卡巴斯基深扒Lazarus组织: 曾染指索尼/韩国银行/军事间谍活动

2016年02月25日 11:55 次阅读 稿源:cnBeta.COM 条评论

2014年11月24号上午发生的事情,已经被深深烙进了索尼影视娱乐公司的员工们的脑海里。在那一天,一起未知的网络攻击袭向了该公司的服务器,导致了诸多机密数据的泄露,也给该公司的声誉造成了很大的损伤。对于攻击者的身份,各方一直难以判定,直到卡巴斯基实验室在今日深扒了一个名叫Lazarus的组织。

与卡巴斯基携手参与调查的还有Novetta和AlienVault(被称为Operation Blockbusters),Lazurus团队被认为需要对入侵索尼影业、以及2013年攻击韩国银行等事件负责。

卡巴斯基实验室表示,在臭名昭著的索尼影业泄密事件之后,其专家分析了参与攻击的Destover恶意软件的样本,研究披露了数十起利用不同的恶意软件样本(但拥有诸多共同特征)进行网络活动的线索。

在发现了这一新型恶意软件之后,卡巴斯基得以打造出了可以预防同类威胁的解决方案。那么,安全专家们又是如何发现和认定Lazarus团伙的呢?

因为这一团伙在积极地重复利用它们的开发出来的东西,从一款恶意程序中借来了代码片段并用到另一款上。

其次,用于安装不同恶意软件的病毒生成器(droppers),其数据也都被保存在了一个受保护的ZIP压缩文档中,该密码同被用于许多不同的活动中(事实上是被droppers硬编码的)。

另外,犯罪分子用于在受感染的系统中擦拭自身出现痕迹的手段,也都出现了高度的一致性,从而让研究人员们一眼就揪出了他们。

本次调查披露了Lazarus团伙还涉及军事间谍活动,以及发起了针对金融机构、媒体电台和制造型企业的攻击,且多数受害者位于韩国、印度、中国、巴西、俄罗斯、以及土耳其。

这些犯罪活动打造出了Hangman(2014-2015)和Wild Positron(亦称Duuzer,2015)之类的恶意软件,后者也是“安全分析峰会”(Security Analyst Summit 2016)上讨论的一个重点话题。

卡巴斯基与AlienVault Labs分享了这一调查结果,最终来自两家公司的研究人员们决定携手努力。当然,Lazarus Group的活动也被许多其它安全专家和企业所研究着。

比如作为“Operation Blockbuster”的一部分,Novetta就建立了一个用来发布调查结果的项目。

大家又是如何得知有关这些不法之徒的信息的呢?实际上,Lazarus Group打造的首款恶意软件样本,可以追溯到2009年。2010年的时候,新样本的数量出现了大幅增长。

这一特征表明Lazarus Group是一个长期稳定的威胁,在2014-2015年间,该组织的‘生产力’达到了顶峰,并且在2016年依然活跃。

针对其活动时间的调查结果表明,该团伙的多数人应生活在东八区(GMT+8)或东九区(GMT+9),他们大约从午夜(00hrs GMT)开始工作,然后在凌晨3点(GMT)休息吃午饭。

此外可以清楚地知道,团伙成员属于极端型的工作狂,每日工作时间长达15-16个小时。Lazarus俨然是业内多年来所知的“最勤劳”的团伙了。

另外一个有趣的观察是,从Lazarus的样本集来看,几乎有2/3的网络犯罪可执行文件都包含了典型韩语用户的元素。目前这一调查仍在继续,感兴趣的网友可以前往Secutrlist深入了解一下。

[编译自:Kaspersky]

对文章打分

卡巴斯基深扒Lazarus组织: 曾染指索尼/韩国银行/军事间谍活动

1 (50%)
已有 条意见

    最新资讯

    加载中...

    编辑精选

    加载中...

    热门评论

      Top 10

      招聘

      created by ceallan