九游老哥云
2018年平昌冬奥会受到“Olympic Destroyer”攻击
2018-03-01
2018年2月在韩国举行的平昌冬季奥林匹克运动会遭到不明身份的黑客攻击 。凭证现在的剖析来看 ，此次攻击主要目的为破损冬奥会的顺遂举行 ，并没有发明其他功效 。剖析职员在剖析攻击样本后体现 ，此次攻击的溯源与攻击者身份难以下定论 ，攻击者使用了多个其他攻击整体的特征 ，以此疑惑和误导剖析职员 ，使得攻击者身份难以被确定 。剖析职员将该攻击称为“Olympic Destroyer” 。
http://blog.talosintelligence.com/2018/02/who-wasnt-responsible-for-olympic.html?m=1
http://blog.talosintelligence.com/2018/02/olympic-destroyer.html
配景
2月11日 ，在韩国平昌的举行的冬奥会开幕式中 ，主理方盘算机系统遇到问题 ，事情职员称是不主要的系统并且于12小时内修复 。随后 ，奥运会官员确认该问题源于一起网络攻击 ，但并没有细说 。
Talos团队日后发明了这次攻击中使用到的样本并举行了剖析 。现在无法确认主理方系统是怎样受到熏染的 。样本批注攻击者并不是想窃守信息而是要滋扰此次冬奥会的顺遂举行 。样天职析只体现出了破损的功效 ，并没有关于信息窃取的内容 。该样本通过删除卷影副本和运动日志等手段破损系统 ，这与之前的BadRabbit和Nyetya（NotPetya）类似 。
随后在2月28日 ，Talos再次发出一则博客 ，主要体现攻击者身份无法准确确定 ，同时也希望不要盲目下结论 。样本使用了许多要领疑惑和误导剖析者 ，攻击者反而会使用第三方的这些过失的判断来更好的隐藏自身 。
攻击流程
“Olympic destroyer”是一组打包在一个exe可执行文件内的恶意样本集 ，由凭证窃取�？椤⒋莼倨髂？榧罢钡� ，用于横向撒播的PsExec�？樽槌� 。样本被运行后先通过凭证窃取�？槿〉帽净仙牡闹种稚习镀局� ，团结自身内部硬编码的上岸凭证 ，使用PsExec举行内网撒播 。之后 ，样本释放并执行摧毁器�？� ，对所有正在运行的系统服务实验禁用 ，并且删除共享及外地目录下的所有可写文件 ，同时删除卷影副本及种种系统日志信息避免用户恢复文件 ，最后样本将关闭系统 。以上操作将导致被熏染系统离线、爆发系统过失或者不可正常运转 ，将影响种种依赖于在线系统完成的营业 。
攻击溯源
攻击者通过使用其他攻击者的代码或特征来疑惑剖析职员 ，转移视线 ，挣脱指控 。现在样本中保存的线索指向以下几个组织：
该组织当初攻击孟加拉共和国的SWIFT银行系统时 ，命名文件的方法为：evtdiag.exeevtsys.exe和evtchk.bat（凭证BAE System） 。
此次样本中使用了：%programdata%evtchk.txt 。
另外 ，样本和之前Bluenoroff的代码逻辑相似 ，但由于文件名都已经宣布于众 ，谁都可以使用 ，无法依附这些特征确认攻击者身份 。攻击者极有可能是使用这些显着的特征 ，疑惑剖析职员 ，使其做蜕化误判断 。
Intezer Labs体现此次样本与之前APT3 和APT10的攻击使用了相似的代码 。冬奥会样本与之前APT3和APT10使用的一种工具有18.5%的相似度 。然而APT3使用的工具是基于一款开源工具Mimikatz ，以是相似度并不可说明什么问题 。Intezer Labs还指出冬奥会样本使用了和APT10类似的AES密钥天生算法 ，然而这种算法只有APT10用过 ，这可能是攻击者疏忽的一个较量主要的线索 ，可以用来判断其身份 。
使用Mimikatz编写的偷取用户凭证的代码在Neytya(NotPetya)中也泛起过 。同时 ，该样本也和Notpetya一样 ，通过滥用正当的PsExec和WMI来举行撒播 ，并且使用一条特定的管道（pipe）来发送偷取的凭证 。可是该样本并没有像NotPetya一样使用永恒之蓝（EternalBlue）和永恒浪漫（EternalRomance）举行撒播 ，但在其代码中仍然遗留了关于SMB误差的痕迹 。
结论
纯粹的凭证样本逆向剖析 ，很难溯源和确认攻击者身份 。攻击者很显着具备一定的实力 ，使用一些细腻的信息来误导研究职员 ，使得他们自身身份难以被确认 。由于开源工具的利便和可靠性 ，因此差别攻击之间使用的类似代码很有可能是用来误导剖析职员的 。在这个信息撒播及其迅速的时代 ，过失的判断结论很可能给了攻击者绝佳的隐藏时机 ，因此看待溯源问题应该越发审慎 。
声 明
本清静通告仅用来形貌可能保存的清静问题 ，九游老哥科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，九游老哥科技以及清静通告作者不为此肩负任何责任 。九游老哥科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容 。未经九游老哥科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的 。
