纳笫印！�
对一个APT活动进行总结已极度难题，更何况是对影响一个国度的所有APT活动进行综述�！５谝桓瞿烟饩褪�，我们只能看到我们所能看到的�！Ｒ簿褪撬滴颐侵荒艽幼约耗芙蛹男畔⑵鹪椿袢∈�，例如OG东方厅客户通过KSN自愿共享的数据（这些数据还要与特定的APT有关）�！Ｒ蚨�，与其它安全厂商一样，OG东方厅遥测技术也是不全面的�！�
钻研步骤
本文中网络了从前四年内（2014年9月至2018年9月）所有荷兰IP的沉洞数据，共计约8.5万条�！５比徽飧鍪康惺侄橹だ此堤嗔恕！Ｒ蚨鳲G东方厅第一步就是数据过滤，尤其是过滤掉那些属于扫描器的数据�！Ｆ渲幸恍┦菹喽远越弦坠耍ɡ缢械腡OR出口节点，所有的ZmEu扫描器流量等），另一些则复杂一点�！�
为了过滤掉扫描器流量，去掉了那些IP地址匹配超过4个标签的数据条款（每一个标签代表了一个分歧的恶意活动）�！Ｕ饷醋鲋�，还渣滓约1.1万条数据�！Ｕ饣蛐硐骷趿斯ぷ髁康�77%，但我们还有很长的路要走，因而我们采取了一些更为激进的过滤措施�！�
本文的主张是综述在荷兰活跃的APT组织及其兴致地点，这必要正例（TP）而不是反例（FP）�！６杂谠业氖萏蹩�，我们进行了反向DNS查问并保留了其ASN信息�！Ｔ诒欢疍NS数据库中查抄了该IP地址是否拥有与该IP地址初次进入沉洞数据库时一样的域名�！Ｈ羰怯蛎谎�，则保留该条款；；反之则尝试找出该IP属于哪个组织�！Ｈ范ǔ炼词葜械墓セ魇钦嫜粜裕═P）还是假阳性（FP）的一种步骤是找出受害者�！Ｒ蚨颐欠聪虿槲柿似銲P地址，查抄在该IP地址初次进入沉洞数据库时，其DNS纪录是否存在于OG东方厅被动DNS数据库中�！Ｈ羰遣淮嬖�，则该条款被忽略�！Ｎ颐遣扇〉牡诙霾街枋侨サ粑薹ǖ鞑榈奶蹩睿ɡ缡粲贏DSL衔接的IP地址）�！Ｖ还苷庵植街韫诘ヒ淮致�，会忽略掉部门TP，但由于资源有限，调查所有的条款是不现实的，因而我们依然决定选取该措施�！Ｗ钪樟司�：还有约1000条数据期待调查�！�
此时，对于渣滓的条款，将其原始要求在APT模板要求中进行检索�！Ｗ詈�，对于列表中渣滓的IP地址，尝试将其与公司或机构进行关联�！Ｈ羰枪亓晒�，则该条款最终被保留并象征为TP�！�
钻研了局
1、、BlackOasis（玄色绿洲）
BlackOasis 是我们自2016年5月以来一向跟踪的APT组织�！８米橹匾褂妹骋锥褚馊砑﨔inFisher（由GammaInternational公司开发的贸易恶意软件，重要销售给国度和法律机构LEA）�！Ｓ肫渌麬PT组织显著分歧的是，BlackOasis利用过多个零日缝隙：2015年以来至少已使用过5个零日缝隙�！８米橹哉魏芨行酥�，其攻击指标重要是中东的国度�！Ｎ颐腔乖鄄斓礁米橹氪航岷瞎稍币约扒蛐挛偶钦叩墓セ鳌！Ｗ罱墓鄄炝司峙⒏米橹墓セ髦副曜浦炼砺匏埂ⅰ⒂⒐痛丝痰暮衫嫉裙取！Ｆ湓诤衫嫉墓セ髦副暌睬泻掀湫酥碌淖洹！�
2、、 Sofacy（花式熊）
Sofacy，别名兵风暴、、花式熊等，是一个活跃的APT组织�！Ｗ源�2011年以来我们一向在跟踪该组织�！ofacy以利用鱼叉式垂钓邮件习染指标和积极部署零日缝隙而闻名�！Ｔ�2015年，趋向科技的钻研人员颁布汇报称该组织针对MH17调查小组提议攻击�！Ｈツ�，Volkskrant又颁布汇报称该组织试图习染荷兰的多个当部门门�！６缶褪�2018年10月4日的新闻，四名Sofacy成员在2018年4月试图入侵OPCW时被捕�！Ｖ还芪颐嵌院罅狡鹗挛袼欢�，但我们也观察到多个位于荷兰的指标被Sofacy习染�！Ｓ腥さ氖�，我们观察到Xagent（Sofacy的一个模�？？椋┑牟渴鹪谠�2018年4月之后越来越少�！Ｖ还茉�2018年8月还有一路事务中部署了Xagent，但总体来看该组织在2018年4月至6月期间起头转向新恶意软件的部署�！�
3、、Hades（哈迪斯）
Hades（冥王哈迪斯）是在2018岁首针对平昌冬奥会提议攻击的APT组织，该组织使用的恶意软件是Olympic Destroyer�！Ｓ捎贠G东方厅几条Yara规定与该恶意软件100%匹配，因而最初我们以为该恶意软件与犯罪团伙Lazarus有关�！Ｈ欢�，经过仔细调查之后，我们发现了指向分歧APT组织的多个谬误标签�！＜父鲈潞�，在2018年5月（OPCW事务产生后不久），我们发现Hades东山再起，并且这次重要针对金融机构和化学威胁预防尝试室�！＜谡庵中酥律系淖�，我们以为该组织转变为针对荷兰的指标也不令人不测�！�
4、、Buhtrap
Buhtrap是重要针对金融机构的犯罪团伙之一，其最终主张是窃取资金�！８米橹墓ぞ摺ⅰ⒓际鹾土鞒蹋═TP）与传统的APT组织区别不大�！：虲arbanak、、Tyupkin一样，Buhtrap最初也是重要针对俄罗斯和乌克兰的金融机构，但随后转变为针对其它地域的指标�！Ｎ颐窃�2017年在荷兰发现Buhtrap组织的恶意活动�！�
5、、The Lamberts
2017年3月，维基解密披露了Vault 7系列的泄密文档�！Ｆ渲幸恍┪牡得枋龅亩褚馊砑嗨朴诜缸锿呕飔he Lamberts使用的恶意软件（一个使用了几年的toolkit，其大无数活动产生在2013年和2014年）�！Ｎ颐且丫鞑楣囊桓鯰heLamberts的变体是“GreenLamberts”�！８枚褚馊砑匾攵砸晾�，但令人惊讶地是我们在荷兰发现了不少的习染事务�！Ｎ颐嵌哉庑┖衫际芎φ叩那榭霾⒉幌嗍�，但是，Lamberts在荷兰活跃的事实批注，APT组织的兴致点可能会转移，并且对APT组织来说国界是不存在的�！�
6、、Turla
Gatak，也被称为Stegoloader或GOLD，是一个重要通过水坑攻击窃取数据的组织�！８米橹辽俅�2015年以来一向活跃，其重要对知识产权感兴致�！Ｖ还苁褂盟庸セ饕馕蹲鸥米橹薹ㄆ肴谥葡叭局副�，但其也成功袭击了多个高价值的指标�！G东方厅沉洞数据库批注其中一个高价值的指标位于荷兰�！�
8、、 Putter Panda（推杆熊猫）
2015年，荷兰芯片制作商ASML遭犯罪团伙Putter Panda入侵�！SML认可了该次事务并宣称一个文件被盗�！８霉久挥邢蚬遗陡嘞附�，只管有一个电视节目“KRO reporter”试图还原事件的真相�！SML是荷兰仅有的少数高科技公司之一�！８霉驹獾饺肭值氖率得飨缘嘏⑼夤セ髡咭丫馐兜讲⑶叶院衫嫉墓ひ导涞疃雀行酥隆！�
9、、Animal Farm（动物农场！）
结论
固然我们对荷兰的网络威胁活动的见解仍不齐全，但OG东方厅钻研了局也已令人惊讶�！Ｒ恍┪颐钦久挥邢氲降腁PT组织也在该国活跃（例如Lamberts）�！＞徊降乃悸�，尤其是将位于荷兰的潜在攻击指标与这些APT组织的兴致地点进行比力，我们以为它们在荷兰的活动也是切合其行为逻辑的�！�
无论是意料之中还是意料之外，这些APT在荷兰出现自身对于企业而言就是一个相识网络空间最新发展趋向（尤其是通过威胁谍报）的优良参数�！Ｓ捎诩热荒阋丫苏庑〢PT组织在做什么、、它们针对了哪些企业以及它们使用的TTP，那么你就可能提前一步去执行相应的防护措施�！�
我们在沉洞数据库中发现了令人吃惊的受“常见恶意软件”习染的企业数量，这批注相应的预防措施很有必要�！Ｕ庑┍幌叭镜钠笠翟毯娇展尽ⅰ⒒∫约捌渌匾镜龋ㄓΩ冒盐鹊氖�，不仅仅是荷兰，其它国度的情况也差不多）�！Ｕ庠俅沃ち巳籄PT组织入侵有价值的指标是多么地容易，以及每一小我都应该维持基础的网络安全习惯�！�
京公网安备11010802024551号