一、事件回顧
最近，Duoba Security的"捕風(fēng)"感知系統(tǒng)檢測(cè)到一個(gè)疑似針對(duì)礦機(jī)生產(chǎn)商的供應(yīng)鏈攻擊事件。全球著名的礦機(jī)品牌“翼比特”其官網(wǎng)上的礦機(jī)管理軟件"EbiteMinerMini"被發(fā)現(xiàn)嵌入了惡意后門代碼。該事件涉及使用多個(gè)“合法利用”技術(shù)隱秘地加載CobaltStrike遠(yuǎn)程控制木馬，并隨后部署鍵盤記錄插件keylogger以實(shí)現(xiàn)信息竊取。
“翼比特”是全球排名第三的比特幣礦機(jī)制造商“億邦國(guó)際”的一個(gè)品牌。根據(jù)最新的市場(chǎng)報(bào)告，億邦的全球銷售收入和算力銷售均位居前列。此次襲擊可能對(duì)廣大的“翼比特”用戶造成廣泛影響。
通過(guò)"捕風(fēng)"系統(tǒng)的數(shù)據(jù)追蹤，此次襲擊從起始測(cè)試到潛伏期至少已持續(xù)五個(gè)月。目前，該后門程序在VirusTotal上未被任何防病毒軟件檢出，顯示出此類供應(yīng)鏈攻擊的隱蔽性和防御難度。
二、詳細(xì)分析
我們發(fā)現(xiàn)“翼比特”的官方下載頁(yè)面最后一次更新是在2020年12月，但"EbiteMinerMini"壓縮包中的主程序最新修改日期為2021年6月10日。通過(guò)安全數(shù)據(jù)深度分析，后臺(tái)攻擊團(tuán)隊(duì)自2021年4月開始對(duì)攻擊樣本進(jìn)行測(cè)試，并在6月初開始實(shí)施廣泛攻擊，8月進(jìn)入靜默期，此后活動(dòng)再次增強(qiáng)。
攻擊流程顯示，黑客通過(guò)在"EbiteMinerMini.exe"的啟動(dòng)代碼中植入后門，并利用網(wǎng)絡(luò)下載合法載體來(lái)隱蔽部署CobaltStrike的內(nèi)存馬。目前，我們?cè)趷阂獬绦蛑邪l(fā)現(xiàn)兩種變體，它們?cè)诶玫?合法載體"上略有差異，這些載體分別偽裝成了上海長(zhǎng)智網(wǎng)絡(luò)技術(shù)有限公司和網(wǎng)易杭州網(wǎng)絡(luò)有限公司的數(shù)字簽名。
惡意載體行為相對(duì)簡(jiǎn)單，例如"AdbWinApi.dll"主要進(jìn)行互斥檢測(cè)、注冊(cè)表持久化以及接收CobaltStrike stager代碼注入系統(tǒng)進(jìn)程等操作。這些策略反映了攻擊者對(duì)反殺軟策略的深度理解和應(yīng)對(duì)。
我們捕獲的stager使用HTTPS協(xié)議，其代碼水印顯示為CobaltStrike的測(cè)試版本。通過(guò)對(duì)這些數(shù)據(jù)進(jìn)行分析，可以看出攻擊者主要通過(guò)此模塊推送鍵盤記錄插件"keylogger.dll"，以便竊取目標(biāo)設(shè)備的登錄憑證和進(jìn)一步策劃針對(duì)性更強(qiáng)的攻擊。
三、處置建議
隨著像"SolarWinds"這樣的供應(yīng)鏈攻擊事件逐漸增多，全球安全社區(qū)對(duì)此類威脅越發(fā)關(guān)注。供應(yīng)鏈攻擊表現(xiàn)出極高的隱蔽性和技術(shù)復(fù)雜度，但并非不可防范。安全防御者需要跳出傳統(tǒng)安全模式，重新定義“信任”，提高對(duì)攻擊鏈的全局洞察能力。
Duoba Security現(xiàn)已更新其防護(hù)系統(tǒng)以識(shí)別與“折翼行動(dòng)”相關(guān)的惡意樣本。建議所有“翼比特”用戶盡快檢查并更新到最新版本的客戶端軟件，以防止敏感賬號(hào)秘鑰泄露導(dǎo)致虛擬貨幣資產(chǎn)被竊取。
