​10个“一战成名”的超强黑客组织

10个“一战成名”的超强黑客组织

如今的黑客

正在开发越来越复杂的网络间谍工具

获取的经济价值也高达数百万美元

安全牛（aqniu-wx）翻译了一篇国际安全论坛的十大黑客组织名录

原文：ccccccc/hexsih5x0ca.html    >

里面罗列的是兼具创造性和危险性的网络间谍和网络犯罪组织

小李飞哥收录如下：

01

Lazarus（又名Hidden Cobra、Guardians of Peace、APT38、Whois Team、Zinc）

有国家背景的黑客组织Lazarus

因最大的网络抢劫而闻名

2016年2月它对孟加拉国银行的攻击

盗窃了超过1亿美元

在过去十年

Lazarus在暗中进行无数次行动

针对韩国网站的DDoS攻击

针对韩国的金融组织和基础设施

2014年攻击索尼影业

2017年推出WannaCry勒索软件

卡巴斯基安全研究员

德米特里·加洛夫(Dmitry Galov)表示

这个团队拥有无限的资源和非常好的社会工程技能

在持续的COVID-19病毒流行期间

制药公司成为Lazarus当时的目标之一

据微软称

Lazarus发送了网络钓鱼电子邮件

其中包含“虚构的职位描述”

诱使他们的目标点击恶意链接

它是一个国家资助的团体

但他们的目标不是州政府

而是企业

或者一些或许是间谍想要的信息访问权的目标人物

02

UNC2452（又名Dark Halo、Nobelium、SilverFish、StellarParticle）

被怀疑是国与国之间博弈的黑客组织

2020年

成千上万的组织

像五角大楼、英国政府、欧洲议会

以及世界各地的几个政府机构和公司

成了供应链攻击的受害者

攻击者是通过被害者下载SolarWindws Orion被恶意注入的软件进入

网络间谍活动活跃了最少9个月

在2020年12月8日被发现

安全公司FireEye宣布

它是一名国家资助的攻击者

发生的实情是

攻击比最初想象的要广泛得多

包括微软云服务也被攻击了

利用的是微软和VMware产品中的几个缺陷

“UNC2452

是我们跟踪的最先进、

纪律严明

且难以捉摸的

威胁行为者之一。”

——Mandiant Threat Intelligence(FireEye)

高级副总裁兼首席技术官Charles Carmakal

美国国家安全局、

联邦调查局

和其他一些美国机构表示

这次行动是由俄罗斯赞助的

美国实施了制裁

然而

卡巴斯基研究人员因为细节几个代码片段

将这次攻击与讲俄语的团伙

Turla(Snake,Uroburos)联系起来

该团伙的目标是欧洲和美国的政府和外交官

03

Equation Group（又称EQGRP，Housefly，Remsec）

2000年代初开始运作，甚至可能更早

Equation Group得名

是因为它强大的加密和高级混淆方法

该组织的目标

是政府、军队和外交组织、金融机构

以及在电信、航空航天、能源、石油

和天然气、媒体和运输领域运营的公司

许多受害者

来自伊朗、俄罗斯、巴基斯坦、阿富汗、印度、叙利亚和马里

Equation Group最强大的工具之一

可以对

包括希捷、西部数据、东芝和IBM在内的

各种制造商的硬盘固件重新编程

然后创建一个

可以在擦除和重新格式化后仍然存在的

秘密存储库

04

Carbanak（又名Anunak，Cobalt，与FIN7重叠）

可能位于乌克兰的黑客公司，目标包括主要位于俄罗斯、美国、德国和中国的金融公司

2013年

几家金融机构遭到黑客攻击

攻击者发送网络钓鱼电子邮件渗透组织

然后使用各种工具

访问可用于提取数据或金钱的PC或服务器

这次攻击的网络犯罪团伙Carbanak

经常在受害者的系统中潜伏数月不被发现

一名受害者因ATM欺诈

损失了730万美元

而另一名受害者

在其网上银行平台被攻击了后

损失了1000万美元

早在2014年

几家安全公司就对Carbanak进行了调查

得出了不同的结论：

“Carbanak

似乎是使用相同恶意软件的两个不同群体

一组主要关注金融机构

（卡巴斯基对这一组进行了大量调查）

而另一组则更多地关注零售组织。”

——

卡巴斯基高级安全研究员Ariel Jungheit

2018年3月

欧洲刑警组织宣布

逮捕了Carbanak集团主谋

然而

今天

许多属于该团伙的网络犯罪分子仍然活跃

一些网络安全专家认为

在这次逮捕之后

FIN7的战术、技术

和程序并未发生重大转变

05

沙虫（代号还有，Telebots、Electrum、Voodoo Bear、Iron Viking）

过去十年中一些最具破坏性事件的嫌疑组织

俄罗斯网络间谍组织

被怀疑参与的事件：

2015年和2016年乌克兰的停电

2017年NotPetya供应链攻击

2018平昌冬奥会俄罗斯运动员被禁

以及与多个国家的选举有关的行动：

如2016年的美国、2017年的法国和2019年的格鲁吉亚

“2019年10月

我们非常有信心地评估

俄罗斯军事情报GRU部门74455

赞助了沙虫活动。”

——

Mandiant Threat Intelligence(FireEye)

副总裁John Hultquist

06

Evil Corp（又名Indrik Spider）

这个讲俄语的组织

是有史以来最危险的银行木马之一

Dridex（也称为Cridex或Bugat）的创建者

Evil Corp的名字来源于

“Mr.Robot”系列

该组织在2020年

袭击了佳明（高端运动腕表）和其他数十家公司

联邦调查局估计

该团伙在过去十年

盗窃不少于1亿美元

2019年

美国司法部对该团伙的两名知名成员

Maksim Yakubets和Igor Turashev

提出了多项刑事指控

包括串谋欺诈和电汇欺诈

但这并没有阻止该团伙继续其活动

“尽管对与该组织有关的个人

提出了积极的起诉并对其业务进行了制裁

但该行为继续蓬勃发展。”

——

CrowdStrike Intelligence

高级副总裁Adam Meyers

07

Fancy Bear（又名APT28，Sofacy，Sednit，Strontium）

一个讲俄语的黑客组织

目标是部分政府和军事组织

和能源、媒体公司

受害者可能包括

德国挪威议会、白宫、北约和法国电视台TV5。

Fancy Bear最出名的是

在2016年

闯入民主党全国委员会和希拉里克林顿的竞选

据称影响了总统选举的结果

CrowdStrike（全球知名的安全公司）发现了

另一个讲俄语的组织Cozy Bear

也在民主党的计算机网络中独立窃取密码

然而，两只熊并不知道彼此

Fancy Bear通常在周一和周五

发送鱼叉式网络钓鱼消息来捕获受害者

08

REvil（其他名称：Sodinokibi，Pinchy Spider—related to GandCrab）

总部设在俄语世界，2019年4月首次出现

Revil名字来自生化危机电影和视频游戏

他们出售丰富的勒索软件

受害者包括宏碁、本田、Travelex

和杰克丹尼威士忌的制造商Brown-Forman

今年截至目前（2021年6月）最高的赎金出自REvil

他们活跃在网络犯罪论坛上

与一些机构合作分发勒索软件

这些打前站的机构赚取赎金的60%到75%

“他们一直活跃在网络犯罪论坛

连计划中的所有重大更新

和组织的新职位

他们都在网络犯罪论坛上告知”

——

卡巴斯基高级安全研究员Ariel Jungheit

09

Wizard Spider

主要向某些商业集团出售恶意软件

某商业银行的恶意软件TrickBot

让Wizard Spider一战成名

“Wizard Spider的恶意软件

并未在犯罪论坛上公开宣传

表明它们可能只向

自己信任的犯罪集团出售访问权限或与之合作。”

——

CrowdStrike Intelligence的迈耶斯

Wizard Spider大多数情况会进行

非常有针对性、高回报的勒索软件活动

根据其目标的价值，计算它要求的赎金

而且似乎没有任何行业是禁区

他们曾与Ryuk和Conti一起

袭击了美国的数十家医疗机构

来自世界不同地区的医院也受到了影响

10

Bonus Winnti（其他代号有：Barium，Double Dragon，Wicked Panda，APT41，Lead，Bronze Atlas）

以医疗保健和技术公司为目标

经常窃取知识产权

他们业务范围广阔：

网络间谍活动

攻击视频游戏行业

操纵虚拟货币

“在观察的一年内

APT41入侵了数百个系统

并使用了近150种独特的恶意软件

APT41还可以隐藏其恶意软件

使它们在选定的受害者系统上持久存在。”

——

Mandiant Threat Intelligence(FireEye)

副总裁John Hultquist

讨 论

TAO LUN

猜猜看，

一个恶意软件可以潜伏在系统最久多长时间？