卡巴斯基嘗試室安然研究小組頒發(fā)了一份最新的查詢拜訪陳述發(fā)布，他們發(fā)現(xiàn)一種名為“Icefog”的針對(duì)韓國(guó)和日本方針進(jìn)行報(bào)復(fù)打擊的小范圍高級(jí)延續(xù)性威脅(APT)。這類報(bào)復(fù)打擊的首要針對(duì)西方企業(yè)的供給鏈。Icefog報(bào)復(fù)打擊從2011年開端，比來幾年在范圍和報(bào)復(fù)打擊范圍上有所擴(kuò)大年夜。
“在過往幾年中，我們看到大年夜量高級(jí)延續(xù)性威脅(APT)報(bào)復(fù)打擊范圍已涵蓋幾近各類方針和范疇。良多環(huán)境下，報(bào)復(fù)打擊者會(huì)暗藏在企業(yè)和當(dāng)局收集中數(shù)年，并將Tb字節(jié)的敏感信息盜掏出來，”卡巴斯基嘗試室全球研究和闡發(fā)團(tuán)隊(duì)總監(jiān)Costin Raiu說，“Icefog報(bào)復(fù)打擊具有游擊性質(zhì)，這表白一種新趨勢(shì)的呈現(xiàn)，即進(jìn)行游擊報(bào)復(fù)打擊的小范圍報(bào)復(fù)打擊者會(huì)針對(duì)方針信息進(jìn)行精準(zhǔn)報(bào)復(fù)打擊。這類報(bào)復(fù)打擊凡是延續(xù)數(shù)天或數(shù)周，一旦報(bào)復(fù)打擊者獲得到需要的數(shù)據(jù)，會(huì)很快清算好并分開。將來，我們猜想此類小范圍的可雇傭APT報(bào)復(fù)打擊集體數(shù)量會(huì)增加，這類報(bào)復(fù)打擊集體專門從事游擊報(bào)復(fù)打擊，成為‘收集雇傭軍’”。
首要發(fā)現(xiàn)
按照已肯定的被報(bào)復(fù)打擊方針的資料，我們發(fā)現(xiàn)報(bào)復(fù)打擊者仿佛對(duì)以下范疇頗感歡愉愛好，包含：兵工、造船業(yè)和海事步履、計(jì)較機(jī)和軟件開辟、研發(fā)公司、電信運(yùn)營(yíng)商、衛(wèi)星運(yùn)營(yíng)商、大年夜眾媒體和電視廣播范疇。
研究顯示，報(bào)復(fù)打擊者的報(bào)復(fù)打擊方針包含國(guó)防財(cái)產(chǎn)承包商，例如Lig Nex1和Selectron Industrial Company;造船公司，例如DSME Tech和Hanjin Heavy Industires;電信運(yùn)營(yíng)商，例如韓國(guó)電信公司;媒體公司，例如富士電視臺(tái)。
報(bào)復(fù)打擊者會(huì)截獲敏感數(shù)據(jù)、公司打算、電子郵件賬號(hào)登錄信息、用于拜候被報(bào)復(fù)打擊對(duì)象內(nèi)部和外部收集資本的暗碼。
報(bào)復(fù)打擊過程中，報(bào)復(fù)打擊者利用了“Icefog”后門法度集(又稱為“Fucobha”)。卡巴斯基嘗試室已檢測(cè)出針對(duì)Windows和Mac OS X把持系統(tǒng)的Icefog歹意法度。
在其他大年夜大都APT報(bào)復(fù)打擊步履中，受害者一般會(huì)被傳染數(shù)月乃至數(shù)年，報(bào)復(fù)打擊者會(huì)不竭從受傳染系統(tǒng)或收集盜取數(shù)據(jù)。而Icefog報(bào)復(fù)打擊者則會(huì)一一對(duì)受報(bào)復(fù)打擊者實(shí)施報(bào)復(fù)打擊，并且只尋覓和拷貝特定的方針信息。一旦獲得到想要的信息，報(bào)復(fù)打擊者會(huì)當(dāng)即撤離。
大年夜大都環(huán)境下，Icefog報(bào)復(fù)打擊者仿佛對(duì)受報(bào)復(fù)打擊者很體味，知道從哪里獲得何類數(shù)據(jù)。報(bào)復(fù)打擊者會(huì)查找特定的文件名，并將找到的文件敏捷傳輸?shù)教?hào)令和節(jié)制辦事器。
報(bào)復(fù)打擊和功能
卡巴斯基嘗試室的研究人員對(duì)報(bào)復(fù)打擊者利用的70多個(gè)域名中的13個(gè)進(jìn)行了“排污口”查詢拜訪，按照統(tǒng)計(jì)數(shù)據(jù)得出全球受害者數(shù)量。別的，Icefog的號(hào)令和節(jié)制辦事器對(duì)其報(bào)復(fù)打擊方針日記和其他報(bào)復(fù)打擊步履日記文件進(jìn)行了加密。這些日記文件可以或許幫忙確認(rèn)報(bào)復(fù)打擊方針，有些還可以或許確認(rèn)受害者身份。除日本和韓國(guó)多家公司和組織遭受報(bào)復(fù)打擊外，還有良多源自其他國(guó)度和地區(qū)的“排污”連接，此中包含臺(tái)灣、噴鼻港、中國(guó)、美國(guó)、澳大年夜利亞、加拿大年夜、英國(guó)、意大年夜利、德國(guó)、奧地利、新加坡、白俄羅斯和馬來西亞。整體來看，卡巴斯基嘗試室監(jiān)測(cè)到超越4,000個(gè)被傳染IP和數(shù)百個(gè)被報(bào)復(fù)打擊者(幾十個(gè)Windows被報(bào)復(fù)打擊者和超越350個(gè)Mac OS X被報(bào)復(fù)打擊者)。
按照用于監(jiān)控和節(jié)制受傳染根本舉措措施的IP地址，卡巴斯基嘗試室的專家猜測(cè)這類威脅報(bào)復(fù)打擊背后起碼觸及三個(gè)國(guó)度，別離為中國(guó)、韓國(guó)和日本。
卡巴斯基嘗試室產(chǎn)品已可以或許檢測(cè)和斷根所有Icefog歹意軟件變種。