近日,趨勢(shì)科技 (中國(guó)區(qū)) 收集安然監(jiān)測(cè)嘗試室(CRTL)最新監(jiān)測(cè)到數(shù)起針對(duì)國(guó)內(nèi)金融行業(yè)的APT(Advanced Persistent Threat，高級(jí)延續(xù)性威脅)報(bào)復(fù)打擊事務(wù)。該威脅改變多端，會(huì)致利用戶首要信息數(shù)據(jù)泄漏。趨勢(shì)科技經(jīng)由過(guò)程檢測(cè)BKDR_CORUM家族、TSPY_GOSME家族、TROJ_JNCTN家族及China Pattern通用檢測(cè)TROJ_GENERIC.APC等歹意病毒，今朝將此威脅定名為“證券鬼魂”。趨勢(shì)科技出格提示金融行業(yè)用戶需要做出應(yīng)急響應(yīng)，評(píng)估內(nèi)部收集風(fēng)險(xiǎn)，謹(jǐn)防韓國(guó)金融行業(yè)APT報(bào)復(fù)打擊事務(wù)的“翻版”。
CRTL研究表白，“證券鬼魂”歹意威脅具有了加倍典型的APT報(bào)復(fù)打擊特點(diǎn)，對(duì)準(zhǔn)銀行、證券等更具報(bào)復(fù)打擊價(jià)值的企業(yè)收集，并首要針對(duì)IT治理人員的終端、域控、DNS辦事器、收集安然和營(yíng)業(yè)治理軟件辦事器。其傳染路子可以經(jīng)由過(guò)程收集共享、或由其他病毒及被竄改后的第三方軟件傳播釋放，但“證券鬼魂”進(jìn)進(jìn)企業(yè)內(nèi)網(wǎng)后不會(huì)當(dāng)即大年夜范圍傳播，反而會(huì)暗藏下來(lái)，并尋覓其他更具價(jià)值的數(shù)字信息和替代者。
趨勢(shì)科技(中國(guó)區(qū))手藝總監(jiān)蔡昇欽暗示：“該威脅極具‘智能’，針對(duì)金融行業(yè)IT治理人員和收集辦事節(jié)點(diǎn)辦事器進(jìn)行報(bào)復(fù)打擊，并尋覓網(wǎng)內(nèi)軟件的縫隙進(jìn)行全網(wǎng)節(jié)制。因?yàn)槊墒軋?bào)復(fù)打擊的人員和辦事器節(jié)點(diǎn)權(quán)限極大年夜，病毒報(bào)復(fù)打擊的特點(diǎn)將被視為正常通信和授權(quán)把持，厥后續(xù)可能釀成的數(shù)字資產(chǎn)泄漏風(fēng)險(xiǎn)不成估計(jì)。一旦周全觸發(fā)，金融用戶將面對(duì)汗青上從未遭受過(guò)的沉重沖擊。已擺設(shè)趨勢(shì)科技TDA的用戶，將能從威脅預(yù)警和趨勢(shì)科技陳述信息中第一時(shí)候發(fā)現(xiàn)該病毒的收集歹意通信行動(dòng)和傳染源。而其他企業(yè)，出格是證券和基金類公司，建議治理員該當(dāng)即啟動(dòng)IT風(fēng)險(xiǎn)治理流程、有針對(duì)性的排查此次APT報(bào)復(fù)打擊釋放的歹意法度代碼。”
據(jù)體味，該病毒“躲匿頗深并比較奸刁”，還具有：隱躲文件真正路徑、為歹意DLL文件找“替身”、歹意軟件完全性監(jiān)測(cè)、捏造軟件版本信息、免殺和斷根日記等特點(diǎn)。此前，趨勢(shì)科技在事前經(jīng)由過(guò)程TDA 的開導(dǎo)式偵測(cè)與沙盒動(dòng)態(tài)闡發(fā)提示，監(jiān)測(cè)出韓國(guó)APT報(bào)復(fù)打擊相干郵件中的歹意附件，并利用定制化防御策略，幫忙趨勢(shì)科技的韓國(guó)客戶事前發(fā)覺(jué)并采納防護(hù)辦法，成功抵當(dāng)了黑客報(bào)復(fù)打擊。而趨勢(shì)科技TDA防御系統(tǒng)，也將會(huì)為其在國(guó)內(nèi)金融用戶防備APT過(guò)程中扮演不異的角色。
趨勢(shì)科技作為全球辦事器安然、虛擬化及云計(jì)較安然帶領(lǐng)廠商，已聯(lián)袂國(guó)內(nèi)金融客戶成功反對(duì)多次APT報(bào)復(fù)打擊的趨勢(shì)科技，幫忙用戶擺脫了以特點(diǎn)碼為主的傳統(tǒng)安然產(chǎn)品的局限性。而針對(duì)“證券鬼魂”歹意威脅，用戶也沒(méi)必要在后面“苦苦追逐”。趨勢(shì)科技建議：利用趨勢(shì)科技防病毒客戶端的客戶，進(jìn)級(jí)到最新病毒碼，便能主動(dòng)斷根今朝該歹意軟件的所有變種。而未采取TDA產(chǎn)品和非趨勢(shì)科技防病毒客戶端的用戶, 需要針對(duì)以下關(guān)頭信息進(jìn)行“自查”，或可利用趨勢(shì)科技供給的ATTK掃描病毒并匯集信息，尋求趨勢(shì)科技工程師的幫忙。
最新一輪的金融行業(yè)APT報(bào)復(fù)打擊威脅澎湃襲來(lái)，趨勢(shì)科技供給的以下手藝細(xì)節(jié)可以幫忙用戶查找“證券鬼魂”存在的可能性：
1、部門特點(diǎn)表示
操縱反向連接辦藝連接到節(jié)制辦事器的443端口，實(shí)現(xiàn)后門功能;
利用安然軟件，在方針計(jì)較機(jī)上成立用戶，并打開共享，再操縱長(zhǎng)途打算任務(wù)啟動(dòng);
經(jīng)由過(guò)程Winlogon的Notify和Service編制自啟動(dòng)，部門變種會(huì)替代系統(tǒng)的DLL;
在文件系統(tǒng)中成立Junction，將系統(tǒng)DLL復(fù)制成和歹意DLL同名，用于混合用戶 ;
在注冊(cè)表中成立briefcase.server的鍵值，用于記實(shí)狀況、建設(shè)和備份信息。
2、若何鑒定是不是遭到威脅：
利用趨勢(shì)科技TDA能有效發(fā)現(xiàn)內(nèi)網(wǎng)中被進(jìn)侵的計(jì)較機(jī)和病毒的收集行動(dòng);
今朝我們發(fā)現(xiàn)傳染該歹意軟件的主如果金融行業(yè)的用戶，出格是證券和基金公司。建議這些公司進(jìn)行查抄;
對(duì)收集流量進(jìn)行闡發(fā)，發(fā)現(xiàn)異常的收集流量，出格長(zhǎng)短工作時(shí)候的收集拜候或周期性地拜候不異的網(wǎng)站;
對(duì)內(nèi)網(wǎng)的通信進(jìn)行闡發(fā)，找到異常的端口通信;
對(duì)域登錄記實(shí)進(jìn)行闡發(fā)，找到異常的登錄或暗碼猜想行動(dòng);
假定思疑遭到威脅，建議將查抄重心放在辦事器網(wǎng)段和對(duì)辦事器有治理權(quán)限的IT人員。出格是域控、文件辦事器、安然軟件辦事器等;
查抄計(jì)較機(jī)是不是存在HKCR\Briefcase.server注冊(cè)表項(xiàng)目;
查抄系統(tǒng)中是不是有被重定名的系統(tǒng)文件，是不是有異常的reparse point到System32目次。