卡巴斯基:掀开Turla网络间谍攻击行动的真面目

Epic Turla

Turla,又被称为Snake或Uroburos,是目前发现的最为复杂的网络间谍攻击行动之一。近日,随着卡巴斯基实验室检测到Epic对其用户的攻击企图,Turla的神秘面纱终于被掀开。卡巴斯基实验室针对这一攻击行动的最新研究表明,Turla是一个多阶段的攻击行动,而Epic就是该行动中的第一个阶段。

据悉,Epic的攻击目标主要为政府机构(内务部、贸易和商务部、外交部/对外事务部和情报部门)、大使馆、军事组织、研究和教育组织以及制药企业。卡巴斯基实验室的安全专家总计发现数百个受害者IP地址,分布于超过45个国家。

此外,卡巴斯基实验室的研究人员还发现,Epic Turla攻击者使用了零日漏洞利用程序、社交工程技巧以及水坑式攻击感染受害者。其中,“水坑”指的是潜在受害者经常访问的网站。水坑式攻击需要利用社交工程技巧,欺骗用户运行假冒的“Flash Player”安装程序。攻击者会事先攻陷这些网站,在其中注入恶意代码;然后根据访问者的IP地址(例如政府机构的IP地址),在网站上植入Java或浏览器漏洞利用程序、签名的假冒Adobe Flash Player软件或假冒的Microsoft Security Essentials。

一旦用户的计算机被感染,Epic后门程序会立即连接命令和控制(C&C)服务器,将受害者系统信息打包发送到服务器。基于这些信息,攻击者上传预先配置好的批处理文件和定制的横向移动工具。

卡巴斯基实验室在分析过程中发现,攻击者接下来会使用Epic恶意软件部署一种更为复杂的后门程序——“Cobra/Carbon系统”,让它使用不同的命令和控制服务器。而这正是Turla网络间谍攻击行动的第二个阶段。

针对Turla的这一重大发现,卡巴斯基实验室全球研究和分析团队总监Costin Raiu解释说:“针对‘Carbon系统’配置文件的更新很有趣,因为它是Turla幕后攻击者的另一个阶段。这表明,我们遭遇了一种多阶段的感染行为。其中,Epic Turla首先在系统中站住脚,验证被攻击的受害者。如果攻击者对受害者感兴趣,就会在受感染系统中升级完整版的Turla Carbon系统。


botman

0 评

忘记密码