盗まれたFireEye武器

12月8日、FireEyeは、攻撃が成功した結果、高度なスキルを持つAPTグループが、同社がRedTeamの武器として使用したツールにアクセスできるようになったと報告しました。



無意識のうちに、ニュースは、インフラストラクチャをハッキングするためのCIAおよびNSAツールがネットワークに侵入した2017年に言及しています。これらのリークは、ホームルーターやスマートTVの悪用から、感染したホストのサーバーの制御まで、さまざまなユーティリティを世界にもたらしました。最大の共鳴は、世界中の企業の活動を麻痺させたランサムウェアWannaCry、Petya、NotPetyaで使用されたEternalBlueエクスプロイトによって生成されました。

現在のケースに戻ると、FireEyeは、リークされたデータでこれまで知られていなかった手法を悪用するための0日間の悪用やツールがないことを保証します。FireEyeは、リークされたツールを検出するための一連のルール（YARA、Snort、OpenIOC、ClamAV）もGitHubで公開しました。



FireEyeから提供された情報に基づいて、攻撃が成功したときに攻撃者が受け取った武器の種類と、根本的に新しい手段でツールキットを拡張できたかどうかを調べてみましょう。

そう、



git clone https://github.com/fireeye/red_team_tool_countermeasures







次に、攻撃の開発のさまざまな段階でRed TeamFireEyeチームが使用するツールを再現してみましょう。MITER ATT＆CK分類器に従ってテクニックを検討します

悪意のある負荷の事前準備（リソース開発）

• Matryoshka – . , .
• LNKSmasher – LNK- . LNK-.
• GadgetToJScript – , .NET- VBS, VBA, JS, HTA.
• Redflare – FireEye RedTeam.
• RESUMEPLEASE – Microsoft Office c VBA (Visual Basic for Application) .
• SinfulOfficeは、OLEオブジェクトが埋め込まれた悪意のあるMicrosoftOfficeドキュメントを作成するためのユーティリティです。
• WildChild-悪意のあるHTAファイルを作成するためのユーティリティ（HTMLアプリケーション）
• PrepShellCode-シェルコードを準備するためのユーティリティ

インフラストラクチャへの初期アクセス

ユーザーの操作を必要とする悪意のあるメールで使用される悪用：

• Expl-CVE-2017-11774 -MicrosoftOutlookの脆弱性の悪用

パブリックネットワークサービスの脆弱性の悪用：

• Expl-CVE-2019-0708は、BlueKeepとも呼ばれるMicrosoft Remote Desktop Services（RDS）の脆弱性の悪用です。
• Expl-CVE-2019-19781 – Citrix Application Delivery Controller (ADC) Citrix Gateway
• Expl-CVE-2019-8394 – Zoho ManageEngine ServiceDesk Plus (SDP)

(Execution)

• Cobalt Strike – . .
• DShell – Windows-, D
• DTRIM – SharpSploit – . windows-, .Net-, PowerShell, .
• DueDLLigence – FireEye DLL .
• Impacket-Obfuscation – Impacket Windows-. (PSExec, Tack Scheduler WMI)
• In-MemoryCompilation –
• TrimBishop – RuralBishop, . suspended .
• C_Sharp_SectionInjection – PE-

(Persistence)

• Cobalt Strike – , StayKit (, , LNK, , WMI)
• Mofcomp — MOF (Managed Object Format) WMI. .
• SharPersist – FireEye Windows-. : KeePass, , , , SVN hook, ,
• SharPivot – .Net . : WMI, RPC, , , WinRM, COM, ,
• SharpSchtask –
• Justtask –
• Keepersist –

(Privilege Escalation)

• Cobalt Strike – . ElevateKit, (CVE 2020-0796, CVE-2014-4113, CVE 2015-1701, CVE 2016-0051, CVE-2016-099)
• Sharpzerologon – Netlogon (CVE-2020-1472), Zerologon. . Cobalt Strike
• Expl-CVE-2014-1812 – Group Policy Windows
• Expl-CVE-2016-0167 – Windows kernel-mode driver
• Expl-CVE-2020-1472 – Netlogon
• Expl-CVE-2018-8581 – Microsoft Exchange

(Defense Evasion)

• Cobalt Strike – , .
• DTRIM – SharpSploit – . AMSI ETWEventWrite ETW
• Matryoshka – . , . Process Hollowing
• NoAmci – AMSI.dll c AMSI (Antimalware Scan Interface) Assembly.Load(). .NET- .
• PGF – . . Application Whitelistening DLL
• SharpStomp – : , ,
• NET-Assembly-Inject – .Net
• NetshShellCodeRunner – NetSh.exe DLL

(Credential Access)

• Cobalt Strike – . .
• Adpasshunt — Group Policy Preferences msSFU30Password UserPassword Active Directory
• DTRIM – SharpSploit – . Kerberos
• Excavator – .
• Rubeus — Kerberos, Kerberoasting
• Fluffy – Rubeus.
• Impacket-Obfuscation — Impacket Windows-. (SAM, LSA, NTDS.dit), Kerberos ( Kerberos-, Golden Ticket), MiTM- NTLM.
• InveighZero – MiTM- LLMNR, NBNS, mDNS, DNS, DHCPv6
• KeeFarce – KeePass 2.x. DLL KeePass
• PXELoot (PAL) – WDS (Windows Deployment Services)
• SafetyKatz – LSASS. Mimikatz PE C#
• TitoSpecial – AndrewSpecial LSASS. EDR
• CredSnatcher –
• WCMDump – Windows Credential Manager
• Expl-CVE-2018-13379 – FortiOS SSL VPN,
• Expl-CVE-2019-11510 – Pulse Secure SSL VPN,

(Discovery)

• Cobalt Strike – . .
• Seatbelt – Windows
• CoreHound — .Net , fork SharpHound Active Directory .
• PuppyHound – SharpHound Active Directory
• DTRIM – SharpSploit – . .
• EWSRT – RT-EWS Exchange, Office 365
• Getdomainpasswordpolicy – Active Directory
• gpohunt – Active Directory
• SharpUtils – , C# execute assembly Cobalt Strike
• WMISharp – WMI
• WMIspy – WMI
• modifiedsharpview — SharpView, Active Directory

(Lateral Movement)

• Cobalt Strike – . (PsExec, WinRM, Windows Admin Shares)
• DTRIM – SharpSploit – . WMI, DCOM, , PowerShell Remoting.
• Impacket-Obfuscation – Impacket Windows-. (PSExec, Tack Scheduler WMI) Samba (CVE-2017-7494), Kerberos (CVE-2016-0049), Netlogon (CVE-2015-0005)
• WMIRunner – WMI
• SharPivot – .Net . : WMI, RPC, , , WinRM, COM, ,
• Expl-CVE-2018-15961 – Adobe ColdFusion
• Expl-CVE-2019-0604 – Microsoft Sharepoint
• Expl-CVE-2019-0708 – Microsoft Remote Desktop Services (RDS), BlueKeep
• Expl-CVE-2019-11580 – Atlassian Crowd
• Expl-CVE-2019-3398 – Atlassian Confluence Server
• Expl-CVE-2020-0688 – Microsoft Exchange
• Expl-CVE-2020-10189 – ZoHo ManageEngine Desktop Central

(Command and Control)

• Cobalt Strike – . Team Server .
• DShell – Windows-, D
• Redflare – FireEye RedTeam.
• GoRAT – (Windows, MacOS), Redflare. Go
• DoHC2 – Cobalt Strike DNS over HTTPS (DoH)
• prat – remote access trojan

• SharpGrep –
• sharpdacl – ACL
• sharpdns – DNS
• sharpgopher – Gopher
• sharpnativezipper –
• sharpnfs – NFS
• Sharppatchcheck-インストールされたアップデートをチェックするためのユーティリティ
• Sharpsqlclient -SQLクライアント
• Sharpwebcrawler -Webページのクローラー
• Sharpziplibzipper -libzipを使用した圧縮ユーティリティ

目的不明のユーティリティ

提供された情報によると、これらのユーティリティの目的は理解できませんでした。

• すべて
• SharpGenerator
• ルアローダー
• MSBuildMe
• リボルバー
• シャープサック
• シャーピー
• red_team_materials
• シャープテンプレート

分析結果

• ほとんどのツールは、MicrosoftWindowsインフラストラクチャに対する攻撃を実行するように設計されています。
• 攻撃を開発するために、商用フレームワークのCobalt Strikeと、よく知られているオープンソースプロジェクトの修正バージョン（SharpView、SharpSploit、Impacket、SharpHound、SafetyKatz）が使用されます。
• open source
• , C#
• FireEye .
• ,

, :

• Linux Unix-
• Web-

情報セキュリティ市場の巨人に対する攻撃の成功は、間違いなく私たちの業界の重要なイベントのリストに含まれますが、RedTeamのツールキットは間違いなく攻撃者の標的ではなかったことを理解する必要があります。FireEyeは世界中の大企業で働いており、国防省、保健福祉省、財務省、国土安全保障局などの米国政府機関の請負業者でもありました。これらの組織のデータは、悪用の選択よりもプロ政府ハッカーにとってよりおいしい一口です。ユーティリティ。



分析が示しているように、パブリックドメインでのユーティリティの公開でさえ、組織のリスク状況に大きな影響を与えることはありません。武器のほとんどは、オープンソースプロジェクトの形で攻撃者がすでに利用できます。





セルゲイ・ルブレフ。CISSP開発ディレクターPangeoRadar