FireEye红队工具失窃事件分析和思考

时间： 2020年12月10日来源：安天CERT

1.FireEye红队工具被窃事件概述

2020年12月8日，火眼公司（FireEye）在其官方网站发布公告称^[1]，“高度复杂的威胁行动者”攻击了其内网并窃取了用于测试客户网络的红队（Red Team）工具。红队机制是一组经过组织和授权的安全专家，模仿潜在的攻击者并使用工具对企业进行攻击，以评估企业的检测和响应能力以及系统的安全状况。FireEye以高级网络威胁防护服务为自身定位的美国企业，为其客户提供红队工具，实现可以模拟多个威胁行为体活动以进行安全测试评估。

FireEye表示，此次事件是由具有一流攻击能力的国家发动的攻击。攻击者专门制定了针对FireEye的攻击手段，使用了一些之前从未见过的新技巧。攻击者在战术方面受过高度训练，执行时纪律严明且专注，并使用对抗安全工具和取证检查的方法执行隐蔽的攻击行动。被窃取的红队工具的范围从用于自动化侦察的简单脚本到类似于CobaltStrike和Metasploit等公开可用技术的整个框架。FireEye声称泄漏工具不包含0day漏洞利用工具，被盗取的部分红队工具此前已发布给社区，或已经在其开源虚拟机测试套件CommandoVM中^[2]。

图 1-1 CommandoVM的构建（引自Freebuf）

FireEye声称，目前正在与联邦调查局和包括微软在内的其他主要合作伙伴积极展开调查，且尚未看到任何攻击者泄露或使用这些被盗取的红队工具。但为了防止潜在攻击者利用被窃取的红队工具进行网络攻击，已针对Snort、Yara、ClamAV和OpenIOC等公开可用技术在GitHub上发布了300多种对策，并发布了需要更新补丁的CVE列表^[3]。公布的红队工具检测规则中分为60个大类，304个小类。从检测规则的名称上看，对应的红队工具除1个macOS系统后门工具和2个Linux木马外均应用于Windows系统。规则文件主要采用了Snort、Yara、ClamAV和OpenIOC四种开源安全检测框架规则编写，其中包括29个Snort规则文件、164个Yara规则文件、23个ClamAV规则文件、88个OpenIOC规则文件^[4]。

2.从威胁框架视角对失窃工具的能力评估

FireEye公司被窃的相关工具根据名称主要分为APT工具、后门、黑客工具、DLL劫持工具等，既有脚本和二进制工具，也有相关利用框架。

尽管FireEye这些工具不涉及0day漏洞，但基于FireEye高水平的红队能力，在面对脆弱的单点系统和难以全面有效修复的漏洞的系统时，其依然是可以高效利用的。

安天CERT梳理本次被窃密工具对应的ATT&CK能力映射图谱，可以看出本批工具可以实现的战术动作覆盖了ATT&CK威胁框架12个战术阶段中的11个，可以实现46个战术动作，在目标未打全对应补丁的情况下，有较强的目标杀伤力：

图 2-1 工具对应的ATT&CK映射图谱

ATT&CK阶段/类别	具体行为	注释
执行	利用Mshta	使用HTA脚本
	利用主机软件漏洞	利用主机软件漏洞执行恶意代码
	利用PowerShell	使用PowerShell脚本
	利用计划任务	利用计划任务在适当时间启动恶意代码
	使用脚本	使用PowerShell脚本
	利用系统中的第三方软件	利用系统中的第三方软件加载恶意代码
	利用Windows管理规范WMI	使用WMI执行
持久化	DLL搜索顺序劫持	将恶意DLL放置在系统DLL搜索顺序靠前的相关路径中
	利用Hook	利用Hook实现长久驻留
	新建服务	新建以恶意代码为载荷的服务，实现持久化
	端口监控	利用端口监控，持续监听
	利用计划任务	利用计划任务实现恶意代码长久驻留
	修改快捷方式	修快捷方式的加载路径
提权	操纵访问令牌	获取访问令牌，实现权限提升
	DLL搜索顺序劫持	针对系统高权限程序，将恶意DLL放置在该程序DLL搜索顺序靠前的相关路径中
	利用漏洞提权	利用系统漏洞进行权限提升
	利用Hook	利用Hook对恶意进程进行提取
	新建服务	新建服务，利用服务启动提升权限
	进程注入	将恶意代码注入高权限进程中以提升权限
防御规避	操纵访问令牌	利用访问令牌，实现防御规避
	DLL搜索顺序劫持	将恶意DLL放置在系统DLL搜索顺序靠前的相关路径中
	DLL旁路加载	替换合法DLL文件
	修改注册表	修改注册表项的相关键值，实现防御规避
	利用Mshta	使用HTA脚本防御规避防护软件
	利用Regsvr32	使用Regsvr32.exe防御规避防护软件
	利用Rundll32	使用Rundll32.exe防御规避防护软件
	使用脚本	使用脚本程序防御规避防护软件
凭证访问	凭证转储	利用工具将系统凭证转储
	获取文件中的凭证	在文件系统中搜索保存密码信息的文件
	获取注册表中的凭证	在注册表中搜索密码信息
	利用Hook	利用Hook获取密码信息
	利用Keychain	利用Keychain获取凭证
发现	发现文件和目录	遍历文件和目录
	发现网络共享	查找网络共享
	发现权限组	查找权限组
	发现进程	遍历进程
	查询注册表	查找注册表项键值
横向移动	利用远程服务漏洞	利用远程服务漏洞实现非法远程访问
	利用远程桌面协议	利用远程桌面协议远程控制
	利用远程服务	利用远程服务对目标进行远程控制
命令与控制	利用远程访问工具	使用GORAT远程控制木马
	使用标准应用层协议	使用HTTP、DNS协议通信
	使用标准加密协议	使用SSL加密协议通信
	利用Web服务	利用Web服务进行通信
渗出	自动渗出数据	通过设置自动发送数据
渗出	通过C2信道回传	通过专有的传输信道回传信息

3.网络军火扩散和泄露影响历史事件的回顾

FireEye红队工具被窃是一起典型的武器级恶意代码和漏洞利用工具失窃事件。安天较早关注了网络军火的扩散和泄露问题，并进行了持续的跟踪研究。2015年5月27日安天发布APT分析报告《一例针对中国政府机构的准APT攻击中所使用的样本分析》^[5]（点击查看），即针对某国攻击组织使用Cobalt Strike对我有关部委进行攻击进行了分析曝光。并在报告中指出“我们需要提醒各方关注的是，鉴于网络攻击技术所存在的极低的复制成本的特点，当前已经存在严峻的网络军备扩散风险。”

近些年来，网络军火泄露时有发生，以下列举近几年来较为典型的事件：

Hacking Team攻击工具源代码泄露

2015年7月，安全公司HackingTeam数据被窃，多达400G数据被公之于众，包括Hacking Team RCS远程控制系统套件等各类程序源码、邮件、漏洞研究报告以及商务信息等。Hacking Team在意大利米兰注册了一家软件公司，主要向各国政府及法律机构销售入侵及监视功能的软件。其RCS远程控制系统可以监测互联网用户的通讯、解密用户的加密文件及电子邮件，记录Skype及其他VoIP通信，也可以远程激活用户的麦克风及摄像头。安天CERT负责人李柏松在2015年ISC峰会上，做了《网络安全威胁中的商业军火》对此事件进行了分享。

图 3-1 被泄露的商业木马RCS的部分功能和所支持的平台

影子经纪人泄露方程式组织的攻击工具

2016年8月，一个自称“影子经纪人”（The Shadow Brokers）的个人（或组织）声称入侵了网络间谍组织“方程式”（Equation）^[6]，并以100万比特币（当时约价值5.6亿美元）的价格，公开拍卖所掌握的方程式组织的攻击工具。“方程式组织”被认为是美国国家安全局NSA下属机构。为证明成功入侵的真实性，影子经纪人于当月13日在开源项目托管平台GitHub加密发布了这些攻击工具，并有意将其中的少量攻击工具以明文形式发布。

图 3-2 影子经纪人第一次泄露列表

影子经纪人泄露——“永恒之蓝”（Eternalblue）等系列0day漏洞攻击工具

2017年4月14日，影子经纪人（Shadow Brokers）再次曝光了Equation Group（方程式组织）使用的一批“武器级”漏洞利用工具，这批工具覆盖了Windows主流操作系统的全部版本，涉及多个开放服务端口，如下图所示进行分析梳理。而在2017年5月12日，在全球爆发的大规模“WannaCry”（中文名称魔窟）勒索软件感染事件[7]正是利用这批“网络军火”中基于445端口传播扩散的SMB漏洞——MS17-010，其被称为“永恒之蓝”（Eternalblue）漏洞。WannaCry事件对全球包括企业、医疗、电力、能源、银行、交通等多个行业均造成不同程度的影响。安天CERT在2017年4月7日发布的《2016年网络安全威胁的回顾与展望》[8]中提到“网络军火”的扩散全面降低攻击者的攻击成本和勒索模式带动的蠕虫的回潮不可避免等趋势，这一判断被一个月后流行的魔窟蠕虫所不幸证实。

图 3-3 2017年泄露的NSA网络军火装备与相关漏洞、系统版本关系图

APT34的黑客工具泄露

2019年3月，一个自称“Lab Dookhtegan”的个人（或组织）在社交软件telegram上泄露了APT34的黑客工具。其中包括PoisonFrog（远控工具）、Webmask（DNS隧道工具）、HyperShell和HighShell（WebShell），同时公布了一些APT34组织成员的照片。

图 3-4 APT34相关被窃工具

红队工具被逆向重新编译的源代码公开泄露

2020年10月31日，在GitHub 上有用户上传了名为Cobalt Strike的文件夹，是渗透测试工具Cobalt Strike 4.0通过逆向重新编译的源代码。

图 3-5 CobaltStrike GitHub库

除了Cobalt Strike4.0的源代码之外，该用户还上传了“冰蝎”动态二进制加密网站管理客户端和“哥斯拉”Shell管理工具的源代码。

图 3-6 冰蝎 GitHub库

图 3-7 哥斯拉 GitHub库

4.安天的事件响应和对抗特点

安天在第一时间启动了应急分析和响应，并依托FireEye所公布的线索在安天赛博超脑分析平台中进行了关联数据提取，结合FireEye公布的相关信息，针对安天产品客户发布了对应本次事件的“高级威胁追溯包”。

小贴士：高级威胁追溯包是安天针对安天智甲终端防御系统、探海威胁检测系统、追影威胁分析系统等产品提供的一项可订阅增值服务。安天对监测到的APT攻击活动，有针对性的输出增强型的规则、情报信标和关联信息，通过一个安天自定义的复合文件格式发布。以充分发挥安天引擎和产品能力，利用多分支冗余检测机制，有效对抗相关工具的变换。同时针对一些通用工具被某个组织加工利用后形成的特殊版本，实现特定的组织和行动标签输出，在反病毒引擎的告警名称外，提供更为丰富的信息。

从安天长期跟踪相关事件所获得的经验来看，军火级网络工具公开后再被利用时，通常会经过了免杀改造或社工构造，因此以流失武器的HASH值作为威胁情报信标，其效果通常是极为有限的，甚至是完全无效的。而从本事件来看，尽管FireEye除Hash外，也提供了Snort、Yara、ClamAV和OpenIOC相关规则，但依托开源工具进行规则匹配，其在规模化客户场景下的部署成本和使用代价都是较高的，对使用者也有较高要求。

安天AVL SDK反病毒引擎是目前国内唯一的全平台、全规则恶意代码检测引擎。安天认为，反病毒引擎是最高效精准的威胁情报驱动器。其将威胁情报的价值，从“痛苦金字塔”的HASH等简单机读信标规则，提升到有较高抗变换能力的层面，实现更强的武器/工具（Tools）的定性和指向能力。安天为战略客户开放反病毒引擎的多种规则扩展接口，使之可以转化Yara等多种开源格式规则，以及进行二进制级别的规则扩展，从而有效地发挥安天反病毒引擎在脱壳、解包、虚拟执行等深度预处理能力。同时采用黑白双控模式实现孤立可疑对象，可以全面提升恶意代码免杀的构造难度。

目前，安天全线产品包含安天智甲终端防御系统（IEP）、安天探海威胁检测系统（PTD）、安天追影威胁分析系统（PTA）均能有效检出相关流失军火。安天威胁情报客户，亦可以通过安天威胁情报综合分析平台（ATID）查询相关工具的关联信息。

图 4-1 安天智甲终端防御系统（IEP）的检测效果实测

图 4-2 安天探海威胁检测系统（PTD）的检测效果实测

5.对事件引发的思考

FBI等美方机构将对事件的怀疑引向了俄罗斯相关机构，但目前并未流传出可以进行事件归因溯源的其他信息，火眼本身在遏制工具泄露可能产生的关联影响方面是积极的，但对于事件过程则是讳莫如深的。因此以一次攻击行动来评价，很容易产生在这些攻击工具并不包含所谓高价值的0day利用工具，而认为这是一场效费比较低的攻击行动。一种可能是，这些攻击工具并非攻击者本身的目标，相对于类似敏感客户资料、产品源码等核心资料，在安全服务中所使用的工具，可能是被较多内部人员有权限获取的资源。但获得相关资源，本身或者已经到达了攻击方此次所能到达的能力极限，或者其杀伤链至此被火眼发现阻断，使相关“战果”也成为了攻击终点。另外一种可能则是，这是攻击方近乎阳谋的战略威慑。即选择美方在对抗高级威胁的支点型厂商作为打击对象，但又规避了更敏感的，易于引发冲突的政治和军事目标，旨在以有限的能力宣誓的方式达成威慑。

而从防御者的角度，仍要深入关注事件可能产生的次生影响。恶意代码、漏洞利用工具和攻击平台，包括这些工具的源代码，并不是这个时代的稀缺品。攻击者或攻击组织长期以来可在网络中搜索下载、或购买到大量成熟的攻击工具和源码，可以很容易修改、加工、定制代码，以绕过安全产品的检测。但军火级攻击装备的扩散和失窃，仍是需要高度关注的突发事件，因其可造成网络安全迅速发生攻防失衡。高能力的攻击者一般利用0day漏洞利用工具和高级恶意代码定向攻击高价值的目标，但网络军火或红队工具扩散后，工具利用有可能被迅速泛化，被用于展开大范围的撒网攻击尝试，如扩展僵尸网络或通过勒索软件、挖矿木马等方式进行大面积的价值收割。这种失控的泄露降低了攻击成本，专属定向攻击能力快速转化为普遍性的攻击能力，造成大面积的安全事件。同时，也存在另一种风险可能，即定向性攻击武器，可能被其他第三方获得后，投放到第四方，实现干扰分析猎杀的视线，导致战略误判。从早期的黑天鹅事件，到后期开始破窗效应化，使用户必须加强对此类事件的关注，并以此检验产品和服务提供方的安全能力。相关事件，并不单纯导致工具的泛化利用，例如斯诺登事件中ANT装备体系的曝光，和维基解密对CIA相关攻击装备的曝光，尽管没有到达代码和核心技术原理，但全面提高了各类威胁行为体的作业想象力。

与此同时，知名安全厂商遭遇入侵，已经接连发生。从历史上看，此前已经发生了包括著名白名单防御厂商Bit9遭遇入侵，且签名私钥被窃取事件；疑似来自以色列的情报机构利用Duqu 2.0高级恶意代码入侵卡巴斯基事件；传闻Symantec、McAfee和趋势公司被黑客组织Fxmsp入侵事件等。安全厂商既是客户的赋能者，本身也是高价值目标，自我安全防范形势日趋严峻，值得高度警惕。

FireEye在支撑美国政府全球霸权输出中扮演的角色并不为我们认同，其对中国不遗余力的抹黑更令人感到反感。但从技术对抗的角度看，其在受到入侵后，坦诚公开和快速响应的态度，以及在这一响应过程中所展示出的能力底蕴，则亦值得尊重和学习。而通过生态联动，其细粒度封堵止损，压缩攻击者活动空间的模式，也值得我国在网络安全治理时借鉴参考。

6.附录—需要更新补丁的CVE及其补丁列表

从目前获悉的事件情况及FireEye公司所公布的防护规则来判断，此次事件目前所涉及的漏洞清单以及对应的补丁链接如下：

漏洞编号	漏洞名称	漏洞对应URL连接	补丁链接
CVE-2014-1812	Windows本地提权漏洞	https://nvd.nist.gov/vuln/detail/CVE-2014-1812	https://technet.microsoft.com/library/security/ms14-025
CVE-2016-0167	Microsoft Windows Win32k权限提升漏洞	https://nvd.nist.gov/vuln/detail/CVE-2016-0167	http://technet.microsoft.com/security/bulletin/MS16-039
CVE-2017-11774	Microsoft Outlook 安全功能绕过漏洞	https://nvd.nist.gov/vuln/detail/CVE-2017-11774	https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11774
CVE-2018-13379	Fortinet Fortigate SSL VPN任意文件读取漏洞	https://nvd.nist.gov/vuln/detail/CVE-2018-13379	https://fortiguard.com/psirt/FG-IR-18-384
CVE-2018-15961	Adobe ColdFusion(可用于上传JSP web shell的任意文件上传)远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2018-15961	https://helpx.adobe.com/security/products/coldfusion/apsb18-33.html
CVE-2018-8581	Microsoft Exchange 服务器提权	https://nvd.nist.gov/vuln/detail/CVE-2018-8581	https://msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8581
CVE-2019-0604	微软Sharepoint的远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2019-0604	https://msrc.microsoft.com/update-guide/zh-CN/vulnerability/CVE-2019-0604
CVE-2019-0708	Windows远程桌面服务(RDS)的远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2019-0708	https://msrc.microsoft.com/update-guide/zh-CN/vulnerability/CVE-2019-0708
CVE-2019-11510	Pulse Secure SSL VPN远程代码执行漏洞	https://nvd.nist.gov/vuln/detail/CVE-2019-11510	https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44101
CVE-2019-11580	Atlassian Crowd远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2019-11580	https://confluence.atlassian.com/x/3ADVOQ
CVE-2019-19781	Citrix应用程序交付控制器和网关的远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2019-19781	https://support.citrix.com/article/CTX267679
CVE-2019-3398	Confluence认证远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2019-3398	https://jira.atlassian.com/browse/CONFSERVER-58102
CVE-2019-8394	Zoho ManageEngine ServiceDesk Plus任意文件上传漏洞	https://nvd.nist.gov/vuln/detail/CVE-2019-8394	https://www.manageengine.com/products/service-desk/readme.html
CVE-2020-0688	微软exchange远程命令执行漏洞	https://nvd.nist.gov/vuln/detail/CVE-2020-0688	https://msrc.microsoft.com/update-guide/zh-CN/vulnerability/CVE-2020-0688
CVE-2020-10189	ZoHo ManageEngine桌面中心的远程代码执行漏洞(RCE)	https://nvd.nist.gov/vuln/detail/CVE-2020-10189	https://www.manageengine.com/products/desktop-central/remote-code-execution-vulnerability.html
CVE-2020-1472	微软活动目录Netlogon 特权提升漏洞	https://nvd.nist.gov/vuln/detail/CVE-2020-1472	https://msrc.microsoft.com/update-guide/zh-CN/vulnerability/CVE-2020-1472