SolarWinds 事件新动态：研究员发现新的C2基础设施
编译：奇安信代码卫士
去年12月爆发的 SolarWinds 供应链攻击事件因使用广泛且高深的技术渗透并在目标基础设施中实现持久性而备受关注。微软认为背后的攻击者“技术高超，遵循运营安全 (OpSec) 最佳实践隐藏踪迹，躲避检测”。
RiskIQ 公司研究员最新的研究成果更是佐证了这一点。研究人员发现攻击者仔细规划了每个行动步骤，“避免创建可轻易暴露行踪的模式类型“，从而故意使取证分析变得更加困难。
通过分析和此前公开的妥协指标相关的遥测数据，研究人员找到了很可能和通过TEARDROP 和 RAINDROP 恶意软件交付的目标、二级 Cobalt Strike payload进行通信的额外18台服务器，代表了攻击者已知的命令和控制脚印上涨了56%。
研究人员通过对攻击者所使用 SSL 证书的分析发现了这些“隐藏的模式“。
一周前，美国情报机构正式将 SolarWinds 事件归咎于俄罗斯对外情报局 (SVR)，指出攻击由 APT29（即 Cozy Bear 或 The Dukes）组织实施，可使其监控或破坏全球超过1.6万台计算机系统。不同公司对该攻击者具有不同的命名：UNC2452（火眼公司）、Nobelium（微软）、SolarStorm（Unit42）、StellarParticle（CrowdStrike）和 Dark Halo（Volexity），而对比该攻击者所使用的战术、技术和程序 (TTP)来看，都指向 APT29。
RiskIQ 公司的威胁情报负责人 Kevin Livelli 指出，“旨在检测已知 APT29 组织活动的研究员或产品将无法注意到正在进行的攻击活动，发现时也同样难以追踪，这就是我们为何对 SolarWinds 攻击活动所知甚少的原因所在。“
今年年出，微软注意到攻击者费劲心机地确保初始后门（SUNBURST 即 Solorigate）和攻陷后植入（TEARDROP 和 RAINDROP）尽量使分开的以阻止恶意活动被暴露。这样做的原因在于，即使在受害者网络上发现了 Cobalt Strike 植入，遭攻陷的 SolarWinds 二进制和导致其部署的供应链攻击也不会遭暴露。
但 RiskIQ 公司指出，这并非 APT29 组织隐藏其踪迹的唯一一个步骤，实际还包括：
以不同的名义通过第三方分销商和域名拍卖购买域名，试图隐藏所有权信息并在多年的时间里重新购买由合法组织机构所拥有的过期域名；
在美国全部托管第一阶段的攻击基础设施 (SUNBURST)，第二阶段基础设施（TEARDROP 和RAINDROP）主要在美国托管，而第三阶段基础设施（GOLDMAX 即 SUNSHUTTLE）主要托管在其它国家。
设计攻击代码，使得在后续感染链中没有两款部署的恶意软件是相同的。
两周后，使第一阶段的 SUNBURST 后门和带有随机信标的命令和控制服务器通信，可能是为了使其超过多数基于主机的端点检测和响应 (EDR) 平台上的事件日志的生命周期。
Livelli 表示，“识别攻击者的攻击基础设施印记通常涉及将 IP 地址和域名和已知的攻击活动相关联以检测模式。“
攻击者表示，“然而，分析表明该攻击组织通过大量措施使研究人员失去研究方向，这表明攻击者费劲心机地避免创建这些模式。“
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
FireEye 红队失窃工具大揭秘之：分析复现SolarWinds RCE 0day (CVE-2020-10148)
FireEye 红队失窃工具大揭秘之：分析复现 Zoho 任意文件上传漏洞(CVE-2020-8394)
FireEye红队失窃工具大揭秘之：分析复现Zoho ManageEngine RCE (CVE-2020-10189)
https://thehackernews.com/2021/04/researchers-find-additional.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。