伊朗黑客组织Agrius“假冒”勒索团伙,掩盖网络间谍的真实目的

Agrius黑客组织已经从单纯地使用“雨刷”恶意软件转别为将“雨刷”与赎金软件功能相结合的方式。

“雨刷”是一种恶意软件程序,旨在彻底销毁受感染设备上的数据,且数据无法恢复。

现在,Agrius在用该软件彻底销毁数据之前,会先假装对数据进行加密以勒索赎金。

SentinelOne研究人员表示,Agrius黑客组织在2020年针对以色列攻击时首次被发现。该组织将自己的定制工具库和现成的攻击性安全软件相组合,部署破坏性的“雨刷”以及此次发现的带有赎金软件功能的“雨刷”变体。

与Maze或Conti等勒索团伙不同,Agrius组织似乎并不单纯只抱有经济目的。根据观察,勒索软件的使用只是覆盖于其网络间谍和破坏攻击上的一层面纱。

研究人员表示,Agrius 故意将他们的活动掩盖为赎金软件攻击,而实际上却对以色列目标进行破坏性攻击。因此,研究人员怀疑该组织是由国家支持的。

Agrius黑客组织攻击手法

在攻击的第一阶段,Agrius会使用VPN访问属于目标受害者的面向公众的应用程序或服务,然后再通过受损的账户和软件漏洞尝试利用。

例如,FortiOS中被命名为CVE-2018-13379的漏洞,已被广泛用于针对以色列目标的利用尝试中。

如果利用成功,他们就会继续部署webshell,并使用公共网络安全工具进行凭证采集和网络移动,然后部署恶意软件有效载荷。

Agrius的工具库中包含着Deadwood(也被称为Detbosit),这是一种破坏性的“雨刷”恶意软件。该恶意软件与2019年针对沙特阿拉伯的攻击有关,被认为是APT33的作品。此外,APT33和APT34都被认为会使用包括Deadwood、Shamoon和ZeroCleare在内的雨刷。

在攻击过程中,Agrius还投放了一个名为IPsec Helper的自定义.NET后门,以保持持久性,并与命令和控制(C2)服务器建立连接。此外,该组织还将投放一个被称为Apostle的新型.NET漏洞。并且IPsec Helper和Apostle似乎是同一个开发者的作品。

最近,在针对阿拉伯联合酋长国的一个国有设施的攻击中,Apostle似乎已经被改进,以包含功能性的勒索软件组件。

然而,研究人员认为,Agrius在开发过程中关注的是勒索软件的破坏性功能,如加密文件的能力-,而不是谋取经济上的利益。

Agrius的攻击意图

研究人员说表示,他们更愿意相信新添加的加密功能是为了掩盖其实际意图——破坏受害者的数据。

并且,这一论点可以在Apostle的早期版本中得到证实。Apostle早期版本的部署是为了擦除数据,但可能由于恶意软件的逻辑缺陷而未能做到。这个有缺陷的执行导致了Deadwood雨刷的部署。当然,成功擦除数据并没有阻止攻击者继续索要赎金。

SentinelOne表示,目前还没有发现Agrius与其他APT组织的 “可靠 “联系,但由于Agrius对伊朗问题有浓重的兴趣,并且部署与伊朗制造的变种有联系的webshell,以及最先使用“雨刷”——一种早在2002年就与伊朗APT组织有关的攻击技术,这些证据都可以合理推测该组织可能来自伊朗。

来源:zdnet

来自:FreeBuf.COM

上一篇:Colonial油管攻击事件发生后,国土安全部发布首份管道行业网络安全条例

下一篇:2021年CISO之声:千位CISO预计未来一年出现破坏性网络攻击