CCTV News:1月17日、National Internet Emeryments Center CNCERTがレポートを発表し、私の国のAdvanced Materials Design Instituteに対する米国のサイバー攻撃の詳細を発表しました。以前は、2024年12月18日に、米国の大規模なテクノロジー企業に対する2つのサイバー攻撃が発見され、対処されたという発表が発行されました。
> p>
1。サイバー攻撃プロセス
(i)2024年8月19日に侵入を攻撃するために脆弱性を使用して侵入
を使用して、攻撃者はユニットの電子ファイルシステムインジェクションの脆弱性を使用してシステムを侵入し、システム管理者アカウント/パスワード情報を盗みました。 2024年8月21日、攻撃者は盗まれた管理者アカウント/パスワードを使用して、攻撃されたシステムの管理バックグラウンドにログインしました。
(ii)ソフトウェアアップグレード管理サーバーは、2024年8月21日の12:00にバックドアおよびトロイの木馬プログラムに移植されました。検出を回避するために、これらの悪意のあるプログラムはメモリにのみ存在し、ハードディスクに保存されません。 Trojanプログラムは、 /xxx /xxxx?flag = syn_user_policyのアクセスパスを使用して、関係ユニットのパーソナルコンピューターから盗まれた機密ファイルを受信するために使用されます。バックドアプログラムは、盗まれた機密ファイルを集約し、海外の国に転送するために使用されます。アクセスパスは /xxx /xxxstatsです。
(iii)2024年11月6日、2024年11月8日、2024年11月16日に、大規模な個人ホストコンピューターにトロイの木馬が埋め込まれました。 Trojanプログラムの主な機能は、盗むためにホストに移植された機密ファイルをスキャンすることです。 2つ目は、攻撃された人のログインアカウントの秘密など、他の個人情報を盗むことです。トロイの木馬プログラムは、できるだけ早く削除できます。
2。大量の商業的な秘密情報を盗む
(i)被害者ユニットのホストの完全ディスクスキャン
攻撃者は、中国のIPスプリングボードを使用してソフトウェアアップグレード管理サーバーに何度もログインし、被害者ユニットのイントラネットホストに侵入し、ユニットのイントラネットホストのハードディスクを見つけるために繰り返しSCANを見つけました。
(ii)目的は、2024年11月6日から11月16日まで、盗難を明確にターゲットにした>これらのトロイの木馬には、被害者ユニットの作業内容に非常に関連する特定のキーワードが組み込まれています。特定のキーワードを含むファイルを検索した後、対応するファイルが盗まれ、海外に送信されます。これら3つの盗みのアクティビティで使用されるキーワードは異なり、攻撃者が各攻撃の前に慎重に準備をしており、高度にターゲットを絞っていることを示しています。 3つの秘密の盗難は、合計4.98GBの重要な商業情報と知的財産文書を盗みました。
3。攻撃行動の特性
(i)攻撃時間
分析では、攻撃時間は主に北京時間22:00から翌日の8:00の間に集中していることがわかりました。攻撃時間は、主に米国で月曜日から金曜日まで分配され、米国の主要な休日に攻撃はありませんでした。
(ii)攻撃リソース
攻撃者が使用する5つのスプリングボードIPはまったく複製されていません。彼らはドイツとルーマニアに位置し、彼らの高い反潜在性の認識と攻撃資源の豊富な埋蔵量を反映しています。
(iii)攻撃武器
最初に、オープンソースまたは一般的なツールを使用して、変装およびトレーサビリティを避けるのが得意です。今回関与するユニットのサーバーにあるバックドアプログラムは、オープンソースの一般的なバックドアツールです。追跡されることを避けるために、攻撃者は大量のオープンソースまたは汎用攻撃ツールを使用します。
第二に、重要なバックドアとトロイの木馬プログラムはメモリでのみ実行され、ハードディスクに保存されていないため、攻撃行動の分析と発見の難しさが大幅に増加します。
(iv)攻撃方法
攻撃者がユニットの電子ファイルシステムサーバーを攻撃した後、彼はシステムのクライアント配信プログラムを改ざんし、ソフトウェアクライアントのアップグレード機能を介して276の個人ホストにトロイの木馬プログラムを配信し、重要なユーザーを迅速かつ正確に攻撃し、情報収集と盗みを実行しました。上記の攻撃方法は、攻撃組織の強力な攻撃能力を完全に示しています。
iv。いくつかのスプリングボードIPリスト



