新闻链接：f33K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4y4W2j5$3c8J5i4K6u0W2j5$3!0E0i4K6u0r3k6r3W2J5M7#2)9J5c8U0f1#2z5o6W2Q4x3X3g2Z5N6r3@1`.
新闻时间：2013.9.30
新闻正文：
近日，卡巴斯基实验室的研究人员发布报告，宣布发现一支专门发起APT攻击的高端黑客组织，该组织在2011年开始对日本以及韩国的政府机构、防务公司发起了APT攻击。
　　卡巴斯基专家小组称，该组织成员来自世界各地，每个成员都具有牛逼的技术，能够发起复杂的攻击。卡巴实验室研究主任Costin Raiu在接受路透社采访时候告诉记者，该组织非常专业，并且每次攻击都签订相应合同，能够履行合同中的要求，严格遵守合同制度。研究人员在恶意软件的c&c服务器样本中发现了Icefog的字样，C&C的软件被命名为“三尖刀”。
　　Icefog组织主要目标是针对政府和军事机构进行APT攻击，渗透他们的网络中来窃取敏感数据，如F-16战斗机使用的雷达干扰系统、F-15的抬头显示器等，目前已知到受到Icefog组织攻击的机构如电信运营商、卫星运营商、国防承包商等，其中典型的就是Selectron Industrial，该公司专门为韩国、日本等国的国防工业提供产品数据。
　　卡巴斯基发布了一份关于Icefog的详细报告，研究人员分析了恶意软件的c&c服务器中相关信息，了解到攻击者所使用的技术，确定了一些受害者以及收集到的信息，根据分析结果得出的IP，得出下面的受害地区饼状图，排名前三为中国、日本、韩国。
　　另外，Icefog组织常用的手段是利用社会工程学技巧来欺骗受害者，比如网络钓鱼，在攻击者使用特制的具有诱惑性的文件发给受害者。

　　攻击者利用的exp有：

　　CVE-2012-1856

　　MSCOMCTL.OCX内通用控件TabStrip ActiveX控件在实现上存在错误，通过特制的文档和Web页触发系统状态破坏，可被利用破坏内存，导致执行任意代码。更多查看这里。

　　CVE-2012-0158

　　MSCOMCTL.OCX远程代码执行漏洞。

　　CVE-2013-0422

　　CVE-2013-0422是一个存在于浏览器Java插件中的漏洞，利用了Oracle JRE7环境中的com.sun.jmx.mbeanserver.MBeanInstantiator.findClass方法中存在的漏洞使得黑客可以关闭Java Security Manager执行任意java代码。

　　CVE-2012-1723

　　Oracle Java SE (subcomponent: Hotspot)中的Java Runtime Environment组件在实现上存在安全漏洞，可允许远程未验证的攻击者影响。
等
　　Icefog团队擅长收集用户的敏感信息、文件、公司发展蓝图、邮件帐户等，并且使用一个特制的后门工具包-Fucobha，其中包含了Microsoft Windows和Mac OS X的攻击脚本。在2012年年底的时候，Icefog团队开始在网络发布Mac OS X恶意软件，如9d7K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3u0T1M7#2)9J5k6i4m8U0j5X3g2@1j5g2)9J5k6h3y4G2L8g2)9J5c8X3k6G2M7Y4g2E0i4K6u0W2M7r3S2H3i4K6y4r3L8h3!0V1i4K6y4p5N6X3W2W2N6%4c8Z5M7X3g2S2k6q4)9J5y4Y4c8A6k6q4)9K6c8o6p5I4y4e0M7&6y4o6c8Q4x3U0k6H3j5h3N6W2i4K6y4p5x3g2)9J5x3%4m8A6k6o6x3H3x3e0l9&6z5o6M7H3i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1#2i4@1t1&6i4@1t1$3i4@1f1@1i4@1t1^5i4K6V1@1i4@1f1#2i4K6W2o6i4@1p5^5i4@1f1@1i4@1t1^5i4@1q4p5i4@1f1#2i4K6W2n7i4@1u0p5i4@1f1#2i4@1u0q4i4K6R3^5i4@1f1#2i4@1p5@1i4K6W2m8b7V1u0e0i4@1f1#2i4K6S2r3i4K6V1I4i4@1f1#2i4@1t1^5i4K6R3K6i4@1f1@1i4@1u0m8i4K6R3$3i4@1f1%4i4@1t1I4i4@1u0n7i4@1f1@1i4@1u0o6i4@1u0o6i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1$3i4K6R3I4i4@1t1$3i4@1f1$3i4K6R3@1i4K6S2r3i4@1f1^5i4@1u0p5i4@1q4r3i4@1f1@1i4@1u0n7i4@1t1$3i4@1f1K6i4K6R3H3i4K6R3J5
　　传统的APT网络间谍团体，往往成员比较多，渗透的时候喜欢隐藏在服务器几个月或者几年，而Icefog似乎与他们有所不同，没有复杂的流程，讲究敏捷性渗透，人数非常少，但都是精英，该组织遵守一个口号“拿到就闪”，获得了需要的数据之后，立刻销毁相关信息，撤离该服务器，尽量减少被发现的几率。并且他们非常清楚他们需要什么，往往只需要看到文件名就确定该文件是否需要，并且立刻转移到C&C服务器，真可谓火眼金睛，一眼就能看出你啥罩杯。

　　除了中国、日本、韩国之外，其他国家比如美国、澳大利亚、加拿大、英国、意大利、德国、奥地利、新加坡、白俄罗斯、马来西亚也留下了该组织的踪迹。

[培训]科锐逆向工程师培训第53期2025年7月8日开班！