欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

维基解密披露CIA恶意软件框架中的新工具:AfterMidnight与Assassin

来源:本站整理 作者:佚名 时间:2017-05-16 TAG: 我要投稿

当整个世界都在忙于应对 WannaCry恶意软件之时,维基解密发布了CIA Vault 7工具包中新的一批文件,详细披露了针对Winodws平台上的两个恶意软件框架——AfterMidnight以及Assassin。
早在2017年3月7日,维基解密就披露了成千上万个来自CIA的文件及秘密黑客工具,维基解密称之为Vault 7。这被认为是CIA史上最大规模的机密文档泄露。
而本次5月中旬最新的文件披露,已经是Vault 7系列中的第八次文件披露。这次公布的AfterMidnight以及Assassin均属于CIA恶意软件框架。它会在受感染的计算机上监控并汇报用户行为,再由远程主机执行恶意行为。
AfterMidnight 恶意程序框架
维基解密在文件中称,攻击者会使用AfterMidnight在目标系统上进行动态载入,然后执行恶意payload。
恶意payload中的主控制模块,会伪装成Windows动态链接库文件(DLL),执行Gremlins(小精灵)操作(这里的gremlins是个术语,指的是一种隐藏在目标计算机中的payload)。它会检测、破坏目标软件的功能,或者为其他gremlins提供服务。
目标设备一旦安装了AfterMidnight,就会使用Octopus来检查预定事项(Octopus是一种基于HTTPS的LP服务)。系统如果在检测时发现了新的预定事项,AfterMidnight就会自动下载并存储所有必要的组件,然后再在内存中载入这些新的gremlins。

AfterMidnight是一个伪装成Windows服务的动态链接库。它通过基于HTTPS的LP服务进行Gremlins操作。目标设备上安装了AfterMidnight后,会在配置设置下调用配置好的LP服务,然后检查是否有新的计划需要执行。如果有新的计划,它就会下载并存储所有需要的组件到本地,然后载入到内存中。所有的存储文件都以一个LP密钥加密保存。而这个密钥保存在远程计算机上,如果AfterMidnight无法与LP进行连接,则无法执行任何payload。
最新披露的用户指南中也指出,AfterMidnight的文件密钥保存在其他地方。程序中有一个叫做AlphaGremlin的特殊模块。AlphaGremlin中包括了一种特别的脚本语言,可以让使用者在目标设备上设定自定义的任务,然后远程执行这些恶意操作。

Assassin 恶意程序框架
Assassin 类似于AfterMidnight ,可以理解为针对微软Windows操作系统的自动植入软件。它为攻击方提供了远程数据收集的平台。Assassin 安装在目标计算机上后,这个工具会在Windows服务进程中运行植入程序,允许攻击者在目标设备上运行恶意任务,整体作用与AfterMidnight非常类似。
Assassin中总共包含了四个子系统:分别是implant, Builder, Command and Control以及Listening Post。
Implant子系统中具有该工具的核心逻辑及功能部分,如通讯功能和任务执行功能。通过Builder可以对此进行配置并部署在目标计算机上。
Builder子系统则是对植入及部署可执行文件之前,提供了一个定制化的命令行界面,这样在植入操作执行之前可以先设定植入的相关配置。
Command and Control子系统则像是操作和 Listening Post (LP)之间的接口,LP来允许Assassin Implant与Command and Control子系统通过web服务器进行通讯。

披露的后果与影响?
上周,维基解密也放出一个中间人攻击工具Archimedes,该工具据称是CIA用来攻击LAN网络中计算机的。
美国情报机构试图隐藏并独占漏洞,而不是公布于众。而在过去的三天内,利用一个月前Shadow Brokers泄露的漏洞利用工具的恶意软件WannaCry猛烈席卷全球超过150个国家和地区。
微软Brad Smith谴责美国情报机构的这种做法,他们将此次事件评价为“影响广泛的危害事件”,而WannaCry事件发生的本质原因还是在于NSA,CIA和其他情报机构试图独占0day漏洞却不愿意公布于众。
2017年出现了一种新的态势,我们看到CIA试图独占的漏洞被公布在维基解密上,现在这个威胁已经影响到世界各地的用户。
也许是出于避免滥用的考虑,维基解密目前没有公布任何exlpoit。近期发生的WannaCry事件应该已经验证了公布情报机构的exploit可能会有的严重后果。​
最后附上三月开始公开的Vault7系列文件,最新的文件披露如下所示:
• Year Zero:应对软硬件入侵的CIA Exploit
• Weeping Angel :侵入智能电视的间谍软件
• Dark Matter:iPhone和Mac的入侵 Exploit
• Marble:混淆网络攻击的一款框架
• Grasshopper:为Windows系统构建定制化恶意软件的平台
• Scribbles :文档水印预处理系统,用以追踪告密者及国外间谍的软件。
 

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载