360：2021年上半年全球高级持续性威胁（APT）研究报告（55页）.pdf

《360：2021年上半年全球高级持续性威胁（APT）研究报告（55页）.pdf》由会员分享，可在线阅读，更多相关《360：2021年上半年全球高级持续性威胁（APT）研究报告（55页）.pdf（55页珍藏版）》请在三个皮匠报告上搜索。

1、2021年上半年，海莲花组织针对我国的攻击活跃程度较去年有所提升，攻击活跃程度仅次于毒云藤、蔓灵花，3月和4月攻击处于高峰。今年针对ICT供应商的攻击占比位居首位，已超过直接针对政府、教育等重点单位的攻击。这些目标供应商主要服务于国防、政府、教育、交通等多个领域。另外，海莲花较其他主流APT组织还有一个显著的区别，就是在初始攻击突破进入目标内网环境后，会进行大规模复杂的横向移动攻击。今年上半年继续沿用了去年主流的三种横向移动攻击手法：远程建立服务、远程调用WMI服务、控制内网安全软件服务端下发指令。越来越多的被攻陷网络设备作为C2服务器，在去年的攻击活动中物联网设备已成为APT新的战备资源，海

2、莲花组织也在积极尝试由此获得更多武器资源，去年7月，我们捕获到海莲花组织陆续攻击路由器设备，主要针对DrayTek厂商路由器设备，进一步将其作为流量中转跳板，相关攻击活动持续至今。另外今年4月各单位展开实网攻防演练期间，海莲花攻陷了多个企业OA系统服务器，同样这些服务器仅作为C2跳板中转用。主流攻击：白利用+HiJack家族，海莲花的HiJack家族是目前最活跃的样本类型，该家族样本使用前期渗透侦查，获取到的被攻击机器的信息(IP、MAC地址等)，以此当做高强度加密方法(AES / RC4)唯一的KEY，来解码恶意载荷，如果环境相关参数不匹配，则不执行恶意操作，增加安全软件检出难度和分析人员的

3、分析难度。白利用持久化新组合，根据360安全大脑观测到的数据，我们发现海莲花组织攻入企业内部后，滥用白利用技术，进行持久化驻留。海莲花组织实施横移技术以后，为了持久化驻留，使用了一个新的白利用驻留模式。劫持已有软件服务项：搜集目标系统中可被劫持的目标服务项信息，将可被白利用的目标文件，替换目标服务项所属的主要工作组件。替换完毕后，可等待应用程序服务被动启动，也可通过SMB/RPC或内网安全软件服务端下发命令来远程启动此服务，从而实现后门模块持久化驻留系统。此方式没有对服务项进行敏感操作，例如增加新服务项或修改原服务项，只对服务目标文件进行替换。可以理解为模拟常规软件的升级过程，替换被劫持服务的

4、目标文件，替换后的目标文件依然为白名单文件。目的是为了躲避安全软件的筛查。潜行者组织针对我国相关部门的攻击已经持续了12年左右，其攻击手法新颖、复杂，先后运用了NSA武器库、杀毒软件漏洞等先进攻击技术和大量对抗技术防止安全人员分析，攻击行动隐蔽低调，攻击周期长，是攻击能力出众的APT组织。从2018年开始，360高级威胁研究院持续发现了潜行者组织相关最新攻击活动，被攻击者主要包括涉及政府、通信行业，而且该组织的目标范围主要集中在某几个重点单位，对目标的定向攻击方式和北美组织类似，与南亚地区组织差异较大。相关攻击最早可以追溯到2009年，攻击最早的样本编译时间为2008年，攻击活动一直持续至今。该组织对目标内网环境进行了深入研究，针对目标内网环境中的杀毒软件进行针对性的攻击，利用杀毒软件的升级服务漏洞植入后门，控制目标内网关键服务器并进行了持续的潜伏渗透。今年上半年该组织主要针对东南亚地区通信行业相关单位，目的仍然以窃取重点单位敏感文件为主，攻击活动主要集中在1月至3月，其中攻击频率逐月递减。另外针对APT-C-30(潜行者)组织历年来攻击活动的技战术细节，我们近期将对外披露。