<span id="7ztzv"></span>
<sub id="7ztzv"></sub>


<span id="7ztzv"></span><form id="7ztzv"></form>


<span id="7ztzv"></span>
    

      

        <address id="7ztzv"></address>
            
				
            原文地址:http://drops.wooyun.org/papers/7025
            
				
      
            
        
            0x00 前言
            


            


            7月5日晚，一家意大利遠程控制軟件廠商HackingTeam的內部數據被泄露出來，其影響力不亞于斯洛登事件及維基解密事件，綠盟科技威脅響應中心隨即啟動應急響應工作。
            


            6日，威脅響應中心啟動應急分析工作，綠盟TAC產品攔截到Flash 0Day漏洞攻擊；
            


            6日夜，相關信息及初步建議，第一時間告知客戶關注；
            


            7日，在官網網站發布緊急通告，建議廣大用戶關注事件進展。分析工作進展進展中；
            


            9日，發布Hacking Team遠程控制系統簡要分析報告；
            


            這是一份快速報告，以便簡要分析其中的核心內容，Hacking Team RCS（遠程控制系統）。
            




            0x01 泄露：Hacking Team
            


            


            7月5日晚，一家意大利軟件廠商被攻擊，其掌握的400GB漏洞（包括0day）數據泄露出來，由此可能引發的動蕩，引起了業界一片嘩然。數據包中主要包含幾個大的部分：
            




            0x02 Hacking Team
            


            


            Hacking Team在意大利米蘭注冊了一家軟件公司，主要向各國政府及法律機構銷售入侵及監視功能的軟件。其遠程控制系統可以監測互聯網用戶的通訊、解密用戶的加密文件及電子郵件，記錄Skype及其他VoIP通信，也可以遠程激活用戶的麥克風及攝像頭。其總部在意大利，雇員40多人，并在安納波利斯和新加坡擁有分支機構，其產品在幾十個國家使用。
            


            0x03 分析：遠程控制系統
            


            


            大家知道IT運維管理中常常用到遠程控制軟件，比如Dameware，但Hacking Team RCS相比市面上常見的遠程控制軟件而言，主要區別如下：
            




            0x04 Hacking Team RCS系統架構
            


            


            RCS (Remote Control System)系統是一套用于政府攔截的黑客套件，實現了全平臺的監控系統。
            


            RCS主要組件
            


            enter image description here
            


            每一塊組件具體的功能如下，
            




            RCS Agent有兩種安裝方式：本地以及遠程。本地安裝主要是通過桌面系統的CD和USB存儲設備來引導，或者是智能手機的usb。遠程安裝則通過Melting tool、Exploit portal、Network Injector以及Remote Mobile Installation。而且每個RCS Agent都可以通過遠程命令卸載。
            


            RCS Agents的系統要求：
            


            Windows XP, Vista, 7 (32/64 bit)

MacOs X 10.6 Snow Leopard, 10.7 Lion

Windows Mobile 6, 6.5

iOS 3, 4 (iPhone/iPad)

Symbian S60 3rd and 5th edition

            


            BlackBerry 4.5 or newer Anonymizers目的是隱藏Front End真實IP地址，由于Anonymizers之間的連接數據被完全加密而且沒有解密數據，所以可以被放置在任何非信任的網絡和國家。
            


            Collection Node 信息搜集功能是通過Collection Node來完成的客戶端上傳信息的搜集，并且允許客戶端從服務器上下載新的配置和插件，這個節點是通過提供ASP服務完成交互的。這個節點是整個控制系統唯一能從外部進行訪問的節點，因此對它的保護也非常關鍵，比如使用防火墻等措施進行一定的隔離，也需要使用到Anonymizer 鏈來對ASP真實的IP地址進行隱藏。
            


            RSSM(Mobile Collection Node)作為Collection Node的一個補充，通過藍牙等手段完成Collection Node的功能，并且該節點也會和Collection Node完成同步的過程。
            


            Log Repository Log Repository(RCSDB)是RCS系統的存儲部件，存儲信息包括：
            


            訪問過的網站
文件操作
鍵盤記錄
文檔和圖片信息
VoIP電話監控(例如skype)
程序執行信息
音頻監視
Web攝像頭監視
截屏
即時通信（Skype、WindowsLiveMessenge、Wechat等）
剪貼板的信息
密碼信息（email賬戶、WindowsLive賬戶等）
發送和接收郵件
電話錄音
GPS位置
聯系人信息

            


            從上面的分析可以看出來，這一次泄露的Hacking Team的各種程序中，比較完整的涵蓋了實施攻擊各個階段需要用到的一些控制和利用工具，針對其中的一些較為經典的代碼，我們經過研究，給出這些工具包的功能，對使用范圍做了大致的描述。在這一套RCS里，針對電話、pc、網絡均進行了控制和信息搜集。
            


            0x05 Hacking Team RCS基本功能
            


            


            電話監控
            


            針對電話監控，開發了針對不同平臺的agent程序，下面是一份列表
            




            桌面系統監控
            




            輔助入侵功能
            


            為了在target上安裝受控端軟件并獲取主機控制權，還有提供了一些必要的功能
            




            RCS Injection Proxy Appliance (RCS IPA)是用于攻擊的安全設備，使用中間人攻擊技術和streamline injection機制，它可以在不同的網絡情況下透明地進行操作，無論是在局域網還是內部交換機上。
            


            IPA 可從監控的網絡流量中檢測HTTP連接，進行中間人攻擊，主要有三種攻擊方式:注入EXE, 注入html和替換攻擊。當監控的HTTP連接命中預先設置的規則時，IPA 將執行注入攻擊。IPA 可以設置需要注入的用戶(如IP地址)，資源(如可執行文件)等規則。
            




            0x06 Hacking Team RCS入侵手段
            


            


            Hacking Team RCS軟件入侵目標，主要通過如下三種方式：
            


            感染移動介質
            


            與很多木馬、病毒及流氓軟件的傳播方式一樣，該軟件首先還是采取這種低成本的方式進行，感染一些能夠接觸目標的移動媒體，比如CD-ROM、USB等，即便是OS 或者BIOS設置了密碼也一樣可以感染，從而獲取一些環境數據，比如電腦是否可以上網等，為后續的動作提供參考依據。
            


            代理攻擊
            


            采用軟件或硬件的系統，能夠在網絡會話過程中修改和注入數據，在某些情況下，可以注入到系統并難以被檢測到。同時，也能夠感染Windows平臺上的可執行文件，如果目標電腦從網站上下載并執行這些可執行文件時，Agent將在后臺自動安裝，用戶不會知曉。
            


            APT
            


            如上兩種方式都無法奏效的時候，就會采用多種形式組合入侵，采用相關的漏洞、入侵工具及更多利用手段，詳細的分析及防護方案，在后續的報告中呈現。
            


            0x07 Hacking Team RCS信息上傳
            


            


            用于搜集客戶端搜集信息的上傳通道，是一個強加密和需要認證的通信過程，同時整個上傳通道的設計是基于復雜網絡環境的，考慮到防火墻、帶有域認證功能的代理等等，會通過模仿一個正常用戶瀏覽web的過程來進行這一些操作。
            


            信息搜集功能是通過Collection Node來完成的客戶端上傳信息的搜集，并且允許客戶端從服務器上下載新的配置和插件，這個節點是通過提供ASP服務完成交互的。這個節點是整個控制系統唯一能從外部進行訪問的節點，因此對它的保護也非常關鍵，比如使用防火墻等措施進行一定的隔離，也需要使用到Anonymizer 鏈來對ASP真實的IP地址進行隱藏。
            


            RSSM(Mobile Collection Node)作為Collection Node的一個補充，通過藍牙等手段完成Collection Node的功能，并且該節點也會和Collection Node完成同步的過程。
                  
            
    
			

            <span id="7ztzv"></span>
            <sub id="7ztzv"></sub>
            

            <span id="7ztzv"></span><form id="7ztzv"></form>
            

            <span id="7ztzv"></span>
              

                

                  <address id="7ztzv"></address>
                      

亚洲欧美在线