卡巴斯基曝光 DarkVishnya 银行内网攻击案件细节
在影视作品中，经常能见到通过 USB 存储器发起的网路入侵攻击。剧情通常是从目标公司中挑选一位容易下手的雇员，让他在工作场所的某个地方插入。对于有经验的 *** 犯罪者来说，这显然是一件很容易暴露的事情。但没想到的是，同样的剧情，竟然在现实中上演了。2017~2018 年间，卡巴斯基实验室的专家们，受邀研究了一系列的 *** 盗窃事件。
它们之间有一个共同点 —— 有一个直连公司本地 *** 的未知设备。有时它出现在中央办公室、有时出现在位于另一个国家或地区的办事处。
据悉，东欧至少有 8 家银行成为了这种袭击的目标（统称 DarkVishnya），造成了数千万美元的损失。
每次攻击可分为相同的几个阶段：首先， *** 犯罪分子以快递员、求职者等为幌子，潜入了组织的大楼、并将设备连接到本地 *** （比如某个会议室中）。
在可能的情况下，该装置会被隐藏或混入周围环境，以免引起怀疑。如上图所示的带插座的多媒体桌子，就很适合植入隐蔽的设备。
根据 *** 犯罪分子的能力和个人喜好，DarkVishnya 攻击中使用的设备也会有所不同。在卡巴斯基实验室研究的案例中，通常有如下三种：
● 上网本或廉价笔记本电脑；
● 树莓派计算机；
● Bash Bunny — 一款用于执行 USB 攻击的特殊工具。
在本地 *** 内，该设备会显示为“未知计算机、外部闪存驱动器、甚至键盘”。然后再通过内置或 USB 连接的 GPRS / 3G / LTE 调制解调器，远程访问被植入的设备。
结合 Bash Bunny 在外形尺寸上与 USB 闪存盘差不多的事实，这使得安全人员在搜索时，难以决定从何处先下手。
攻击的第二阶段，攻击者远程连接到设备、并扫描本地 *** ，以访问共享文件夹、Web 服务器、和其它开放式资源。
此举旨在获取有关 *** 的信息，尤其是业务相关的服务器和工作站。与此同时，攻击者试图暴力破解或嗅探这些机器的登录凭证。
为克服防火墙的限制，它们使用本地 TCP 服务器来植入 shellcode 。
若防火墙阻止其从一个网段跳跃到另一个网段、但允许反向连接，则攻击者会借助其它可被利用的资源，来构建所需的通信隧道。
得逞后， *** 犯罪分子会实施第三阶段：
登录目标系统，使用远程访问软件来保留访问权限，接着在受感染的计算机上启用 msfvenom 创建的恶意服务。
因为黑客利用了无文件攻击（Fileless Attacks）和 PowerShell，所以能够绕过白名单技术、或者域策略。
即便遇到了无法绕过的白名单，或者 PowerShell 被目标计算机阻止， *** 犯罪分子亦可借助 impacket、winecesvc.exe 或 psexec.exe 等可执行文件，发动远程攻击。
最后，卡巴斯基实验室曝光了如下恶意软件：
not-a-virus.RemoteAdmin.Win32.DameWare
MEM:Trojan.Win32.Cometer
MEM:Trojan.Win32.Metasploit
Trojan.Multi.GenAutorunReg
HEUR:Trojan.Multi.Powecod
HEUR:Trojan.Win32.Betabanker.gen
not-a-virus:RemoteAdmin.Win64.WinExe
Trojan.Win32.Powershell
PDM:Trojan.Win32.CmdServ
Trojan.Win32.Agent. *** be
HEUR:Trojan.Multi.Powesta.b
HEUR:Trojan.Multi.Runner.j
not-a-virus.RemoteAdmin.Win32.PsExec
Shellcode 监听端口：
tcp://0.0.0.0:5190
tcp://0.0.0.0:7900
Shellcode 连结点：
tcp://10.**.*.***:4444
tcp://10.**.*.***:4445
tcp://10.**.*.***:31337
Shellcode 管道：
\\.\xport
\\.\s-pipe
稿源：cnBeta，封面源自 *** ；
“卡巴斯基曝光 DarkVishnya 银行内网攻击案件细节” 的相关文章
Google Chrome 99.0.4844.84 紧急更新修复了已被利用的零日漏洞
Google已经为Windows、Mac和Linux用户发布了Chrome 99.0.4844.84，以解决一个在外部被利用的高严重性零日漏洞。浏览器供应商在周五发布的安全公告中说：”Google已经得知CVE-2022-1096的一个漏洞存在于外部。” 99.0.4844.84版本已经在稳定的桌...
安全专家发现新型恶意 Windows 11 网站：镜像内含恶意文件
自 Windows 11 系统 2021 年 6 月发布以来，不断有各种活动欺骗用户下载恶意的 Windows 11 安装程序。虽然这种情况在过去一段时间里有所遏制，但现在又卷土重来，而且破坏力明显升级。 网络安全公司 CloudSEK 近日发现了一个新型恶意软件活动，看起来非常像是微软的官方网站...
FritzFrog P2P 僵尸网络攻击医疗、教育和政府部门
Hackernews 编译，转载请注明出处： 一个P2P的Golang僵尸网络在一年多后重新浮出水面，在一个月内侵入了医疗、教育和政府部门实体的服务器，感染了总共1500台主机。 Akamai 的研究人员在与 The Hacker News 共享的一份报告中称，这种名为 FritzFrog 的“分...
Clearview AI 被指违反澳大利亚隐私法 已收集至少 30 亿人面部数据
澳大利亚信息专员发现，Clearview AI 在许多方面违反了澳大利亚的隐私法。在此前的双边调查中发现，该公司的面部识别工具未经同意并以不公平的方式收集澳大利亚人的敏感信息。由澳大利亚信息专员办公室（OAIC）和英国信息专员办公室（ICO）进行的调查发现，Clearview AI 的面部识别工具不...
FBI 发出警告：勒索软件集团正在利用财务信息进一步勒索受害者
FBI日前警告称，勒索软件集团正在瞄准涉及重大的、时间敏感的金融事件–如兼并和收购的公司，以此来胁迫受害者支付其赎金要求。FBI在本周写给私营公司的一份咨询中指出，网络犯罪分子在针对参与重大金融事件的公司时往往试图找到非公开信息，如果他们不支付赎金要求网络犯罪分子就会威胁公布这些信息。 “在最初的...
SushiSwap 承认 MISO 平台遭到软件供应链攻击 损失超过 300 万美元
SushiSwap 首席技术官表示，该公司的 MISO 平台近日受到了软件供应链的攻击。SushiSwap 是一个社区驱动的去中心化金融（DeFi）平台，方便用户交换、赚取、借出、借用和利用加密货币资产。今年早些时候，Sushi 的最新产品 Minimal Initial SushiSwap Off...
发表评论
