CCTV Haberleri: 17 Ocak'ta Ulusal İnternet Acil Durum Merkezi CNCERT bir rapor yayınladı ve ABD'nin ülkemin akıllı enerjisi ve dijital bilgilerindeki büyük bir yüksek teknoloji işletmesine yönelik siber saldırısının ayrıntılarını açıkladı. Daha önce, 18 Aralık 2024'te Amerika Birleşik Devletleri'ndeki büyük teknoloji şirketlerine iki siber saldırının keşfedildiğini ve ele alındığını duyurdu.

(iii) Proje Yönetimi Dosyalarını Çalmak

Saldırgan, şirketin kod sunucularına, geliştirme sunucularına vb. Saldırarak şirketin ilgili geliştirme proje verilerini sık sık çalıyor. Örneğin 26 Temmuz 2023'te Saldırgan, Finland'de bulunan Proxy Server'ı (65.21.xx.xx) bir sıçrama tahtası olarak kullandı. Şirketin posta sunucusuna saldırdıktan sonra, şirketin kod sunucusuna implante edilen arka kapı saldırısı silahlarına sık sık erişmek için bir sıçrama tahtası olarak kullandı ve 1.03GB'a kadar veri çaldı. Keşfedilmekten kaçınmak için, arka kapı programı, açık kaynak projesinde "Zen Tao" dan "TIP4XXXXXXXX.PHP" dosyası olarak gizlenir.

(iv) Net saldırı izleri ve anti-anti-anti-analizi yürütmek

Keşfedilmekten kaçınmak için, bir saldırgan tarafından yapılan her saldırıdan sonra, saldırgan bilgisayar günlüğündeki saldırı izlerini temizleyecek ve saldırı çalma işlemi sırasında oluşturulan geçici paketlenmiş dosyaları silecektir. Saldırgan ayrıca, makinenin kanıt toplanmasını analiz etmek ve ağ güvenlik algılaması ile mücadele etmek amacıyla sistem denetim günlüğünü, geçmiş komut kayıtlarını, SSH ile ilgili yapılandırmalar vb.

3. Saldırı davranışının özellikleri

(i) Saldırı Süresi

Analizi, saldırı faaliyetinin, ABD'nin gündüzlerinde 10:00 - 20:00 ile karşılaştırıldığında, ertesi gün 22:00 Pekin zamanı ile 8:00 arasında yoğunlaştığını buldu. Saldırı süresi esas olarak Amerika Birleşik Devletleri'nde pazartesiden cumaya dağıtıldı ve Amerika Birleşik Devletleri'nde büyük tatillere saldırı yapılmadı.

(ii) Saldırı Kaynakları

Mayıs 2023'ten Ekim 2023'e kadar saldırgan 30'dan fazla siber saldırı başlattı. Saldırgan tarafından kullanılan yurtdışı sıçrama tahtası IP'leri temel olarak tekrarlanmamıştır, bu da yüksek izlenebilirlik farkındalığını ve zengin saldırı kaynakları rezervlerini yansıtır.

(iii) Saldırı Silahları

Saldırgan tarafından implante edilen boru boru hattı işlemi iletişimi için iki modüler kötü amaçlı program "C: \\ windows \\ System32 \\" altında bulunur. .NET çerçevesini kullanırlar. Derleme süresi, esas olarak TLS şifrelemesi olan onlarca KB boyutunda silinir. Posta sunucusunun belleğine implante edilen saldırı silahlarının ana işlevleri arasında hassas bilgi hırsızlığı, komut yürütme ve intranet penetrasyonu bulunur. İlgili sunuculara ve ağ yöneticisi bilgisayarlarına implante edilen saldırı ve çalma silahı, bir WebSocket+SSH tüneli oluşturmak için HTTPS protokolünü kullanabilir ve saldırgan tarafından kontrol edilen bir alan adına geri dönecektir.

IV. Bazı sıçrama tahtası ip listesi