【APT威胁】荷兰活跃APT大盘点
宣布时间 2018-10-17https://securelist.com/threats-in-the-netherlands/88185/
引言
2018年10月4日，荷兰军事情报与宁静局（MIVD）举行新闻宣布会披露了一起针对禁止化学武器组织（OPCW）的网络攻击事件。该攻击是由APT组织Sofacy（又名APT28或花式熊）提倡的。凭据MIVD，四名嫌犯在试图入侵OPCW网络时被就地抓获。该组织之前在荷兰泛起过，因此这一次的攻击活动也并不令人惊讶。然而，令人惊讶的是，除了Sofacy之外，我们并没有在荷兰发现更多的APT组织（至少与中东地域相比，荷兰APT组织的数量相当稀少）。仔细审视之后，我们认为这相当离奇，因为荷兰具有多个大型跨国公司和高科技企业，还有很多潜在的战略目标，这些都可能成为攻击者的目标。我们决定对针对或影响荷兰的网络威胁活动进行进一步的审视。
对一个APT活动进行总结已十分困难，更何况是对影响一个国家的所有APT活动进行综述。第一个困难就是，我们只能看到我们所能看到的。也就是说我们只能从自己能访问的信息来源获取数据，例如我们的客户通过KSN自愿共享的数据（这些数据还要与特定的APT相关）。因此，与其它宁静厂商一样，我们的遥测技术也是不全面的。
研究要领
本文中收集了过去四年内（2014年9月至2018年9月）所有荷兰IP的沉洞数据，共计约8.5万条。虽然这个数量对手动验证来说太多了。因此我们的第一步就是数据过滤，尤其是过滤掉那些属于扫描器的数据。其中一些数据相对而言较易过滤（例如所有的TOR出口节点，所有的ZmEu扫描器流量等），另一些则庞大一点。
为了过滤掉扫描器流量，去掉了那些IP地址匹配凌驾4个标签的数据条目（每一个标签代表了一个差异的恶意活动）。这么做之后，还剩余约1.1万条数据。这大概减少了事情量的77%，但我们还有很长的路要走，因此我们接纳了一些更为激进的过滤措施。
本文的目的是综述在荷兰活跃的APT组织及其兴趣所在，这需要正例（TP）而不是反例（FP）。对于剩余的数据条目，我们进行了反向DNS查询并生存了其ASN信息。在被动DNS数据库中检查了该IP地址是否具有与该IP地址首次进入沉洞数据库时相同的域名。如果域名相同，则保留该条目；反之则实验找出该IP属于哪个组织。确定沉洞数据中的攻击是真阳性（TP）还是假阳性（FP）的一种要领是找出受害者。因此我们反向查询了其IP地址，检查在该IP地址首次进入沉洞数据库时，其DNS记录是否存在于我们的被动DNS数据库中。如果不存在，则该条目被忽略。我们接纳的第二个步骤是去掉无法视察的条目（例如属于ADSL连接的IP地址）。尽管这种要领过于简单粗暴，会忽略掉部门TP，但由于资源有限，视察所有的条目是不现实的，因此我们仍然决定接纳该措施。最终结果：还有约1000条数据期待视察。
此时，对于剩余的条目，将其原始请求在APT模板请求中进行检索。最后，对于列表中剩余的IP地址，实验将其与公司或机构进行关联。如果关联乐成，则该条目最终被保留并标志为TP。
研究结果
1、BlackOasis（黑色绿洲）
BlackOasis 是我们自2016年5月以来一直跟踪的APT组织。该组织主要使用商业恶意软件FinFisher（由GammaInternational公司开发的商业恶意软件，主要出售给国家和执法机构LEA）。与其它APT组织显著差异的是，BlackOasis利用过多个零日漏洞：2015年以来至少已使用过5个零日漏洞。该组织对政治很感兴趣，其攻击目标主要是中东的国家。我们还曾视察到该组织针对联合国成员以及区域新闻记者的攻击。最近的视察结果表明该组织的攻击目标转移至俄罗斯、英国和现在的荷兰等国家。其在荷兰的攻击目标也切合其兴趣的转变。
2、 Sofacy（花式熊）
Sofacy，又名兵风暴、花式熊等，是一个活跃的APT组织。自从2011年以来我们一直在跟踪该组织。Sofacy以利用鱼叉式钓鱼邮件熏染目标和积极部署零日漏洞而闻名。在2015年，趋势科技的研究人员宣布陈诉称该组织针对MH17视察小组提倡攻击。去年，Volkskrant又宣布陈诉称该组织试图熏染荷兰的多个政府部门。然后就是2018年10月4日的新闻，四名Sofacy成员在2018年4月试图入侵OPCW时被捕。尽管我们对后两起事件所知不多，但我们也视察到多个位于荷兰的目标被Sofacy熏染。有趣的是，我们视察到Xagent（Sofacy的一个�？椋┑牟渴鹪谠�2018年4月之后越来越少。尽管在2018年8月还有一起事件中部署了Xagent，但总体来看该组织在2018年4月至6月期间开始转向新恶意软件的部署。
3、Hades（哈迪斯）
Hades（冥王哈迪斯）是在2018年初针对平昌冬奥会提倡攻击的APT组织，该组织使用的恶意软件是Olympic Destroyer。由于我们的几条Yara规则与该恶意软件100%匹配，因此最初我们认为该恶意软件与犯罪团伙Lazarus有关。然而，经过仔细视察之后，我们发现了指向差异APT组织的多个错误标签。几个月后，在2018年5月（OPCW事件发生后不久），我们发现Hades卷土重来，而且这次主要针对金融机构和化学威胁预防实验室。鉴于这种兴趣上的转变，我们认为该组织转变为针对荷兰的目标也不令人意外。
4、Buhtrap
Buhtrap是主要针对金融机构的犯罪团伙之一，其最终目的是窃取资金。该组织的工具、技术和流程（TTP）与传统的APT组织区别不大。和Carbanak、Tyupkin一样，Buhtrap最初也是主要针对俄罗斯和乌克兰的金融机构，但随后转变为针对其它地域的目标。我们在2017年在荷兰发现Buhtrap组织的恶意活动。
5、The Lamberts
2017年3月，维基解密披露了Vault 7系列的泄密文档。其中一些文档描述的恶意软件类似于犯罪团伙the Lamberts使用的恶意软件（一个使用了几年的toolkit，其大多数活动发生在2013年和2014年）。我们曾经视察过的一个TheLamberts的变体是“GreenLamberts”。该恶意软件主要针对伊朗，但令人惊讶地是我们在荷兰发现了不少的熏染事件。我们对这些荷兰受害者的情况并不了解，但是，Lamberts在荷兰活跃的事实表明，APT组织的兴趣点可能会转移，而且对APT组织来说国界是不存在的。
6、Turla
Gatak，也被称为Stegoloader或GOLD，是一个主要通过水坑攻击窃取数据的组织。该组织至少从2015年以来一直活跃，其主要对知识产权感兴趣。尽管使用水坑攻击意味着该组织无法完全控制熏染目标，但其也乐成袭击了多个高价值的目标。我们的沉洞数据库表明其中一个高价值的目标位于荷兰。
8、 Putter Panda（推杆熊猫）
2015年，荷兰芯片制造商ASML遭犯罪团伙Putter Panda入侵。ASML认可了该次事件并声称一个文件被盗。该公司没有向公众披露更多细节，尽管有一个电视节目“KRO reporter”试图还原事情的真相。ASML是荷兰仅有的少数高科技公司之一。该公司遭到入侵的事实清楚地表明外国攻击者已经意识到而且对荷兰的工业间谍活动十分感兴趣。
9、Animal Farm（动物农�。�
结论
虽然我们对荷兰的网络威胁活动的见解仍不完整，但我们的研究结果也已令人惊讶。一些我们原本没有想到的APT组织也在该国活跃（例如Lamberts）。经过进一步的思考，尤其是将位于荷兰的潜在攻击目标与这些APT组织的兴趣所在进行比力，我们认为它们在荷兰的活动也是切合其行为逻辑的。
无论是意料之中还是意料之外，这些APT在荷兰泛起自己对于企业而言就是一个了解网络空间最新生长趋势（尤其是通过威胁情报）的良好参数。因为既然你已经知道了这些APT组织在做什么、它们针对了哪些企业以及它们使用的TTP，那么你就能够提前一步去实施相应的防护措施。
我们在沉洞数据库中发现了令人受惊的受“常见恶意软件”熏染的企业数量，这表明相应的预防措施很有须要。这些被熏染的企业包罗航空公司、机场以及其它主要公司等（应该注意的是，不仅仅是荷兰，其它国家的情况也差不多）。这再次证明了APT组织入侵有价值的目标是何等地容易，以及每一个人都应该保持基础的网络宁静习惯。
京公网安备11010802024551号