首頁 財經 國際

瞄準IT代管商 雲端跳躍手法解析

美國司法部副部長羅森斯坦(中)在12月20日的記者會上宣布,起訴兩名中國籍駭客。(AFP)
美國司法部副部長羅森斯坦(中)在12月20日的記者會上宣布,起訴兩名中國籍駭客。(AFP)

文/記者林燕
美國司法部星期四(12月20日)起訴了兩名中國公民朱華(Zhu Hua)及張士龍(Zhang Shilong),他們是中共駭客組織APT10的成員。

司法部的起訴書詳細介紹了APT10操作「雲端跳躍」的手法,先入侵12個國家的IT代管服務商(MSP)和雲端服務商,然後以此為跳板,進一步竊取這些服務商的客戶——45家美國公司或政府機構的機密資訊。

根據起訴書,APT10至少未獲授權侵入約90台電腦,並對至少45家美國科技公司或政府機構進行技術盜竊或竊取敏感資訊。

第一步、利用魚叉式網路釣魚(spear phishing)植入惡意軟體到目標電腦。

通常是發送帶附件的郵件給既定目標,一旦點開郵件就中招。為了誘騙收信人打開郵件附件,中共駭客將郵件偽裝成從正常的電子郵件地址發送,同時將郵件正文和附件文件名偽裝成正常內容。

例如:中共駭客發送一封釣魚郵件,且假冒一家通訊公司(受害公司1)的電子郵件地址,但實際上該郵件的發送地址係中國天津APT10組織下的IP地址。

這封郵件寄給一家直升機製造公司(受害公司2),主題為「C17 天線問題」,附件名為「12-204側面著陸測試」,正文為「請查看附件」。

這種偽裝讓受害公司放鬆電腦或被植入惡意軟體的戒心,中共駭客組織通常使用的惡意軟體包括,特洛伊木馬(RAT 11)變體和Poison Ivy等允許遠端存取服務的木馬軟體,同時還有按鍵紀錄器、用以竊取用戶名和密碼等。這些惡意軟體自動與APT10組織控制的電腦IP地址的域名通信。

第二步、頻繁掩蓋和快速更改惡意域名。

起訴書提到,APT10 組織特別使用動態域名系統(DNS)服務商來託管惡意域名,包括使用一家位於紐約南區的提供商的服務,該提供商允許APT10將惡意軟體中預先編輯的惡意域名分派到他們控制的不同IP地址電腦上。

這種操作模式使APT10能夠頻繁、快速地更改與其惡意域名相關的IP地址,而無需調整受害者電腦上已有的惡意軟體或域名。這為APT10提供操作靈活性和持久性,並幫助他們繞過網路檢測——過濾已識別的惡意IP地址。

根據起訴書,APT10註冊了約1,300個用於竊取IT代管服務供應商活動的惡意域名,其中一些是2010年前後開立的帳戶。

第三步、在成功安裝惡意軟體之後,APT10向受感染的電腦系統指示,下載更多的惡意軟體和工具,以進一步侵蝕受害者的電腦。

第四步、在APT10組織成員識別出受害者電腦上有感興趣的數據後,他們從受感染的電腦上收集文件和資訊,並將偷來的文件和資訊加密後、發給他們控制的電腦。

第五步、一旦APT10從IT代管服務供應商的電腦竊取到管理憑證,它就會使用這些憑證啟動與被託管服務客戶之間的遠端桌面協議(RDP)連接。

這種操作模式使APT10能夠入侵代管服務商及其客戶網路的內部互聯網路,並危及代管服務商及其客戶的那些未安裝惡意軟體的電腦。

第六步、APT10 通常會進行刪除動作,以避免被檢測或識別到文件被盜。而且,每次在美國政府或某些安全公司發布公開報告,揭露APT10在進行惡意軟體或域名操作後,APT10就快速修改或放棄了此類駭客攻擊,而轉入其他更隱蔽的形式繼續進行活動。

起訴書指,APT10入侵的代管服務商至少為12個國家的不同公司服務,受害者包括:一家全球金融機構、三家電信和或消費電子公司、三家商業或工業製造公司、兩家諮詢公司、一家醫療保健公司、一家生物技術公司、一家採礦公司、一家汽車供應商公司以及一家鑽井公司。

此外,APT10還竊取了40多台美國軍方電腦,並竊取10萬個海軍人員的個人敏感數據,包括姓名、社會安全號碼、出生日期、工資資訊、個人電話號碼以及電子郵件地址。

APT10疑在天津國安局

根據起訴書,APT10位於中國境內,在天津和其他地區進行活動,同時是在中國白天的工作時間、辦公室環境下活動。

這些年來外界一直在曝光中共的駭客組織,除了之前的APT3外,APT10的攻擊活動也被頻繁曝光。7月底,一個自稱「入侵真相」(Intrusion Truth)的神祕組織根據優步收據和其他資訊揭露,一名 APT10成員上車的起點是天津市河西區珠江道85號,這正是天津市國家安全局的總部大樓所在地址。

「入侵真相」曝光的APT10 3名駭客姓名,其中之一就是司法部這次提告的張士龍。◇