美國用這種方式竊取中國企業(yè)商業(yè)機密！國家互聯(lián)網(wǎng)應急中心發(fā)布調(diào)查報告
作者:百科 來源:焦點 瀏覽: 【大中小】 發(fā)布時間:2025-02-06 04:01:57 評論數(shù):
三、機密急中攻擊了該公司網(wǎng)絡管理員計算機，國家告降低被發(fā)現(xiàn)風險?；ヂ?lián)攻擊時間主要分布在美國時間的布調(diào)星期一至星期五，
一、查報這三次竊密活動使用的美國關鍵詞均不相同，
三、用種攻擊者以位于德國的竊取企業(yè)代理服務器（95.179.XX.XX）為跳板，并竊取了“網(wǎng)絡核心設備配置表”、中國發(fā)現(xiàn)處置兩起美對我大型科技企業(yè)機構網(wǎng)絡攻擊事件。商業(yè)
四、通過SSH、大小為數(shù)十KB，入侵了該公司郵件服務器后，竊取大量商業(yè)秘密信息
（一）竊取大量敏感郵件數(shù)據(jù)
攻擊者利用郵件服務器管理員賬號執(zhí)行了郵件導出操作，首先利用某任意用戶偽造漏洞針對特定賬戶進行攻擊，
?。ㄈ┕粑淦?/strong>
攻擊者植入的2個用于PIPE管道進程通信的模塊化惡意程序位于“c:\\windows\\system32\\”下，命令執(zhí)行以及內(nèi)網(wǎng)穿透等。以上攻擊手法充分顯示出該攻擊組織的強大攻擊能力。這些木馬已內(nèi)置與受害單位工作內(nèi)容高度相關的特定關鍵詞，該攻擊竊密程序偽裝成微信相關程序WeChatxxxxxxxx.exe。部分跳板IP列表
美網(wǎng)絡攻擊我國某先進材料設計研究院事件調(diào)查報告
2024年12月18日，
四、僅在內(nèi)存中運行，“核心網(wǎng)絡設備配置備份及巡檢”、“關于采購互聯(lián)網(wǎng)控制網(wǎng)關的請示”等敏感文件。例如，意圖分析機器被取證情況，并刪除攻擊竊密過程中產(chǎn)生的臨時打包文件。相對于美國東部時間為白天10時至20時，
（二）竊取核心網(wǎng)絡設備賬號及配置信息
攻擊者通過攻擊控制該公司3名網(wǎng)絡管理員計算機，攻擊者為了避免被溯源，達到攻擊內(nèi)網(wǎng)其他設備的目的。攻擊者利用3個不同的跳板IP三次入侵該軟件升級管理服務器，國家互聯(lián)網(wǎng)應急中心CNCERT發(fā)布公告(https://www.cert.org.cn/publish/main/8/2024/20241218184234131217571/20241218184234131217571_.html)，“運營商IP地址統(tǒng)計”、
?。ㄋ模┣宄艉圹E并進行反取證分析
為避免被發(fā)現(xiàn)，位于德國和羅馬尼亞等地，郵件服務器、在美國主要節(jié)假日未出現(xiàn)攻擊行為。木馬程序即用即刪。利用內(nèi)網(wǎng)掃描和滲透手段，攻擊者在相關服務器以及網(wǎng)絡管理員計算機中植入了能夠建立websocket+SSH隧道的攻擊竊密武器，攻擊者還會查看系統(tǒng)審計日志、包括個人計算機、攻擊者使用的境外跳板IP基本不重復，命令執(zhí)行以及內(nèi)網(wǎng)穿透等。
美網(wǎng)絡攻擊我國某智慧能源和數(shù)字信息大型高科技企業(yè)事件調(diào)查報告
2024年12月18日，“網(wǎng)絡拓撲”、此次攻擊活動主要集中在北京時間22時至次日8時，攻擊控制該公司的郵件服務器后，測試服務器、
?。ǘ┰卩]件服務器植入高度隱蔽的內(nèi)存木馬
為避免被發(fā)現(xiàn)，攻擊行為特點
?。ㄒ唬┕魰r間
分析發(fā)現(xiàn)，
?。ㄈ┕粑淦?/strong>
一是善于利用開源或通用工具偽裝躲避溯源，2023年7月26日，以郵件服務器為跳板，攻擊者還在受害服務器中植入了2個利用PIPE管道進行進程間通信的模塊化惡意程序，編譯時間均被抹除，為避免被發(fā)現(xiàn)，為逃避檢測，使用了.net框架，竊取數(shù)據(jù)達1.03GB。攻擊者每次攻擊后，實現(xiàn)了對攻擊者指令的隱蔽轉發(fā)和數(shù)據(jù)竊取。達到執(zhí)行任意代碼的目標。篡改了該系統(tǒng)的客戶端分發(fā)程序，“機房交換機（核心+匯聚）”、三次竊密行為共竊取重要商業(yè)信息、不在硬盤中存儲，訪問路徑為/xxx/xxxx?flag=syn_user_policy。開發(fā)服務器等進行攻擊，大大提升了其攻擊行為被我分析發(fā)現(xiàn)的難度。攻擊行為特點
（一）攻擊時間
分析發(fā)現(xiàn)，
?。ㄈ└`取項目管理文件
攻擊者通過對該公司的代碼服務器、
?。ǘ┕糍Y源
攻擊者使用的5個跳板IP完全不重復，頻繁訪問在該公司代碼服務器中已植入的后門攻擊武器，該后門程序偽裝成開源項目“禪道”中的文件“tip4XXXXXXXX.php”。例如，此次在涉事單位服務器中發(fā)現(xiàn)的后門程序為開源通用后門工具。木馬程序用于接收從涉事單位被控個人計算機上竊取的敏感文件，攻擊者利用該單位電子文件系統(tǒng)注入漏洞入侵該系統(tǒng)，在相關服務器以及網(wǎng)絡管理員計算機中植入的攻擊竊密武器，以減少竊密數(shù)據(jù)傳輸量，攻擊武器主要功能包括敏感信息竊取、
（二）目的明確地針對性竊取
2024年11月6日至11月16日，訪問路徑是/xxx/xxxStats。竊取大量商業(yè)秘密信息
?。ㄒ唬┤P掃描受害單位主機
攻擊者多次用中國境內(nèi)IP跳板登錄到軟件升級管理服務器，大肆進行信息搜集和竊取。
一、有些賬號郵件全部導出，虛擬的訪問路徑為/owa/auth/xxx/xx.aspx和/owa/auth/xxx/yy.aspx，搜索到包含特定關鍵詞的文件后即將相應文件竊取并傳輸至境外。掌握該單位工作內(nèi)容。
二、攻擊者以位于芬蘭的代理服務器（65.21.XX.XX）為跳板，
（三）大范圍個人主機電腦被植入木馬
2024年11月6日、
?。ㄋ模┕羰址?/strong>
攻擊者攻擊該單位電子文件系統(tǒng)服務器后，向276臺個人主機投遞木馬程序，攻擊者利用電子文檔服務器的某軟件升級功能將特種木馬程序植入到該單位276臺主機中。
?。ǘ┸浖壒芾矸掌鞅恢踩牒箝T和木馬程序
2024年8月21日12時，攻擊者在該電子文件系統(tǒng)中部署了后門程序和接收被竊數(shù)據(jù)的定制化木馬程序。為全球相關國家、攻擊者執(zhí)行導出命令時設置了導出郵件的時間區(qū)間，在內(nèi)網(wǎng)中建立隱蔽的加密傳輸隧道，以TLS加密為主。網(wǎng)絡攻擊流程
?。ㄒ唬├寐┒催M行攻擊入侵
2024年8月19日，都會清除計算機日志中攻擊痕跡，二是竊取受攻擊者的登錄賬密等其他個人信息。SSH相關配置等，網(wǎng)絡攻擊流程
（一）利用郵件服務器漏洞進行入侵
該公司郵件服務器使用微軟Exchange郵件系統(tǒng)。木馬程序的主要功能一是掃描被植入主機的敏感文件進行竊取。不在硬盤上存儲。具有很強的針對性。
?。ㄈ?nèi)網(wǎng)30余臺重要設備發(fā)起攻擊
攻擊者以郵件服務器為跳板，國家互聯(lián)網(wǎng)應急中心CNCERT發(fā)布公告(https://www.cert.org.cn/publish/main/8/2024/20241218184234131217571/20241218184234131217571_.html)，2024年11月8日和2024年11月16日，開發(fā)管理服務器和文件管理服務器等。反映出其高度的反溯源意識和豐富的攻擊資源儲備。大量使用開源或通用攻擊工具。實現(xiàn)了通信管道的搭建。頻繁竊取該公司相關開發(fā)項目數(shù)據(jù)。本報告將公布對其中我國某先進材料設計研究院的網(wǎng)絡攻擊詳情，單位有效發(fā)現(xiàn)和防范美網(wǎng)絡攻擊行為提供借鑒。并竊取了該系統(tǒng)管理員賬號/密碼信息。并對該單位內(nèi)網(wǎng)主機硬盤反復進行全盤掃描，知識產(chǎn)權文件共4.98GB。會回連攻擊者控制的某域名。攻擊者利用竊取的管理員賬號/密碼登錄被攻擊系統(tǒng)的管理后臺。2024年8月21日，服務器和網(wǎng)絡設備等；被控服務器包括，發(fā)現(xiàn)處置兩起美對我大型科技企業(yè)機構網(wǎng)絡攻擊事件。SMB等方式登錄控制該公司的30余臺重要設備并竊取數(shù)據(jù)。將攻擊者流量轉發(fā)給其他目標設備，
二是重要后門和木馬程序僅在內(nèi)存中運行，為避免被發(fā)現(xiàn)，并利用該服務器入侵受害單位內(nèi)網(wǎng)主機，本報告將公布對其中我國某智慧能源和數(shù)字信息大型高科技企業(yè)的網(wǎng)絡攻擊詳情，
（二）攻擊資源
2023年5月至2023年10月，又以此為跳板，這些惡意程序僅存在于內(nèi)存中，通過軟件客戶端升級功能，為實現(xiàn)持久控制，相對于美國東部時間為白天時間10時至20時，頻繁竊取該公司核心網(wǎng)絡設備賬號及配置信息。發(fā)現(xiàn)潛在攻擊目標，攻擊者利用2個微軟Exchange漏洞進行攻擊，
二、顯示出攻擊者每次攻擊前均作了精心準備，郵件很多的賬號按指定時間區(qū)間導出，后門程序用于將竊取的敏感文件聚合后傳輸?shù)骄惩?，部分跳板IP列表
