安全研究團隊在線發布部分感染 Sunburst 惡意軟件的組織名單

周末，多個安全研究人員和研究團隊發布了從100到280個組織的列表，這些組織安裝了SolarWinds Orion平臺的木馬版，其內部系統感染了Sunburst惡意軟件。

該列表包括科技公司，地方政府，大學，醫院，銀行和電信提供商的名稱。

此列表中最大的公司包括Cisco，SAP，Intel，Cox Communications，Deloitte，Nvidia，Fujitsu，Belkin，Amerisafe，Lukoil，Rakuten，Check Point，Optimizely，Digital Reach和Digital Sense。

世界最大的半導體公司之一聯發科也受到了影響。不過，安全研究人員尚未100％將其列入名單。

CRACKING THE SUNBURST SUBDOMAIN MYSTERIES

安全研究人員編制這些列表的方式是對Sunburst（又稱Solorigate）惡意軟件進行反向工程。

對于ZDNet讀者首次了解Sunburst惡意軟件，該惡意軟件被注入到2020年3月至2020年6月間發布的SolarWinds Orion應用程序的更新中。

被誘騙的更新將Sunburst惡意軟件植入了許多公司和政府組織的內部網絡深處，這些公司依靠Orion應用程序來監視和保留內部IT系統的清單。

根據微軟，FireEye，邁克菲，賽門鐵克，卡巴斯基和美國網絡安全與基礎設施安全局（CISA）上周發布的深入研究報告 ，該惡意軟件將收集有關受害公司網絡的信息，請等待12到14天，然后將數據發送到遠程命令和控制服務器（C＆C）。

黑客（據信是俄羅斯政府資助的一個團體）然后將分析他們收到的數據，并僅對情報收集目標感興趣的網絡進行升級攻擊。

圖片：微軟

上周，SolarWinds承認了這一黑客行為，并表示，基于內部遙測，其300,000名客戶中的近 18,000 位下載了包含Sunburst惡意軟件的Orion平臺版本。

最初，人們認為只有SolarWinds才能識別并通知所有受影響的組織。但是，隨著安全研究人員不斷分析Sunburst的內部工作原理，他們還發現了該惡意軟件操作中的一些怪癖，即該惡意軟件對C＆C服務器執行ping操作的方式。

根據上周發布的研究，Sunburst會將從受感染網絡收集的數據發送到每個受害者唯一的C＆C服務器URL。

這個唯一的URL是avsvmcloud [.] com的子域，包含四個部分，其中第一部分是看起來很隨機的字符串。但是安全研究人員說，這個字符串實際上并不是唯一的，但包含受害人本地網絡域的編碼名稱。

圖片：微軟

自上周以來，幾家安全公司和獨立研究人員一直在篩選歷史Web流量和被動DNS數據，以收集有關進入avsvmcloud [.] com域的流量的信息，破解子域，然后追蹤安裝了特洛伊木馬風云的公司。應用程序-并使Sunburst惡意軟件從其網絡內部傳回到攻擊者的服務器（由于Microsoft和FireEye而現在陷入困境）。

越來越多的第一階段和第二階段受害者

網絡安全公司TrueSec和Prevasio，安全研究員Dewan Chowdhury以及中國安全公司QiAnXin都是現在已經發布了受Sunburst感染的組織或用于解碼avsvmcloud [.] com子域的工具的列表。

像思科和英特爾這樣的公司已經在周末接受記者采訪時正式確認他們已被感染。兩家公司都表示，他們沒有發現證據表明黑客升級了在其系統上提供第二階段有效載荷的訪問權限。

VMWare 和 Microsoft 的名字不在這些公開名單中，它們還確認他們在其內部網絡上安裝了木馬Orion更新，但還指定他們也沒有發現攻擊者升級的任何證據。

但是，黑客的確將其對某些目標網絡的攻擊升級了。在上周五的一次采訪中，FireEye的首席執行官Kevin Mandia在調查其內部系統漏洞時發現了SolarWinds黑客，他說，盡管感染了將近18,000個網絡，但基于FireEye的能見度，黑客僅將訪問權限升級到了約50個目標。

在周五也發布的另一份報告中，微軟還表示，它確定了自己的40位客戶，這些客戶安裝了受感染的Orion應用程序，并且攻擊者將訪問權限升級了。

“升級”通常是在avsvmcloud [。] com C＆C服務器以非常特定的DNS響應（其中包含特殊的CNAME字段）回復受感染的公司時發生的。

這個特殊的DNS CNAME字段包含第二臺C＆C服務器的位置，Sunburst惡意軟件可從該服務器獲取其他命令，有時還可以下載其他惡意軟件。

當前，唯一一家使黑客升級訪問權限的知名公司是FireEye，其漏洞響應有助于發現整個SolarWinds黑客。

兩者之間的區別（簡單的森伯斯特感染和升級）對于事件響應者至關重要。在第一種情況下，他們可能只需要刪除Sunburst惡意軟件，而在第二種情況下，他們可能需要查看日志，以識別黑客升級到哪些內部系統以及從其網絡中竊取了什么數據。

數名安全研究人員今天告訴ZDNet，網絡安全社區的很大一部分正在與內容交付網絡，互聯網服務提供商和其他互聯網公司合作，以收集被動DNS數據并跟蹤往返 avsvmcloud[.]com 域的流量。為了確定攻擊者升級訪問權限的其他受害者。

下表是安全公司Truesec匯編的表格，其中包含一些SolarWinds受害者的已解碼內部域名。