欢迎光临
我们一直在努力

FireEye和微软联手绞杀了SolarWinds后门

 

写在前面的话

根据国外媒体的最新报道,微软、FireEye和GoDaddy合作为SolarWinds Sunburst后门创建了一个关闭开关,并成功迫使这款恶意软件自行终止了其“生命”。换句话说,也就是臭名昭著的SolarWinds后门现已被微软、FireEye和GoDaddy联合绞杀了。

就在上个礼拜,一群有着俄罗斯横幅背景的黑客攻击了SolarWinds,并在其SolarWinds Orion IT监控平台所使用的一个Windows DLL文件中注入了恶意代码。

这个恶意Windows DLL文件是一个后门,微软将其命名为Solarigate,FireEye将其命名为Sunburst,这个后门主要通过SolarWinds的自动更新机制来进行传播,目前受影响用户数量大约有18000个,其中就包括美国财政部、美国国家电信与信息管理机构、以及美国国土安全部在内。

Solar Winds 自2019.4到2020.2.1之间更新版本,在2020年3月到2020年6月之间发布,包含一种名为SUNBURST(也被称为Solorigate)的恶意软件。一旦安装到电脑上,恶意软件会休眠12到14天。

 

什么是 SolarWinds Orion?

SolarWinds Orion 是 SolarWinds 网络和计算机管理工具套件的一部分。其功能包括监视、告知用户关键计算机何时停机,还有自动重启服务的功能。该软件可能会被安装在企业最关键的系统上,会在系统故障时阻止工作进程。

 

恶意服务器分析

作为与微软和SolarWinds协调披露的一部分,FireEye在上周周日发布了一份研究报告,并在报告中分析了SolarWinds供应链攻击以及Sunburst后门的运作方式。这项研究表明,Sunburst后门将连接到avsvmcloud[.]com子域中的一个命令和控制(C2)服务器,然后接收“作业”任务或或执行攻击者的命令。

据悉,该问题域avsvmcloud.com已被一个科技公司联盟收购,并将域名转给微软所有。内部消息人士称,这次收购行动是为了防止Solar Winds黑客向受感染的电脑发送新订单而采取的“保护性措施”。

FireEye所发布的报告还显示,如果命令控制C2服务器解析为以下范围之一的IP地址,那么恶意软件将终止运行并更新设置,因此恶意软件将不再会被执行。

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
224.0.0.0/3
fc00:: - fe00::
fec0:: - ffc0::
ff00:: - ff00::
20.140.0.0/15
96.31.172.0/24
131.228.12.0/22
144.86.226.0/24

就在昨天,命令控制C2服务器的域名avsvmcloud[.]com被查封了,现在这个地址已经被解析为了IP【20.140.0.1】,而这个IP地址目前归微软所有。通过接管这个域名,微软及其合作方的安全研究人员将能够挖掘恶意软件的而已流量,并对其进行分析,以确定进一步的受害者。

下面给出的是恶意命令控制C2服务器的DNS查询情况:

 

FireEye和微软创建了一个“开关”,联手绞杀了SolarWinds

今天,安全研究人员布莱恩·克雷布(Brian Krebs)正式披露了关于FireEye、微软和Godaddy合作为Sunburst恶意软件创建解决方案的详细情况。

在一份发给BleepingComputer的声明中,FireEye解释说称,他们通过接管avsvmcloud[.]com域名来创建了一个“终止开关”,并以此来卸载受感染设备上安装的Sunburst恶意软件。

FireEye在其发给BleepingComputer的声明中写到:“SUNBURST是一个通过SolarWinds恶意软件来进行传播和感染的恶意程序,在FireEye针对SUNBURST的分析过程中,我们成功识别并设计出了一个能够终止SUNBURST继续运行的‘终止开关’。根据恶意软件解析avsvmcloud[.]com时所返回的IP地址,在某些情况下,恶意软件会自行终止并阻止自身进一步执行。为此,FireEye选择与GoDaddy和Microsoft合作,以消除SUNBURST对用户的感染。这个‘终止开关’将通过禁用仍在向avsvmcloud[.]com域名发送信标的SUNBURST部署来影响新的和以前的SUNBURST感染。”

虽然FireEye没有提供过多关于这个“终止开关”的具体实现细节,但是我们可以从他们之前的分析中了解这个“终止开关”的大致工作细节。

作为合作的一部分,GoDaddy创建了一个通配符DNS解析,这样avsvmcloud[.]com的任何子域都将被解析为IP【20.140.0.1】。下面显示的是目前情况下怎对子域名的DNS查询结果(针对avsvmcloud[.]com域名的通配符DNS解析):

由于这种基于通配符的DNS解析,那么当受感染的计算机试图连接到avsvmcloud[.]com域下的命令和控制服务器时,子域将始终解析为【20.140.0.1】这个IP地址。由于这个IP地址是恶意软件IP阻止列表中的20.140.0.0/15范围中的一部分,它将导致恶意软件终止运行并阻止其再次执行。

这里需要注意的是,微软的IP地址范围很可能被添加到了恶意软件的阻止列表中,以防止其安全操作检测到SolarWinds的恶意活动。

不过FireEye还警告称,这一个“终止开关”只适用于初始的Sunburst感染,对于那些已经被网络犯罪分子入侵的组织,攻击者可能还有其他的方法来访问受入侵组织的系统。

FireEye的安全研究人员表示:“在FireEye所观察到的入侵活动中,网络犯罪分子迅速建立了额外的持久化感染机制,以便他们随时访问SUNBURST后门未感染的其他目标网络系统。这个‘终止开关’不会将攻击者从受害者的网络系统中彻底移除,因为他们已经建立了其他的后门以及持久化访问机制。不过,这将导致攻击者更难去利用之前所发布的SUNBURST版本了。”

 

后话

自Solar Winds黑客事件曝光以来,已确认的受害者人数增加到包括:

·美国网络安全公司FireEye
·美国财政部
·美国国家电信和信息管理局
·美国国家卫生研究院
·网络安全和基础设施局
·美国国土安全部
·美国国务院

目前,BleepingComputer已经与微软方面取得了联系,并询问了关于这个“终止开关”的相关问题,但微软则表示他们目前并没有什么可以跟大家分享的东西。

赞(0) 打赏
未经允许不得转载:中国宏阔黑客联盟|白帽黑客|网络渗透技术|网站安全|移动安全|通信安全 » FireEye和微软联手绞杀了SolarWinds后门
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏