近期， PassiveTotal 針對Turla APT所用IP的自簽名證書進(jìn)行了關(guān)聯(lián)分析，最終發(fā)現(xiàn)Turla APT的多個(gè)攻擊IP隸屬于多家衛(wèi)星服務(wù)運(yùn)營商，并且攻擊者還通過這些IP注冊了大量新的C&C域名。
FreeBuf百科
Turla APT組織，也被稱為Snake或者Uroboros，是迄今為止高級別的APT組織之一，卡巴斯基于2015年9月發(fā)現(xiàn)Turla活躍時(shí)間長達(dá)8年，其利用衛(wèi)星通信固有的安全缺陷隱藏C&C服務(wù)器位置和控制中心。
自簽名證書：是一種由簽名實(shí)體頒發(fā)給自身的證書，即發(fā)布者和證書主體相同。對客戶端來說，是一種非權(quán)威、不信任的證書，而對于服務(wù)端的主要目的為數(shù)據(jù)加密和保證完整性和不可抵賴性。
1 攻擊架構(gòu)分析
以IP地址和對應(yīng)域名關(guān)系鏈為分析途徑，以SSL證書數(shù)據(jù)為分析重點(diǎn)：
PassiveTotal通過對相關(guān)SSL證書哈希值進(jìn)行對比關(guān)聯(lián)，發(fā)現(xiàn)Turla APT的某些連接特征可以追溯至2013年，且大量攻擊IP對應(yīng)的SSL證書與IP 83.229.75.141有關(guān)，且為同一證書。以下為證書信息：
證書為有效期10年的自簽名證書，無認(rèn)證鏈和詳細(xì)信息，只有名為Ubuntu的通用名稱。該證書在2015年8月出現(xiàn)，且2016年1月與一起攻擊事件的IP結(jié)點(diǎn)相關(guān)：
通過與Turla攻擊架構(gòu)對比發(fā)現(xiàn)，Turla攻擊中存在與此證書相關(guān)的大量IP和域名：
以SSL證書SHA-1哈希值f415844680ed9118ea74e0c7712b35044f0cc20d為對比，我們發(fā)現(xiàn)了與6家衛(wèi)星服務(wù)運(yùn)營商相關(guān)的另外26個(gè)IP地址，這6家衛(wèi)星服務(wù)運(yùn)營商為：
Skyvision(英國衛(wèi)星服務(wù)運(yùn)營商，卡巴斯基報(bào)告中曾提及) Sidus(美國衛(wèi)星廣播服務(wù)供應(yīng)商) Telesat(澳門宇宙衛(wèi)星服務(wù)運(yùn)營商，卡巴斯基報(bào)告中曾提及) Astrium(歐洲 阿 斯 特 里 姆 衛(wèi)星 服務(wù)運(yùn)營 商 ) Impuls Hellas(希臘衛(wèi)星服務(wù)運(yùn)營商) Asia Broadcast Networks(亞洲廣播衛(wèi)星公司)
2 證書變化
Turla APT 涉及的42個(gè)相關(guān)IP地址都基于同一自簽名SSL證書：
當(dāng)PassiveTotal發(fā)布了上述攻擊架構(gòu)的分析報(bào)告之后，該自簽名證書發(fā)生了改變：
以上變化表明，Turla APT并沒有放棄之前的攻擊架構(gòu)，這些攻擊架構(gòu)對其可能還存在利用價(jià)值。通過對IP和對應(yīng)域名分析，結(jié)合Maltego的關(guān)聯(lián)結(jié)果，我們發(fā)現(xiàn)攻擊者基于該自簽名證書注冊了一些新的攻擊架構(gòu)：
下圖為Turla APT新注冊的IP和相關(guān)域名關(guān)聯(lián)信息：
3 結(jié)論
Turla APT所利用的攻擊架構(gòu)雖然已不作為主要的C&C服務(wù)，但仍然處于活躍狀態(tài)。證書注冊和域名變化信息表明這些攻擊架構(gòu)可能被攻擊者運(yùn)用于一些常規(guī)操作或低價(jià)值目標(biāo)攻擊活動(dòng)。
4 IOC
IP 地址：
209.239.79.69
82.146.174.240
82.146.166.61