2024年美网络攻击我国先进材料设计研究院事件调查报告及防范措施
美国网络攻击我国家的高级材料设计和研究所的事件调查报告
2024年12月18日，国家互联网急诊中心CNCERT发布了一份宣布，发现两家美国科学技术公司的机构有网络攻击。该报告将宣布我国家的某个高级材料设计和研究所的网络攻击细节，并提供有效发现和预防全球相关国家和单位的美国网络攻击的参考。
1。网络攻击过程
（1）使用漏洞攻击入侵
2024年8月19日，攻击者使用该设备的电子文件系统注入漏洞来入侵系统并偷走了系统管理员帐户/密码信息。 2024年8月21日，攻击者使用被盗的管理员帐户/密码登录到攻击系统的管理背景。
（2）软件升级管理服务器已植入后门和特洛伊木马程序
在2024年8月21日的12:00，攻击者部署了后门程序和自定义的特洛伊木马计划，该程序在电子文件系统中收到了被盗数据。为了避免测试，这些恶意程序仅存在于内存中，并且不存储在硬盘上。特洛伊木马程序用于接收涉及单元中涉及的单个计算机偷走的敏感文件。访问路径是/xxx/xxxx？ flag = syn_user_police。后门程序用于将被盗的敏感文件收敛并在国外传输。访问路径为/xxx/xxxstats。
（3）大型个人主机计算机已植入特洛伊木马
2024年11月6日，2024年11月8日和2024年11月16日，攻击者使用电子文档服务器将软件升级到该设备的276个主机。特洛伊木马程序的主要功能是扫描植入主机的敏感文件以窃取它。第二个是窃取其他个人信息，例如攻击者的登录帐户。特洛伊木马程序已被删除和删除。
2。窃取大量商业秘密信息
（1）全面扫描受害者部门的主机
攻击者已与中国的IP Springboards一再登录软件升级管理服务器，并使用该服务器入侵受害者的内部网络主机，并反复扫描了该单元的内部网络主机硬盘，发现了潜在的攻击目标，掌握了该单元的工作内容本质
（2）目的显然是针对窃取的
从11月6日至2024年11月16日，攻击者使用三个不同的跳板IPS入侵了该软件升级服务器三次，并将其植入各个主机的木马马。单词，在搜索包含特定关键字的文件后，相应的文件即将被盗和传播在国外。这三个秘密中使用的关键字不同，表明攻击者是在每次攻击之前仔细准备的，这是非常有针对性的。共有4.98GB正在窃取重要的商业信息和知识产权文件。
第三，攻击行为的特征
（1）攻击时间
分析发现，此攻击时间主要集中在22:00北京时间到第二天的8:00。与东部时间从10:00到20:00的时间相比，攻击时间主要是在美国周一至周五分布。假期没有攻击。
（2）攻击资源
攻击者使用的5个跳板IP根本不重复。它位于德国，罗马尼亚和其他地方，反映了其高度回顾性和丰富的攻击资源储备。
（3）攻击武器
首先是善于使用开源或通用工具伪装以避免可追溯性。在相关单元的服务器中找到的后门程序是开源通用后门工具。为了避免被追踪，攻击者使用大量开源或常规攻击工具。
第二个是重要的后门和特洛伊木马计划仅在内存中运行，而不是存储在硬盘中，这极大地改善了其攻击行为的难度，并被我发现。
（4）攻击方法
攻击者攻击了设备的电子文件系统服务器后，它篡改了系统的客户分配程序。通过软件客户端升级功能，他向276个单独的主机交付了特洛伊木马计划，以快速而准确地攻击重要用户。本质上述攻击技术完全显示了攻击组织的强大攻击能力。
第四，一些跳板IP列表
美国网络攻击某些智能能源和数字信息大型高级高科技企业事件调查报告
2024年12月18日，国家互联网急诊中心CNCERT发布了一份宣布，发现两家美国科学技术公司的机构有网络攻击。该报告将宣布在我国的智能能源和数字信息中，大型高级技术企业的在线攻击的细节，并为有效发现和预防全球相关国家和单位的美国网络攻击提供参考。
1。网络攻击过程
（1）使用电子邮件服务器漏洞入侵
公司的邮件服务器使用Microsoft Exchange Mail系统。攻击者使用两个Microsoft Exchange漏洞进行攻击。首先，任意用户锻造攻击特定帐户的漏洞，然后使用返回的漏洞再次攻击以实现执行任何代码的目标。
（2）植入电子邮件服务器中的内存木马
为了避免被发现，攻击者将两种攻击武器植入了电子邮件服务器，该武器仅在内存中运行，而不会将其存储在硬盘中。它使用虚拟化技术，虚拟访问路径为/owa/auth/xxx/xx.aspx和/wowa/auth/auth/xxx/yy.aspx。等待。内部网络渗透过程通过混乱发送安全软件检测，并将攻击者的流量转发到其他目标设备，以实现攻击内部网络中其他设备的目的。
（3）对内部网络中30多个重要设备的攻击
攻击者将邮件服务器用作跳板。内部网络扫描和穿透方法用于在内部网络中建立隐藏的加密传输隧道。登录以控制公司的30多个重要设备，并通过SSH，SMB和其他方法窃取数据。包括个人计算机，服务器和网络设备等，带电的服务器包括邮件服务器，Office System Server，Code Management Server，Test Server，Development Management Server和File Management Server。为了实现持久性控制，攻击者植入了可以在相关服务器和网络管理员的计算机中建立Websocket+SSH隧道的攻击武器，并实现了攻击者指示的隐藏转发和数据盗窃。为避免被发现，攻击盗窃程序伪装成与微信相关的程序Wechatxxxxxxx.exe。攻击者还植入了两个模块化的恶意程序，这些程序使用管道管道与管道管道进行交流过程中的通信以实现通信管道的建立。
2。窃取大量商业秘密信息
（1）窃取大量敏感的电子邮件数据
攻击者使用邮件服务器管理员帐户执行电子邮件导出操作。窃取秘密的目的主要是公司的高级管理人员和重要的部门人员。攻击者执行导出命令时，设置了导出电子邮件的时间间隔。一些帐户电子邮件已导出。许多带有邮件的帐户根据指定的时间间隔出口，以减少秘密数据传输的数量并降低被发现的风险。
（2）窃取核心网络设备帐户和配置信息
攻击者控制了公司的3个网络管理员的计算机，并经常偷走公司的核心网络设备帐户帐户和配置信息。例如，在2023年5月2日，攻击者将德国的代理服务器（95.179.xx.xx）作为跳板。入侵公司的邮件服务器后，邮件服务器被用作攻击公司网络管理员计算机的跳板。并窃取“核心设备配置表”，“核心网络设备配置备份和检查”，“网络拓扑”，“计算机室开关（Core+Confusion）”，“操作IP地址统计信息”，有关购买Internet Control的“敏感”文件，例如“要求说明”。
（3）窃取项目管理文件
攻击者经常通过攻击公司的代码服务器，开发服务器等攻击公司的相关开发项目数据。 。攻击公司的电子邮件服务器后，它被用作跳板。植入后的后门攻击武器被植入，数据被1.03GB偷走。为避免被发现，在开源项目“ Zen Road”中伪装成“ TIP4XXXXXXX.PHP”的后门程序。
（4）清除攻击痕迹并进行计数器分析
为了避免发现，每次攻击后，攻击者将删除计算机日志中的攻击痕迹，并删除攻击盗窃过程中生成的临时包装文件。攻击者还将查看系统审核日志，历史命令记录，与SSH相关的配置等，以分析机器的证据收集以及反对网络安全测试。
第三，攻击行为的特征
（1）攻击时间
分析发现，攻击活动主要集中在22:00北京时间到第二天8:00。与美国东部10:00至20点的时间相比，攻击时间主要是在美国周一至周五分布。没有攻击。
（2）攻击资源
从2023年5月到2023年10月，攻击者发动了30多次网络攻击。攻击者使用的海外跳板IP基本上没有重复，反映了其高回顾性和丰富的攻击资源储备。
（3）攻击武器
攻击者用于管道管道过程通信的两个基于模块的恶意程序位于“ C：\\ Windows \\ System32 \\”下。使用.NET框架。汇编时间被删除了。 KB，主要是TLS加密。在邮件服务器内存中植入的攻击武器的主要功能包括敏感信息盗窃，命令执行和内部网络渗透。相关服务器和在线管理员在计算机中植入的攻击窃取武器。使用HTTPS协议，我们可以建立一个WebSocket+SSH隧道，该隧道将返回由攻击者控制的域名。
第四，一些跳板IP列表
phper