NEWS 行业资讯
当前位置:首页 > 新闻动态 > 行业资讯

攻击苹果用户,黑客组织APT28这次用了新招

发布时间:2016/10/9 8:42:31    作者:    点击量:

一个被称为APT28的俄罗斯黑客组织,在过去十年中针对北约、东欧及高加索地区的政府,系统的开展网络间谍活动,而现在他们又将目光转移到了苹果系统设备。


近年APT28组织异常活跃


最近在美国总统选举活动中的民主党委员会(DNC)网络攻击和信息泄露事件,让俄罗斯攻击威胁处于风口浪尖。


2016年6月在DNC电脑系统中曾发现APT28的渗透痕迹,其实早在过去,网络安全公司火眼曾把APT28与2007年检测到的一起攻击联系起来,该起攻击的目标是格鲁吉亚、波兰、匈牙利、土耳其和波罗的海各国,以及欧洲安全合作组织(OSCE)。而现在更有研究指出该组织一直将注意力转移到世界反兴奋剂(WADA)等西方政府或军事机构,而这次他们使用了新型木马Komplex来感染苹果系统设备。


在过去一些分析中认为APT28主要依赖3种不同的攻击途径来感染他们的目标:用恶意Word和Excel文档作为附件的钓鱼邮件,钓鱼网站,会导致Java和Flash 0-day漏洞的恶意iFrame代码。在过去的两年中出现了许多活跃的黑客组织,比如APT28、Sofacy、Pawn Storms、Fancy Bear以及Sednit等。


而在近期美国民主党委员会遭到网络攻击一事中,英国伦敦国王学院的教授Thomas Rid曾就此事件写了一篇最权威的文章,列出所有迹象和证据表明俄罗斯政府就是DNC网络攻击背后的黑手,而后经过调查,美国安全公司CrowdStrike已经确认,第一起攻击其网络的时间为2015年,第二个黑客组织于2016年发起攻击,而在这种就发现该组织痕迹。然而恶意软件Komplex是如何快速感染目标用户?其实方法也不是很复杂,主要是通过钓鱼邮件的方式,引诱不知情的用户感染木马病毒,伪装的信息一般是俄罗斯即将推出的太空计划或最新项目,而这些会有多少人不感兴趣,于是感染的用户越来越多。


PaloAlto研究中心的安全研究人员首先发现了该木马病毒,该中心的研究人员Ryan Olson称:


“苹果公司虽然为其系统(OSx)准备了完善的网络防御工作,但最重要的一点就是,无论人们使用什么样的操作系统,但还是被攻击的目标。”


钓鱼邮件中包含一个带有木马病毒的附件,该附件是一个可执行的加密文件,即PDF或脚本程序。当附件下载之后,用户点开,会出现一个PDF文档,而这个PDF文件一共有17页,文件名称是roskosmos_2015-2025.pdf,而一些不知情的用户也会认为自己打开的仅仅是一个PDF文件。Olson表示,有些人的心理就是会不假思索的打开PDF文件。


木马更具有针对性


在木马感染用户之后,会有更多文件下载到用户电脑,执行删除或复制文件,而后木马相关程序会保存到/tmp/content目录下。木马在系统中安装可执行文件之后,当系统启动,会检测本地杀软以及收集信息,然后会发送一个GET请求,同时检测当前网络状态。也就是说只有当互联网连接可用时,才会开始与C&C服务器通信,发送受感染用户主机相关详情。目前获取到的PDF文档上面显示的是,有关有2016-2025年俄罗斯航天计划的文件,但这次事件中没有直接证据说明俄罗斯支持该组织行动。


Olson在最后的分析中表示,Komplex开始的时候仅仅针对个人用户,但是现在正针对MacKeeper杀毒程序漏洞发起攻击。而根据最新的消息称,该木马也已经正在向多平台方向发展。


返回列表

联系我们

contact us
Copyright © 2015-2018 中山市杰特信息安全技术咨询有限公司. 粤ICP备16069765号 粤公网安备 44200002442457号