【国际视野】美国网络安全和基础设施安全局等多机构联合发布公告《俄罗斯GRU瞄准西方物流实体与技术公司》

物流实体和技术公司的高管和网络防御人员应认识到26165 单元目标攻击的高威胁性，加强对已知战术、技术和程序(IOC) 的监控和威胁猎取，并在假定目标攻击的情况下设置网络防御。

这场以物流实体和技术公司为目标的网络间谍活动混合使用了之前披露的TTP，很可能与这些行为者在乌克兰和北约邻国大范围攻击IP 摄像机有关。

本CSA 由以下作者和共同作者发布：

两年多来，俄罗斯GRU 第 85 GTsSS 军事单位26165（在网络安全界通常被称为APT28、Fancy Bear、Forest Blizzard、BlueDelta和其他各种标识符）使用各种已知战术、技术和程序（TTP）开展了这项活动，包括重组密码喷射功能、鱼叉式网络钓鱼和修改Microsoft Exchange 邮箱权限。

2022年 2月下旬，多个俄罗斯国家支持的网络行动者增加了网络行动的种类，以达到间谍、破坏和影响的目的,其中26165部队主要参与间谍活动。由于俄罗斯军队未能实现其军事目标，西方国家提供援助以支持乌克兰的领土防御，26165部队扩大了对参与提供援助的物流实体和技术公司的攻击目标。这些行动者还瞄准了乌克兰边境口岸与互联网连接的摄像头，以监控和追踪援助物资。

GRU第 26165号分队针对西方物流供应商和技术公司的网络攻击活动已针对数十个实体，包括政府组织和私营/商业实体，几乎涉及所有运输方式：空运、海运和铁路运输。这些行动者的目标是北约成员国、乌克兰和国际组织中与以下垂直领域相关的实体：

在目标锁定过程中，26165小队的行动者发现了与主要目标有业务联系的运输部门的其他实体，并对其进行了 后续锁定，利用信任关系试图获得更多访问权限[T1199]。

行动者还对至少一家参与生产用于铁路管理的工业控制系统（ICS）组件的实体进行了侦查，但未确认成功入侵[TA0043]。

目标实体所在国家包括：

为初始访问目标实体，26165小队行动者使用了多种技术来初始访问目标实体，包括（但不限于）：

行为者滥用与一系列品牌和型号的小型办公室/家庭办公室(SOHO)设备相关的漏洞，以促进隐蔽的网络操作，并通过目标附近具有地理位置的设备代理恶意活动[T1665]。

Unit 26165 行为者在此次行动中的凭据猜测[T1110.001]行动与之前公告中披露的行动有一些相似之处。根据对受害者网络的调查，该TTP 的当前迭代采用了类似的混合匿名基础设施，包括使用Tor 和商业VPN [T1090.003]。行为者经常轮换使用IP 地址，以进一步阻碍侦查。所有观察到的连接都是通过加密TLS [T1573] 进行的。

GRU单位26165行为者的鱼叉式网络钓鱼电子邮件包含链接[T1566.002]，指向假冒各种政府实体和西方云电子邮件提供商网页的虚假登录页面。这些网页通常托管在免费的第三方服务或被入侵的SOHO设备上，并经常使用与主题相似的实体相关的合法文件作为诱饵。鱼叉式网络钓鱼电子邮件的主题多种多样，从专业主题到成人主题不一而足。网络钓鱼邮件经常通过被入侵的账户或免费网络邮件账户发送[T1586.002, T1586.003]。这些电子邮件通常用目标的母语编写，只发送给一个目标收件人。

有些活动采用多级重定向器[T1104]验证IP地理定位[T1627.001]和浏览器指纹[T1627]，以保护凭证收集基础设施或提供多因素验证（MFA）[T1111]和验证码转发功能[T1056]。未通过位置检查的连接端点会被重定向到良性URL [T1627]，如msn.com。使用的重定向服务包括：

行为者还利用鱼叉式网络钓鱼传播恶意软件（包括HEADLACE 和MASEPIE）可执行文件[T1204. 002]、多种语言脚本[T1059]（包括BAT [T1059.003] 和VBScript [T1059.005]）以及托管快捷方式链接[T1204.001]。

在整个活动中，GRU单元 26165 利用Outlook NTLM 漏洞（CVE-2023-23397），通过特制的Outlook 日历约会邀请函收集NTLM 哈希值和凭证[T1187]。这些行动者还利用一系列Roundcube CVE（CVE-2020-12641、CVE-2020-35730和 CVE-2021-44026）执行任意shell 命令[T1059]、访问受害者电子邮件帐户并从电子邮件服务器检索敏感数据[T1114]。

至少从2023 年秋季开始，行为者利用WinRAR 漏洞（CVE-2023-38831）执行嵌入到存档中的任意代码，以此作为初始访问手段[T1659]。行为者发送带有恶意附件[T1566.001]或嵌入超链接[T1566.002]的电子邮件，下载使用此CVE 编制的恶意存档。

在使用上述技术之一进行初步入侵后，26165部队的行动者进行了联系信息侦察，以确定关键位置上的其他目标[T1589.002]。行为者还对网络安全部门[T1591]、负责协调运输的个人[T1591.004]以及与受害实体合作的其他公司[T1591.002]进行了侦察。

参与者使用本地命令和开放源代码工具（如Impacket 和PsExec）在环境中横向移动[TA0008]。除python 版本外，还根据受害者环境使用多个Impacket 脚本作为.exe文件。参与者还使用远程桌面协议（RDP）[T1021.001]在网络内横向移动，访问其他主机，并尝试使用本地Active Directory 域服务命令转储Active Directory NTDS.dit域数据库[T1003.003]，如图2：Active Directory 域服务命令示例：

图：活动目录域服务命令示例

此外，GRU单元26165 的行为者使用Certipy 和ADExplorer.exe 工具从Active Directory中窃取信息。行为者在受感染的计算机上安装了python [T1059.006]，以便执行Certipy。访问的文件在外泄[T1560] 之前被存档为.zip 文件。行为者试图通过先前投放的OpenSSH 二进制文件外泄存档数据[T1048]。

事件响应调查显示，行为者将采取措施定位和外泄Office 365用户列表，并设置持续的电子邮件收集。正如波兰网络司令部博客中详细描述的那样，行动者利用操纵邮箱权限[T1098.002]在被入侵的物流实体建立持续的电子邮件收集。

在初始身份验证后，26165小队的行动者会更改账户的文件夹权限，并将被攻破的账户加入MFA 机制，以提高被攻破账户的信任度，实现持续访问[T1556.006]。参与者利用python 脚本通过组策略首选项[T1552.006] 使用Get-GPPPassword.py 和修改后的ldap-dump.py 获取明文密码，以枚举Windows 环境[T1087.002]，并通过轻量级目录访问协议(LDAP) 进行暴力密码喷射[T1110.003]。此外，行为者还会通过wevtutil 实用程序[T1070.001] 删除事件日志。

在初步进入该网络后，这些行为者进一步进入可获取敏感货运信息（如火车时刻表和货运清单）的账户。这些账户包含向乌克兰运送援助物资的信息，包括：

至少在一个实例中，行为者试图使用语音网络钓鱼[T1566.004]，通过冒充IT人员来访问特权账户。

26165小队在这次行动中使用的恶意软件包括从获取初始访问权限到建立持久性和渗出数据。在某些情况下，攻击链会连续部署多个恶意软件。行为者使用动态链接库(DLL) 搜索顺序劫持[T1574.001]来促进恶意软件的执行。有许多已知的恶意软件变种与针对物流部门受害者的这一活动有关，其中包括：

虽然没有观察到其他恶意软件变种，如OCEANMAP 和STEELHOOK，直接以物流或IT实体为目标，但它们在乌克兰和其他西方国家其他部门受害者中的部署表明，如果需要，它们可以部署到物流和IT 实体中。

除了上述滥用邮箱权限的行为外，26165部队的行为者还使用了计划任务[T1053.005]、运行键[T1547.001]，并在启动文件夹中放置了恶意快捷方式[T1547.009]，以建立持久性。

GRU 单元26165行为者使用多种方法进行数据外渗，这些方法因受害者环境而异，包括恶意软件和 “离地生存 ”二进制文件。PowerShell命令[T1059.001]经常被用于准备数据外泄；例如，行为者准备了zip 档案[T1560.001]上传到自己的基础设施。

行为者还使用服务器数据交换协议和应用程序编程接口（API），如Exchange Web服务（EWS）和互联网消息访问协议（IMAP）[T1114.002]，从电子邮件服务器中外泄数据。在多个实例中，行为者使用定期EWS 查询[T1119] 来收集自上次数据外泄[T1029]以来收发的新电子邮件。行为者通常使用与受害者地理位置相近的基础设施。数据外泄之间的间隔时间长、使用受信任的合法协议以及使用本地基础设施，使得敏感数据的长期收集不被发现。

除了以物流实体为目标外，26165小分队的行动者还可能利用访问关键地点（如边境口岸、军事设施和铁路车站附近）的私人摄像机来跟踪进入乌克兰的物资流动情况。他们还利用合法的市政服务，如交通摄像头。

早在 2022年3月，行动者就针对主要位于乌克兰的托管IP摄像机的实时流协议(RTSP) 服务器开展了大规模行动，包括试图枚举设备[T1592] 和获取摄像机信号[T1125]。行为者控制的服务器发送RTSP DESCRIBE 请求，目的地是RTSP 服务器，主要是托管IP 摄像头的服务器[T1090.002]。DESCRIBE请求经过精心设计，以获取对位于不同网络上的IP 摄像机的访问权限。

图：RTSP请求示例

成功的RTSP 200 OK 响应包含IP 摄像头图像快照和IP摄像机元数据，如视频编解码器、分辨率和其他属性，具体取决于IP 摄像头的配置。

如表1 所示，从授权机构可获得的10,000多台摄像机的样本来看，受害者的地理分布主要集中在乌克兰和边境国家的摄像头上：

表 1：目标IP 摄像头的地理分布

许多组织可能不需要允许向托管和API 模拟服务发送流量，GRU 26165 部队经常使用这些服务。各组织应考虑对以下服务发出警报或进行阻止，但允许合法活动[D3-DNSDL]列出例外情况。

对新子域（包括上述提供商的子域）的网络请求进行启发式检测，可能会发现恶意网络钓鱼活动[D3-DNRA]。记录网络用户对每个子域的请求，如DNS 或防火墙日志，可使系统管理员识别新的目标和受害者。

组织应采取措施，确保强有力的访问控制，减少常见的凭证盗窃技术：

注：特定的IoC可能不再受行为者控制，可能本身就是被入侵的基础设施或电子邮件账户，也可能是共享的基础设施，如公共VPN 或Tor出口节点。在根据这些指标分流日志或制定检测规则时应小心谨慎。GRU 26165 几乎肯定使用了本报告中未具体列出的更多基础设施和TTP。

未经授权或不寻常地使用以下合法实用程序可能是潜在入侵的迹象：

注： 如果经常使用这些合法的管理工具，则需要额外的启发式方法来有效猎取这些二进制文件和其他 “离地生存”（LOTL）二进制文件，以避免被误报所淹没。请参阅联合指南《识别与缓解 “离地生存 ”技术》，了解如何制定多方面的网络安全策略，以实现行为分析、异常检测和主动猎杀，这些都是缓解采用LOTL 技术的网络威胁的综合方法的一部分。

虽然以下实用程序是合法的，使用它们时显示的命令行也可能是合法的，但这些命令行经常在恶意活动中使用，可能是入侵的迹象：

免责声明：这些IP 地址的日期为2024 年6 月至2024 年8 月。编写机构建议各组织在采取封禁等措施之前，对这些IP 地址进行调查或审核。

网络安全行业提供与GRU unit 26165网络行为者相关的重叠网络威胁情报、增支经营成本和缓解建议。以下是与MITRE ATT&CK G0007相关的、网络安全界常用的最著名的威胁组织名称，但并非包罗万象：

注：网络安全公司跟踪和归因网络行为者的方法各不相同，这可能与美国政府对与这些组织相关的所有活动的理解不存在1:1 的相关性。

要搜索是否存在针对CVE-2023-23397的恶意电子邮件，网络防御者可以考虑使用微软发布的脚本：https://aka.ms/CVE-2023-23397ScriptDoc。

对于Impacket TTP，网络防御者可以考虑使用以下公开的Impacket YARA 检测规则：https://github.com/Neo23x0/signature-base/blob/master/yara/gen_impacket_tools.yar

天极智库聚焦网络安全相关领域，聚集网络安全职能部门、行业主管部门、科研院所、相关企业和专家学者的力量，组织开展政策研判、事件分析、技术研究、学术交流，为国家网络安全工作提供支撑，增强国家网络空间安全防御能力，提升国家关键信息基础设施安全保障能力和水平。