图 4：FIN4发给一位高管的网络钓鱼邮件
确定目标后，FIN4通常在窃取的Office文档中嵌入VBA宏。嵌入的宏显示一个模仿Windows身份验证提示的对话框，让用户输入自己的凭证。这些凭证被发送至该组织控制的服务器，这样，FIN4就能够劫持该用户的电子邮件帐户了。FIN4也会发送高度定制的电子邮件，包括收件人了解的事情或感兴趣的未决交易。在一些情况下，FIN4会在网络钓鱼邮件中附上伪造的OWA登录页面链接（图4）。对于Microsoft Office禁用VBA宏的组织来说，这种方法是很有用的。
FIN4的社会工程方法
FIN4了解他们的目标。其鱼叉式网络钓鱼邮件似乎由英语为母语的人士编写，而且熟悉投资术语和上市公司的内部运作。FIN4的钓鱼邮件经常涉及股东和公众披露的问题。
图4显示了该组织大力针对非法公众披露的问题，特别是在行政无能和补偿问题。FIN4劫持的一家上市公司的邮件帐户的邮件中就包含了若干关键词：“有关未决交易的机密信息”的“披露”。这些是上市公司的关键问题，它们严格监管敏感商业信息的泄露。
图5：一般FIN4诱饵文件
虽然FIN4的很多诱饵文件是以前窃取的机密公司文件，但是该组织偶尔也使用投资界感兴趣的一般诱饵文件（图5）。
FIN4还利用受害者收件箱中现有的电子邮件线程来传播其武器化的文档。我们发现攻击者无缝注入电子邮件线程中。用户难以区分先前被攻击的电子邮件帐户发送的FIN4电子邮件和合法邮件。攻击者还会抄送给所有收件人，使收件人更难区分恶意电子邮件。
隐蔽性
在一些调查中， FIN4针对商业交易所涉及的各方参与者，包括律师事务所、咨询公司和上市公司。在一个案例中，FIN4利用一家咨询公司（“咨询公司A”）的电子邮件帐户，收集咨询公司A的客户（“上市公司A”）的潜在收购的数据。
FIN4从被感染的咨询公司A的邮件帐户向另一家咨询公司（“咨询公司B”，该公司也代表上市公司A）发送鱼叉式网络钓鱼电子邮件。FIN4使用SEC（美国证券交易委员会）备案文件作为诱饵。可能的收购消息被公布后，上市公司A的股票价格就会显著波动。FIN4很可能利用内部信息在股价波动中获利。
图 6：过滤邮件的Outlook规则
规避检测
FIN4在受害者的MicrosoftOutlook帐户中创建了一条规则，能够自动删除任何包含诸如“黑客攻击”、“网络钓鱼”、“恶意软件”等（图6）关键字的电子邮件。该组织很可能利用这些规则防止受害者从预期目标接收关于其电子邮件帐户被攻击的回复，而且也能在受害组织检测到恶意活动之前为FIN4赢得时间。
结论
如果FIN4的活动确实是一项旨在获取市场动态信息的长期活动的一部分，那么这就不是网络入侵第一次在内幕交易案中发挥作用了。然而，FIN4的行动规模、超过100家上市公司的目标，以及攻击关键人士的电子邮件的战术，使得该组织异常引人注意。
我们对FIN4的了解仅限于网络行动，所以我们不能肯定获得内幕信息后发生了什么情况。我们可以说的是，FIN4的网络活动必须获得足够的利益，使这些行动值得持续一年多。事实上，当我们完成该报告时，FIN4仍然在不断地攻击新的受害者。
附录：战术
FIN4采用了简单而有效的方法，通过鱼叉式网络钓鱼电子邮件来收集用户凭证。他们利用VBA宏向现有的和合法公司文件嵌入恶意代码，向每一个Microsoft Word或Excel文档嵌入恶意宏，提示用户输入他们的Outlook凭证。我们也发现该组织在邮件中附上伪造的OWA登录页面，旨在窃取用户的凭证，但最近的几个月我们没有发现这种战术。
在合法文档中嵌入VBA宏
嵌入的VBA宏由一个典型的 “Module1”模块和被称“UserForm1”和“UserLoginForm”的用户窗口。Module1中的代码包含与C2服务器进行通信所需的信息（图7）。
图 7：用于最近攻击活动的“Module1”示例
图8：“UserForm1“及其代码示例
用户窗口包含用户凭证提示的代码和高度指示攻击目标的行动代码。行动代码通常针对特定的目标公司或其他相关公司定制；而行动代码可能代表目标人士的角色，例如SCIENTISTS_AND_RESEARCH 或CEO_CFO_COO_CORPDEV。目前为止，我们已经确定了超过70个独特的行动代码。行动代码连同受害者的用户名和密码被发送到C2服务器，如图8所示。
VBA宏打开的许多伪造Outlook窗口包含目标公司的徽标，以便显得合法。下面的图9代表了一般的弹出窗口，没有公司的具体信息。只有在输入凭证后，文档才会予以显示。
图 9：提示输入用户凭据的恶意对话框
图10：包含用户凭证的POST请求
网络和基础设施
用户在用户名和密码字段输入数据之后，该数据就会通过POST请求（图10）发送到C2服务器。然后，FIN4收集到的凭证登陆受害者的电子邮件帐户。除了获得受害人的私人通信，FIN4还利用这个被感染的帐户向公司内外的其他目标发送恶意文件。该报告发布时，该组织仍然活跃，最近使用域名junomaat81[.]us和lifehealthsanfrancisco2015[.]com作为C2。
FIN4似乎严重依赖于Tor软件（Tor能够加密互联网流量，并通过服务器世界各地的服务器进行路由，从而确保用户匿名浏览互联网），我们发现攻击者获取用户凭证后使用Tor登录受害者的电子邮件帐户。我们至少发现了攻击者所使用的两个用户代理，当用户代理与始发Tor IP地址配对后，可以用于识别网络日志中的潜在可疑OWA活动。
图11：FIN4用户代理
|
|
| lifehealthsanfrancisco2015[.]com |
| |
| |
| |
|
|
我们已经确定了攻击者所注册的9个C2域名。2013年年底和2014年年初的一些活动貌似使用了一些被感染的合法域名。然而，在最近的几个月中，我们还没有发现攻击者使用被感染合法域名的迹象。
网络防御者可以做什么？
FIN4的战术相对简单（鱼叉式网络钓鱼、窃取有效凭证、不在目标机器上安装恶意软件），使得他们的入侵活动难以察觉。但是一些基本的安全措施可以帮助防御攻击。默认Microsoft Office禁用VBA宏和阻断表1中列出的域名将有助于防止FIN4的活动。此外，对OWA和任何其他远程访问机制采用双因素认证可以防止攻击者成功利用被窃取的凭证。如果怀疑遭受了攻击，企业还可以检查其网络日志，即已知Tor出口节点的OWA登录。通常情况下，合法用户不使用Tor来访问电子邮件。虽然没有定论，如果与该组织的已知目标相匹配，Tor出口节点的访问可以作为该组织非法登录的一个信标。
英文原文报告下载：
Hacking the Street - FIN4 Likely Playing the Market.pdf
(5.55 MB, 下载次数: 37)
发表于 2015-7-24 15:03
