揭秘：俄罗斯APT漏洞利用工具包

最近在美国总统选举活动中的民主党委员会(DNC) 络攻击和信息泄露事件，让俄罗斯攻击威胁处于风口浪尖。Crowdstrike于2016年6月在DNC电脑系统中先后发现了APT29和APT28的渗透痕迹，APT29和APT28分别于2015年夏季和2016年4月入侵DNC系统获得控制权限。

最近在美国总统选举活动中的民主党委员会(DNC) 络攻击和信息泄露事件，让俄罗斯攻击威胁处于风口浪尖。Crowdstrike于2016年6月在DNC电脑系统中先后发现了APT29和APT28的渗透痕迹，APT29和APT28分别于2015年夏季和2016年4月入侵DNC系统获得控制权限。

而同属俄罗斯国家支持黑客参与的Energetic Bear和Turla APT攻击，也大量使用了微软系列软件漏洞。

俄罗斯APT攻击组织对微软Office系列产品公开漏洞的不同利用方式，显示出其独特的技术能力特点。

1. 前述

• 俄罗斯APT攻击经常以微软系列软件为利用目标，其中对Office、Windows 和IE浏览器漏洞的使用占比为55%。这种对大量通用软件的漏洞利用，也为国家支持的 络攻击提供了便利条件;
• 俄罗斯APT的鱼叉式邮件中经常利用微软Office系列漏洞，如APT28就大量使用Excel和Word漏洞文档作为诱饵;
• 与俄罗斯军事情 局(GRU)相关的APT28，利用了22个公开漏洞，其中有7个为利用代码未知的漏洞;
• 与俄罗斯联邦安全局(FSB)相关的APT29，利用了5个与APT28完全不一样的公开漏洞;
• 俄罗斯APT攻击所利用的漏洞，有73%左右可以在Metasploit、Exploit Database和GitHub等公开 络中找到可用的漏洞利用代码;
• 俄罗斯APT攻击所利用的漏洞，有46%左右与 络犯罪组织使用的漏洞利用工具包相关。

Recorded Future通过对俄罗斯APT组织的关注，重点分析了33个被广泛用于信息窃取和渗透入侵的已知漏洞。其中27个漏洞与俄罗斯军事情 局(GRU)和联邦安全局(FSB)的APT28和APT29相关。

2. 方法论

3. 范围

Recorded Future分析了从2012年1月1日到2016年7月31日期间与俄罗斯APT攻击相关的开源 络信息和漏洞信息。

重点涉及以下四个与俄罗斯相关的APT和恶意软件攻击：

1. APT28又名 Fancy Bear、Operation Pawn Storm、 Strontium、 Sednit、 Sofacy和Tsar Team ，可能与俄罗斯军事情 局GRU相关(ГлавноеРазведывательное Управление)
2. APT29 又名Cozy Bear、The Dukes 、Office Monkeys，可能与俄罗斯情 机构联邦安全局FSB相关(Федеральная служба безопасности Российской Федерации)
3. Energetic Bear 又名 Crouching Yeti,Dragonfly、Group 24和 Koala Team，可能与 Havex系列恶意软件攻击相关
4. Turla又名Epic Turla、Snake、Ouroboros和Carbon，可能与 Agent.BTZ 恶意软件攻击相关

4. 结论

被俄罗斯APT组织经常进行漏洞利用的系列办公软件：

以公司分类：

俄罗斯APT攻击利用的相关漏洞：

5. 对已知漏洞的利用

俄罗斯APT攻击的技术方式与其它APT类似：鱼叉式邮件、虚假域名、 络钓鱼、 会工程、水坑攻击等。其中，对Office和Adobe PDF漏洞的大量利用可能与国家支持的 络攻击相关，不同于勒索软件出于钱财的目的，国家支持的攻击对攻击目标和获取信息的针对性更强。

6. 观点

通过对APT28和APT29利用的漏洞分析，印证了之前很多安全专家的结论：这两个APT攻击可能与GRU和FSB两个俄罗斯独立的情 机构相关。有趣的是，据Crowdstrike分析声称，这两个APT攻击都不约而同地窃取了DNC系统中相同的数据信息。

四个APT攻击中使用的软件漏洞情况：

7. 络犯罪组织漏洞利用工具包 VS 俄罗斯APT利用的漏洞

俄罗斯APT攻击中利用的漏洞，有46%与 络犯罪组织使用的工具包漏洞相同，这些工具包被大量用于地下暗 买卖和勒索软件活动中。

俄罗斯APT利用漏洞 与 工具包漏洞重叠度分析：(按照不同软件区分)

俄罗斯APT攻击中利用的漏洞，有73%为利用代码已知漏洞，虽然很难确定攻击发生和漏洞利用代码公开的具体时间，但总体来说，有几个方面的原因：

1. 流行软件存在很多漏洞;
2. 利用流行软件漏洞，可以增加渗透入侵的成功率;
3. 流行软件漏洞对迷惑归因调查有帮助

俄罗斯APT漏洞利用代码的公开程度：

8. 影响

国家支持的 络渗透需要成功的定向植入攻击。Windows每天有15亿人次的使用量，另外，有12亿人次安装了Office软件，俄罗斯APT“碰运气”的攻击成功率仍然较大。美国的电脑系统中有85%的用户安装有JAVA和Adobe PDF软件，其大量存在的漏洞可被攻击者利用。

9. 建议

1. 指导企业进行 络和电子邮件安全意识培训;
2. 必要时请使用双因素认证和VPN;
3. 强制区分用户权限;
4. 在Adobe FlashPlayer中启用“clickto play”功能;
5. 考虑替代的PDF阅读器软件;
6. 警惕不明身份电子邮件地址发送的邮件。

关注更多 络安全工具>>

标签：