针对韩国数百家工业系统的APT攻击正波及全球

国际安全智库 新闻 2019年12月20日发布
Favorite收藏

导语:瞄准关键基础设施APT发动猛攻,韩数百家工业企业受重创。

一波未平一波又起,以关键基础设施为主的工业企业俨然成了APT攻击的核心靶场。

【导语】昨天,多家外媒爆出一项持续进行的工业网络间谍活动。该APT组织使用Separ恶意软件新版本窃取敏感数据和文件,包括工程布局、有关工业设备设计的专有信息等。截至目前,已影响了至少200个系统,受害者约60%的企业为韩国工业企业。此外,泰国、中国、日本、印度尼西亚、土耳其、厄瓜多尔、德国、英国等多国工业企业也不同程度受到影响。

韩数百家工业企业受APT重创,持续性高级威胁已波及全球关键基础设施

近日,CyberX威胁情报小组公布了一项针对韩国工业企业的高级持续性间谍活动。据介绍,攻击者会使用带有恶意附件的鱼叉式网络钓鱼电子邮件,伪装成PDF文件发动攻击。成功入侵后,攻击者会从浏览器和电子邮件客户端中窃取登录数据,还会搜寻各种类型的文档和图像。

值得注意是,一旦有关工业设备设计的专有信息、商业秘密、知识产权被窃取,轻则攻击者会对攻击目标进行网络侦察,发动勒索攻击,或者将这些信息出售给竞争对手和寻求提高其竞争地位的国家;重则攻击者可以凭借对IoT / ICS网络的远程RDP访问权限,对该国重要且具有军事意义的工厂布局了如指掌,并可在某关键时刻,直接对该国的工业企业和关键基础设施进行破坏性打击。

此外,危机比我们想象的还要快。据统计,已有数百家韩国工业企业受到影响。其中,最大受害者为一家关键基础设施设备的制造商,它专为化工厂,输电、配电设施或可再生能源行业的公司提供产品。此外,钢铁制造商、化工厂建设公司、管道制造商、阀门制造商、工程公司等相关企业也确认受到影响。

更糟糕的是,攻击活动已波及全球。数据显示:泰国、中国、日本、印度尼西亚、土耳其、厄瓜多尔、德国、英国等多国工业系统也不同程度受到影响。

图片1.png

精心伪造钓鱼电子邮件,为攻破工业系统费劲心机

有意思的是,研究员发现:攻击链始于精心制作的网络钓鱼电子邮件。这些“邮件”,不仅带有浓郁的工业主题风,而且善用伪造RFQ(报价单)这一方式。

1. 伪造RFQ:为捷克一家发电厂的设计询价

这封钓鱼邮件,不仅冒充西门子子公司的雇员发送,邮件内容也极为详实,包含:发电厂的示意图、有关如何使用燃气运行该工厂的公开技术白皮书。

1576754351609177.jpg

2. 伪造RFQ:用于设计印尼的一家燃煤电厂

在这份伪造的RFD中,攻击者假装是日本一家大型工程企业集团的子公司,并表达出其了在印尼建造燃煤电厂的兴趣,此外,为了增加合法性,该电子邮件还提供了关于其公司对外介绍的信息资料(附件中的PDF文件)。

1576754396636361.jpg

此外,还有一封似乎来自欧洲某大型工程公司买方的电子邮件,该公司设计天然气加工和生产工厂。

进一步探究攻击“武器”,Separ恶意软件新版本浮出水面

进一步探究中,研究员发现:该APT组织使用了Separ恶意软件的新版本。其具体攻击流程如下:

首先,该恶意软件隐藏在网络钓鱼电子邮件的zip文件中。目标用户解压后,恶意软件就开始“运作”起来。

具体而言,它将会窃取浏览器和电子邮件凭据,搜索具有一系列扩展名的文档,包括Office文档和图像等。同时,它通过FTP将所有被泄露的信息上传到一个免费的虚拟主机服务(freehostia.com)。此外,该恶意软件还将运行ipconfig命令来映射连接到受感染系统的网络适配器,并尝试禁用Windows防火墙。

1576754452651121.png

值得注意的是,研究人员还表示:该恶意软件会依靠自动运行功能,在系统重新启动后继续生存,并附带了许多免费提供的工具:

· 浏览器密码转储v6.0by SecurityXploded

· 电子邮件密码转储v3.0 by SecurityXploded

· NcFTPPut3.2.5 –免费的FTP客户端

· LaZagne项目(密码转储器)

· deltree(删除文件夹)

· Windows NT /2000 / XP V2.03的命令行进程查看器/终止进程/挂起程序

· MOVEit Free1.0.0.1 –安全的FTP客户端

· tricerat的睡眠工具 

《西门子SPPA-T3000工控系统爆出致命漏洞且未完全修复,全球电厂或再遭劫难!》《工控系统再迎大波澜,伊朗APT组织将其作为重点攻击目标》《核电站成APT暴击核心,官方确认:印度Kudankulam已感染朝鲜恶意软件》等重磅新闻还历历在目,一场声势浩荡的APT攻击又汹涌而来且活跃进行,全球工业企业都处在安全的警戒线上,危险随时爆发。

真可谓,一波未平一波又起,以关键基础设施为主的工业企业俨然已成为APT攻击的核心靶场。然而,报道新闻不是最终目的,最重要的是我们是希望各大工业企业能防患于未然。毕竟,威胁如十级地震一样爆发后,我们要负担的将是比一堆废墟要还惨重的代价。

此外,针对如何防范此类型的攻击,防护关键性工业企业免受侵扰,智库也整理了一些建议:

1.企业员工要提高网络安全防范意识,警惕电子邮件附件中的压缩文件;

2.使用安全软件检测可疑电子邮件的安全性,也要检测未知软件的安全性;

3.可以采用网络分段,以限制攻击者从IT到OT的能力;

4.可使用MFA保护远程访问解决方案,以防止使用被盗凭据进行未经授权的访问;

5.设置特定于IoT / ICS的网络安全监控,以检测对工业控制网络的可疑访问者或未经授权的访问者;

6.此外,工业企业相关工作者还应持续关注工业威胁情报,以便及时了解随时引发的网络攻击行为,同时,还可以将其与本公司的SIEM,监视系统等集成,以便进一步预防攻击者的入侵。

其他资料补充:

Separ恶意软件,最早由SonicWALL在2013年发现,今年2月,网络安全公司DeepInstinct的研究人员爆出该恶意软件攻击感染全球数百家企业。 

其他资料.png

参考资料:

《Gangnam Industrial Style: APT组织瞄准韩国工业公司》

https://cyberx-labs.com/blog/gangnam-industrial-style-apt-campaign-targets-korean-industrial-companies/

来源:国际安全智库

如若转载,请注明原文地址: https://beta.4hou.com/info/news/22219.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论