赛门铁克首次观察到一个H客组织劫持并使用另一个组织的工具。
据外媒报道,赛门铁克(Symantec)报告称,最近与俄罗斯网络间谍组织Turla有关的三场H客活动使用了不同的工具。Turla也被称为Waterbug、KRYPTON和VenomousBear,已活跃10多年,主要从事网络间谍活动。
该组织最近进行了至少三次不同的H客活动,每一次都使用了不同的工具集。第一场活动中使用了名为Neptun的后门,该后门安装在Microsoft Exchange服务器上,可以下载额外的工具、上传被盗文件,并执行shell命令。第二场活动使用了修改版的Meterpreter后门,以及两个自定义加载器——一个名为photobased.dll的自定义后门和自定义远程过程调用(RPC)后门。第三场活动中,H客使用了自定义RPC后门(与第二个活动中观察到的版本不同),它使用了来自PowerShellRunner工具的代码来执行PowerShell脚本和绕过检测。
自2018年初以来,Turla曾对10个国家的13个组织发起了攻击,其中一次行动中使用了伊朗间谍组织OilRig (APT34, Crambus)的工具。这是赛门铁克首次观察到一个H客组织劫持并使用另一个组织的工具。目前仍难以确定H客组织背后的动机。
© 版权声明
♏文章资源部分来自于互联网,仅供学习交流使用,若要商用请支持正版。
♏.若不听劝告,出现任何后果,均与本站无关。
♏.如果文章对您有帮助,请按Ctrl+D收藏。
♏资源所标价格是对站点收集、整理、编辑及站点运维的适当补助,非资源价格。
THE END
喜欢就支持一下吧