首頁 > 焦點新聞

Operation Earth Kitsune 水坑攻擊駭入網站監控使用者系統

作者:編輯部 -2020 / 11 / 20 列印 加入我的最愛 分享 將這篇文章分享到 Plurk 噗浪
一項趨勢科技命名為 Operation Earth Kitsune 的水坑式攻擊行動正透過已遭駭入的網站來監控使用者系統。這起攻擊運用了 SLUB 和兩個新的惡意程式變種,專門攻擊 Google Chrome 和 Internet Explorer 瀏覽器的漏洞。

過去趨勢科技就曾發表過有關 SLUB 惡意程式攻擊行動的報告。在最新一份研究報告中,我們披露了一起採用最新惡意程式變種的水坑式攻擊行動。此惡意程式的命名由來是因為它之前的版本會利用 Slack 和 GitHub 兩項平台,只不過這次沒有,反倒是用了 Mattermost 這套很容易安裝在企業的開放原始碼網路聊天服務。

 Operation Earth Kitsune 總共使用了五台幕後操縱 (C&C) 伺服器、七個惡意程式樣本以及四個新的漏洞,其目標是入侵網站來散布惡意程式。我們會對這起行動展開調查,最初是因為我們注意到 Korean American National Coordinating Council (韓裔美國人國家協調委員會,簡稱 KANCC) 的網站會將訪客重導至一個名為「Hanseattle」的網站。該網站會攻擊 Google Chrome 的一個漏洞 (CVE-2019-5782 ),這是一個經由 chromium 追蹤系統所披露的漏洞。經過深入追查之後,我們發現這起攻擊不僅會攻擊前述的 Chrome 漏洞,還會讓受害電腦感染三種不同的惡意程式樣本。

 


除此之外,這起行動也會攻擊一個 Internet Explorer 的漏洞 (CVE-2020-0674)。歹徒在攻擊 Chrome 漏洞時使用的是一段 shellcode,但在攻擊 Internet Explorer 漏洞時使用的是 PowerShell 載入器。但不論是 shellcode 或 PowerShell 腳本所植入的樣本,都會連線到相同的 C&C 伺服器。

除此之外,此行動還會攻擊其他漏洞,包括:CVE-2016-0189、CVE-2019-1458 以及我們之前的SLUB 相關報告中提到的漏洞。 

前述受害網站的伺服器都是使用 GNUBoard Content Management System (CMS) 內容管理系統第 4 或第 5 版。

除了 SLUB 之外,此攻擊行動也使用了兩個我們命名為「dneSpy」和「agfSpy」的惡意程式變種。SLUB 在該行動中的用途是用來蒐集系統資訊並傳送給駭客,而這兩個變種的用途則是進一步控制受害使用者的電腦。趨勢認為這兩個惡意程式也是由 SLUB 的幕後集團所開發。

 


本文節錄自趨勢資安部落格。
 
推薦此文章
0
人推薦此新聞
我要回應此文章
您的姓名:
回應內容:
  輸入圖片數字

你或許會對這些文章有興趣…