问题

如何看待印度APT黑客组织攻击我国医疗机构?

回答
近期,关于印度APT黑客组织针对我国医疗机构发起攻击的事件引起了广泛关注。作为一名深度关注网络安全和国际关系的研究者,我对这一现象有着几点看法:

首先,网络攻击的政治与国家意图。在国家间关系日益复杂敏感的背景下,APT(Advanced Persistent Threat,高级持续性威胁)黑客组织并非孤立的黑客个体,其背后往往有国家力量的支持或默许。印度APT组织攻击我国医疗机构,很难仅仅视作一起单纯的网络犯罪。更深层次的考量是,这类攻击可能带有地缘政治博弈的色彩。通过干扰我国关键基础设施,特别是与民生息息相关的医疗系统,可以对我国的社会稳定和国家运行能力造成潜在的负面影响,达到削弱竞争对手实力的目的。

其次,医疗机构成为攻击目标的原因分析。医疗机构之所以成为攻击目标,主要有以下几个方面的原因:

敏感且有价值的数据:医疗机构拥有海量的个人健康信息(PHI),包括患者的病史、诊断结果、治疗方案、基因数据、联系方式等。这些数据在黑市上具有极高的价值,可以用于身份盗窃、敲诈勒索、信息买卖等非法活动。对于某些国家而言,获取这些数据也可能用于情报收集或对我国公民进行有针对性的信息操控。
关键基础设施的脆弱性:尽管近年来我国在网络安全方面投入巨大,但医疗系统的数字化转型仍在进行中,部分老旧系统可能存在安全漏洞。同时,医疗机构的日常运营高度依赖信息系统,一旦系统被攻击导致服务中断,将直接影响到患者的救治,可能引发严重的社会恐慌和民生问题。这种“一击致命”的效果,对于攻击者而言具有较高的吸引力。
潜在的“人质”价值:通过勒索软件攻击,黑客可以加密医疗数据,并要求高额赎金才能恢复。在生命攸关的医疗领域,医院往往面临巨大的压力,可能被迫支付赎金以确保服务的连续性,这为攻击者带来了直接的经济利益。
社会影响与舆论操纵:大规模的医疗系统瘫痪,不仅会直接损害患者利益,还会引发公众对医疗系统安全性的广泛担忧,进而影响社会信任和稳定。攻击者可能以此为手段,制造负面舆论,扰乱社会秩序。

第三,攻击手法与技术特点的推测。虽然具体的技术细节需要专业的安全机构进行深入分析,但根据APT攻击的普遍模式,我们可以推测其可能采取以下手段:

鱼叉式网络钓鱼与社会工程学:攻击者可能会精心制作针对医疗机构内部人员的钓鱼邮件或消息,诱导其点击恶意链接或下载附件,从而植入恶意软件。
利用系统及软件漏洞:一旦获得初步立足点,攻击者会扫描网络环境,寻找未打补丁的系统、易受攻击的应用程序接口(API)或配置不当的设备,进行横向渗透。
供应链攻击:攻击者可能选择攻击为医疗机构提供服务的第三方软件供应商或硬件制造商,通过控制其产品或服务来间接入侵目标网络。
定制化恶意软件与高级规避技术:APT组织通常拥有自主研发的恶意软件,并会采用多种技术来规避传统的安全检测,如代码混淆、反调试、驻留检测等,使其攻击行为难以被发现。
数据窃取与破坏并存:攻击的目标可能是纯粹的数据窃取,也可能是为了造成服务中断而进行的破坏性攻击,例如通过勒索软件锁定系统。

第四,应对与反制策略。面对此类国家背景下的复杂网络威胁,我国需要采取多层次、全方位的应对策略:

提升网络安全防护能力:加强医疗机构信息系统的安全防护建设,包括但不限于:部署先进的入侵检测/防御系统(IDS/IPS)、防火墙、终端安全防护(EDR)、数据加密、访问控制等。定期进行安全漏洞扫描和渗透测试,及时修复已知漏洞。
加强网络安全意识培训:持续对医疗机构内部员工进行网络安全意识培训,提高其识别和防范钓鱼邮件、恶意链接等威胁的能力。落实“人”这一最关键的安全环节。
建立威胁情报共享机制:加强国家层面的网络安全威胁情报收集、分析和共享工作,特别是与医疗行业的安全防护机构建立紧密联系,及时通报和预警相关威胁。
提升应急响应与恢复能力:制定和完善网络安全事件应急预案,明确责任分工,定期进行演练。一旦发生安全事件,能够快速定位、隔离、清除威胁,并迅速恢复业务系统。
加强国际合作与法律制裁:在遵守国际法的前提下,通过外交渠道表达关切,并在证据确凿的情况下,考虑采取反制措施。同时,要不断完善网络安全法律法规,为打击网络犯罪提供法律支撑。
推动网络安全技术自主创新:摆脱对外部技术依赖,发展自主可控的网络安全技术和产品,构建更坚实的安全防护体系。

总而言之,印度APT组织对我国医疗机构的攻击,不仅是对我国网络安全防线的严峻挑战,更是国家间博弈在网络空间的一次体现。我们必须以高度的警惕性和前瞻性,不断加强自身网络安全能力建设,才能有效应对这些日益复杂和严峻的网络威胁。这不仅是技术问题,更是国家安全和民生保障的关键所在。

网友意见

user avatar

其实国内医疗系统大多还是使用内网,尤其是公立医疗机构,所以大多数医院根本就收不到这个邮件!

而真正能中招的还是私人电脑,尤其是这个时候一看是疫情相关的,有很大概率想点开看看,问题是国内一多半私人电脑都没有宏任务插件,甚至都不识别xlsm格式文件,再加上普及度非常高的在线杀毒软件,这个病毒想中招是真不容易。。。

user avatar

印度背景的APT组织代号为APT-C-09,又名摩诃草,白象,PatchWork, HangOver,VICEROY TIGER,The Dropping Elephant。

摩诃草组织主要针对中国、巴基斯坦等亚洲地区国家进行网络间谍活动,其中以窃取敏感信息为主。相关攻击活动最早可以追溯到2009年11月,至今还非常活跃。在针对中国地区的攻击中,该组织主要针对政府机构、科研教育领域进行攻击,其中以科研教育领域为主。

摩诃草组织最早由Norman安全公司于2013年曝光,随后又有其他安全厂商持续追踪并披露该组织的最新活动,但该组织并未由于相关攻击行动曝光而停止对相关目标的攻击,相反从2015年开始更加活跃。

从2009年至今,该组织针对不同国家和领域至少发动了3波攻击行动和1次疑似攻击行动。

整个攻击过程使用了大量系统漏洞,其中至少包括一次0day漏洞攻击;该组织所采用的恶意代码非常繁杂。载荷投递的方式相对传统,主要是以鱼叉邮件进行恶意代码的传播,另外部分行动会采用少量水坑方式进行攻击;

值得关注的是,在最近一次攻击行动中,出现了基于即时通讯工具和社交网络的恶意代码投递方式,进一步还会使用钓鱼网站进行社会工程学攻击。在攻击目标的选择上,该组织主要针对Windows系统进行攻击,同时我们也发现了存在针对Mac OS X系统的攻击,从2015年开始,甚至出现了针对Android OS移动设备的攻击

Gcow安全团队追影小组于2019.11月底通过监测的手段监测到了该组织的一些针对我国医疗部门的活动.直至2020.2月初,摩诃草APT组织通过投递带有恶意宏文件的xls文件,以及使用带有诱饵文档通过点击下载托管于GitHub上的downloader样本,以及用相应的钓鱼网站,用以侦探情报等一系列活动.这对我国的相关部门具有很大的危害,追影小组对其活动进行了跟踪与分析,写成报告供给各位看官更好的了解该组织的一些手法。

当然肯定有人会问为什么你说的简介里摩诃草组织这么厉害,而这次活动却水平不如之前呢?
本团队的追影小组主观认为因为这次活动只是该组织下的CNC小组所开展的活动,文末会给出相应的关联证据.不过这只是一家之言还请各路表哥多加批评

注意:文中相关IOCs由于特殊原因不给予放出,敏感信息已经打码处理

样本分析

2.1分析文档(武汉旅行信息收集申请表.xlsm)

该诱饵文档托管于该网址上

xxx-xxx.com/%E6%AD%A6%E

2.1.1.诱饵文档

这是一个含有宏的xlsm电子表格文件,利用社会工程学的办法,诱使目标”启用内容”来执行宏恶意代码

提取的宏代码如下

2.1.2. 恶意宏代码

当目标启用内容后就会执行Workbook_Open的代码

DllInstall False, ByVal StrPtr(Sheet1.Range("X100").Value)

通过加载scrobj.dll调用

远程加载45.xxx.xxx.67/window.sc,这种是利用Microsoft系统文件的LOLbin以绕过杀软的监测,达到远程执行代码目的。

其中Sheet1.Range("X100").Value 是小技巧,将payload隐藏在Sheet1中,通过VBA获取下载地址,起到一定混淆保护效果

2.1.3. 恶意sct文件(windows.sct)

通过windows.sct再下载到到启动目录,并重名为Temp.exe,并运行该程序

如下图

系统启动文件夹

2.1.4.后门分析(msupdate.exe)

文件信息:

主要功能:

1.自身拷贝到当前用户的AppDataRoaming和C:Microsoft目录下并重命名msupdate.exe,并且创建并写入uuid.txt,来标识不同用户

2.通过com组件创建计划任务,实现持久化控制。


  1. 与服务器进行C&C通讯,实现了shell,文件上传与下载(ftp),获取屏幕快照功能,达到完全控制目标。

获取uuid通知主机上线

通过http协议与服务器进行通讯,并获取相关指令

上线指令

反向Cmd Shell相关代码


文件上传相关代码

文件下载相关代码

屏幕快照相关代码


2.2 分析文档(卫生部指令.docx)

该文档托管于

xxx-xxx.com/h_879834932

2.2.1 诱饵文档


2.1.2 Downloader分析

诱使目标点击提交按钮,触发Shell.Explorer.1 从internet Explorer下载并运行submit_details.exe木马程序.

文件信息:

功能分析:

1.建立计划任务

2.收集目标机器名,ip,等信息

3下载后门程序

通过Github 白名单下载文件,绕过IDS检测.

部分代码


4.获取Github上的文件下载路径,目前文件已被删除


2.3 钓鱼网站

钓鱼网址为xxx-xxx.com/submit.html伪装成某部门的调查表,收集人员信息


通过whois查询,网站是2020年1月23日注册,2月6日更新后停止访问

三.关联分析

该活动与摩诃草APT组织旗下的CNC小组有着很多的联系

CNC小组取名来自360于2019年底发布的报告《南亚地区APT组织2019年度攻击活动总结》中提及的摩诃草使用新的远程控制木马,同时通过其pdb路径信息中包含了cnc_client的字样,故命名为cnc_client小组.在此次活动中,该组织的特征与之高度类似,故团队猜测该活动的作俑者来源于摩诃草旗下的CNC小组

下面我们将向各位看官详细的描述这几点相同之处

(左边的图来自于360的年度报告,右边的图来自于本次活动的截图)

1).反向shell功能:

2).文件上传功能

3).文件下载功能

并且在该所会连的域名中出现了cnc的字眼,故本小组大胆猜测该小组对原先的cnc_client进行了进一步的修改,但是其主体逻辑框架保持不变。在侧面上反应了该组织也很积极的修改相关的恶意软件代码以躲避杀毒软件的侦查


四.总结

在这次活动中摩诃草组织为了增加其攻击活动的成功性,在诱饵文档中使用了某部门的名称和某部门的徽标以增加其可信性,同时在其托管载荷的网站上引用了nhc这个字符串,Gcow安全团队追影小组在此大胆推测,该组织使用鱼叉邮件的方式去投递含有恶意文档url的邮件.同时在这次活动中所出现的url上也存在”nhc”,”gxv”,”cxp”等字眼,这很大的反应出攻击者对中国元素的了解,社会工程学的使用灵活以及拥有一定的反侦查能力,这无疑是对我国网络安全的一次挑战,还请相关人士多多排查,培养员工安全意识也是重中之重的.

最后本小组也想发发牢骚,其实这样的活动不能说天天都有,但是每一周有一次的频率还是存在的。印度趁人之危固然不对,但是某些借此炒作,搞流量变现的,连样本都没分析透彻,只看只言片语就对该组织的手法以及该国家的网络安全实力立下高判,将自己的无知言论变为吸引别人为自己谋取利益的某些高手。把不正确的情况与思想带给你的关注者,让他们对真实的情况并不了解甚至低估,您难道不觉得心痛吗?这对得起你前辈的初衷吗?鄙人沥肝劝君,万不可一知半解而授业于人。

注意:这里不针对任何个人和团队,只是发发牢骚,说说心里话罢了,切勿对号入座,非常感谢。所说一切,愿与各位共勉也期望各位监督。

公众号:Gcow安全团队
团队简介:
致力于APT抓捕和分析,曾经独立抓捕过DustSpuad,SideWinder,FIN7,Bitter,PatchWork等组织,对APT的样本分析有着独到的见解。
       五.相关IOC IOCS 名称 SHA1:ffxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxf80b709 武汉旅行信息收集申请表.xlsm SHA1:4fxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx02b3f2 卫生部指令.docx SHA1:44xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxaa29b0 msupdate.exe (windows.jpeg) SHA1:76xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx7b1b65 submit_details.exe SHA1:aexxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx3c72e7 windows.sct SHA1:6cxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx2a92 32368288_lopi9829 C2 https://185.xxx.xx.24/cnc/register https://185.xxx.xx.24/cnc/tasks/request https://185.xxx.xx.24/cnc/tasks/result https://45.xxx.xx.168/qhupdate/pagetip/getconf https://45.xxx.xxx.168/qhupdate/pagetip/cloudquery https://45.xxx.xxx.168/qhupdate/msquery  URL http://xxx-xxx.com/submit.html http://xxx-xxx.com/%E6%AD%A6%E6%B1%89%E6%97%85%E8%A1%8C%E4%BF%A1%E6%81%AF%E6%94%B6%E9%9B%86%E7%94%B3%E8%AF%B7%E8%A1%A8.xlsm http://xxx-xxx.com/h_879834932/%E5%8D%AB%E7%94%9F%E9%83%A8%E6%8C%87%E4%BB%A4.docx http://45.xxx.xxx.67/window.sct http://45.xxx.xxx.67/window.jpeg http://185.xxx.xxx.24/windows.sct https://github.com/xxxxxx/xx_7xxxxx988/blob/master/submit_details.exe https://raw.githubusercontent.com/xxxx268/meetingid/master/syncup/token.txt http://185.xxx.xxx.139/winmail/kt_new.png https://api.github.com/xxxxx/xxxxxx/memeeting/git/blobs/d956fbd55581e178658dd908cb36cd93431cd9e1 https://chinaxxxxx-nexx.com/n2012228aumki7339990n/32368288_lopi9829 http://xxx-xxx.com/form.html?OZBTg_TFORM     

类似的话题

  • 回答
    近期,关于印度APT黑客组织针对我国医疗机构发起攻击的事件引起了广泛关注。作为一名深度关注网络安全和国际关系的研究者,我对这一现象有着几点看法:首先,网络攻击的政治与国家意图。在国家间关系日益复杂敏感的背景下,APT(Advanced Persistent Threat,高级持续性威胁)黑客组织并非.............
  • 回答
    印度承认误射导弹落入巴基斯坦境内一事,是印巴两国关系紧张的一个缩影,也反映了地区安全局势的复杂性。以下从多个维度详细分析这一事件的背景、影响及可能的后续发展: 一、事件背景与经过1. 时间与地点 事件发生在2023年6月,印度在进行军事演习时,一枚“阿金科特”(Agni5)远程导弹因技术故障.............
  • 回答
    印度购买6架阿帕奇武装直升机(AH64 Apache)的事件,是其军事现代化进程中的重要一步,涉及多方面的战略考量、技术挑战和国际关系。以下从多个角度详细分析这一事件的背景、意义及潜在影响: 一、事件背景与事实核查1. 采购细节 时间与价格:根据2023年印度国防部的公告,印度与美国签订协.............
  • 回答
    印度媒体称“印军山地战部队已拉响最高警报”,这一说法通常与中印边境地区的紧张局势相关,尤其是东段(阿克赛钦地区)和西段(拉达克地区)的对峙。以下从多个角度详细分析这一现象: 1. 背景:中印边境局势的复杂性 历史争议:中印边境问题源于1962年中印边境战争后形成的“实际控制线”(LAC),双方在东段.............
  • 回答
    关于“印度出现山羊宝宝长着人脸”的说法,目前并没有可靠的科学证据或权威媒体报道支持这一事件的真实性。这种描述更可能是以下几种情况的综合结果: 1. 误解与视觉错觉 动物面部特征的误读:某些山羊在特定角度、光线或镜头下,可能因面部毛发分布、肌肉结构或表情而被误认为“长着人脸”。例如,山羊的面部轮.............
  • 回答
    印度对中国制造的快速检测试剂盒精确度提出质疑,称其准确率仅为5%,这是一个复杂且敏感的问题,需要从多个层面进行分析和理解。以下是一些详细的观点和分析:一、 事件背景和印度提出的质疑点 时间点和情境: 印度在新冠疫情初期,大量采购中国制造的检测试剂盒,用于迅速扩大检测能力。然而,在实际使用过程中,.............
  • 回答
    印度2019年第三季度GDP增速下滑至4.5%,确实是一个备受关注的经济现象。这个数字比前几个季度以及市场预期都要低,引发了广泛的讨论和分析。要理解这个情况,我们需要从多个层面进行剖析。一、 数据本身及其意义: 4.5%是什么水平? 对印度这样一个新兴经济体来说,4.5%的增长率虽然仍然是正增长.............
  • 回答
    印度将中国部分领土划入所谓“中央直辖区”,即所谓的“阿鲁纳恰尔邦”(Arunachal Pradesh),是中印两国之间一个长期存在且高度敏感的领土争端的核心问题。要理解这一问题,需要从多个层面进行深入分析:一、 印度划入领土的背景与依据(印度视角): 历史渊源: 印度方面认为,历史上,今天所谓.............
  • 回答
    印度宣布计划建立自己的空间站,这是印度太空计划发展中的一个重要里程碑,也引发了全球对印度太空能力的广泛关注。要全面看待这一举措,需要从多个维度进行分析,包括其 动机、目标、技术能力、潜在影响以及面临的挑战。一、 印度宣布建立空间站的动机与目标:印度建立空间站并非凭空而起,而是其长期太空战略和国家发展.............
  • 回答
    对于印度总理莫迪(Narendra Modi)在 Twitter 上宣布印度采用比特币作为法定货币,随后被印度总理办公室(PMO)否认是“被盗号”的事件,我们可以从多个角度进行详细的分析和看待。这起事件在当时引起了广泛关注和讨论,涉及科技、金融、政治、信息安全等多个层面。事件经过的梳理:1. 莫迪.............
  • 回答
    印度电厂燃煤库存告急以及世界煤炭行业面临的挑战,是一个复杂且多层面的问题,其根源涉及能源结构、地缘政治、经济因素、环境政策等多个方面。下面我将详细阐述:一、印度电厂燃煤库存告急的原因(平均仅剩 4 天,部分为零):印度目前面临的燃煤库存危机并非单一因素造成,而是多种因素叠加的复杂结果:1. 异常高.............
  • 回答
    印度工人长途步行回家,导致20多人死在路上,以及返乡人员“被用水枪消杀”的现象,都反映了印度在新冠疫情期间面临的严峻挑战,以及其社会治理和人道主义救援方面的深层问题。 印度工人长途步行回家,20多人死在路上:一个令人心碎的悲剧背景:2020年初,新冠疫情在全球蔓延,印度也未能幸免。为了遏制病毒传播,.............
  • 回答
    印度拥有“完美”的人口结构,相对于中国而言,这可能是一个显著的长期优势。然而,对“完美”一词的使用需要谨慎,因为任何人口结构都存在潜在的挑战。但从宏观层面来看,印度人口结构所带来的机遇确实令人瞩目。以下是更详细的分析:1. 年轻化的人口结构与劳动力供给: “人口红利”的含义: 印度拥有庞大且年轻.............
  • 回答
    近日,印度一位专家就中国在中印边境地区开展的村庄扶贫工作发表了看法,认为这“威胁到了印度”。这一说法在印度国内引发了一些关注和讨论,但究竟如何理解这种“威胁”,以及其背后的逻辑和影响,则需要更详细地剖析。首先,我们得承认,中国在中印边境地区,尤其是在与印度存在领土争议的区域,确实在大力推进经济社会发.............
  • 回答
    2016年,印度GDP首次超过英国,这个消息在当时引起了广泛关注,也引发了许多关于两国经济地位、发展模式以及未来走向的讨论。要深入看待这一事件,我们可以从几个层面来分析。事件本身:一个重要的经济里程碑首先,从数字上看,印度GDP超过英国是一个显著的经济里程碑。GDP(国内生产总值)是衡量一个国家经济.............
  • 回答
    印度的蝗灾,特别是沙漠蝗的出现,这两天又大规模卷土重来,这无疑给本就脆弱的印度农业带来了雪上加霜的打击。要理解这件事,我们得把它拆解开来看,从成因、影响,到应对措施,以及它背后更深层次的警示。第一波的“噩梦”并未远去,新的威胁悄然逼近大家可能还记得,去年(2020年)那场声势浩大的沙漠蝗灾,它们像一.............
  • 回答
    这件事呀,说起来挺有意思的,尤其是在中印关系有时比较微妙的时候,这样一件事情就很容易被放大,然后大家就有了很多讨论。简单来说,就是前段时间,有些印度网民在网上找中国在边境冲突中的伤亡情况,结果他们拿出了一份所谓的“108名中国军人阵亡名单”,声称这是中国官方公布的。但是,当这份名单被大家(包括一些中.............
  • 回答
    印度近期在基建领域对中国企业采取了更趋严格的限制措施,覆盖道路、桥梁、电厂乃至电信等多个关键行业。这一变化背后,既有地缘政治的考量,也夹杂着经济和国家安全的考量,并可能对两国关系及全球供应链产生深远影响。政策收紧的背景与动因:首先,必须承认的是,印度此举并非横空出世,而是近年来两国关系复杂化的一个缩.............
  • 回答
    印度出现首例新型冠状病毒肺炎确诊病例,无疑是全球抗击疫情中一个令人担忧的节点。这不仅意味着病毒的触角已经延伸到了这个人口稠密、医疗资源相对紧张的国家,也对全球的防控格局提出了新的挑战。从地理位置上看,印度与中国接壤,人员往来一直非常频繁。尤其是在爆发初期,尽管已经采取了一些边境管控措施,但病毒通过潜.............
  • 回答
    关于印度选择日本新干线而非中国高铁的决定,这背后是一系列复杂因素的交织,绝非简单的技术优劣之争就能概括。这是一个涉及经济、政治、国家战略、技术标准,乃至文化和国际关系的综合性考量。首先,让我们把时间线拉回到印度最早的铁路现代化设想。印度,这个拥有庞大人口和广袤国土的国家,一直渴望提升其国内交通运输能.............

本站所有内容均为互联网搜索引擎提供的公开搜索信息,本站不存储任何数据与内容,任何内容与数据均与本站无关,如有需要请联系相关搜索引擎包括但不限于百度google,bing,sogou

© 2025 tinynews.org All Rights Reserved. 百科问答小站 版权所有