UFO-1-wp

Sat, 30 Aug 2025 18:04:36 +0800

这两天写了两篇文章一篇adcs的恶意模板发布还有shadowslnk利用，但这两篇文章我需要去先知赚点稿费，所以先等他们过审了才能传到这边。今天做个情报分析就差不多了。

题目简介

在 ICS 行业，您的安全团队始终需要保持最新状态，并且应该了解针对您所在行业组织的威胁。您刚开始担任威胁情报实习生，具有一些 SOC 经验。您的经理给了您一项任务，以测试您的研究技能以及您如何利用 Mitre Att&ck 来发挥自己的优势。对 Sandworm Team（也称为 BlackEnergy Group 和 APT44）进行研究。利用 Mitre ATT&CK 了解如何以可作的形式映射对手的行为和战术。粉碎评估并给您的经理留下深刻印象，因为威胁情报是您的热情所在。

task1

根据 Mitre 援引的消息来源，沙虫团队是哪一年开始行动的？

打开矩阵，我们能搜索Sandworm Team，我们可以看到这是一个来自俄罗斯的军事组织，最早行动于2009年

答案：2009

task2

Mitre 指出，在 2016 年针对乌克兰电网的一次运动中，BlackEnergy 集团使用了两种凭证访问技术来访问受感染网络中的多个主机。一种是 LSASS 内存访问（T1003.001）。另一个的攻击 ID 是什么？

转到此组织2016针对乌克兰电力系统的攻击，进入矩阵

可以看到使用的是暴力破解，也就是T1110

答案：T1110

task3

在 2016 年的活动中，观察到对手在行动中使用了 VBS 脚本。VBS 文件的名称是什么？

不用进入矩阵，直接在2016行动全局搜索vbs

答案：ufn.vbs

task4

APT 在 2022 年开展了一场重大运动。服务器应用程序被滥用以保持持久性。该组使用持久性技术允许他们进行远程访问的 Mitre Att&ck ID 是什么？

转到2022的攻击记录，发现还是乌克兰的电力系统，这俄罗斯去乌克兰系统和回家没什么区别

不用进入矩阵，可以直接看到是利用webshell进行权限维持的

答案：T1505.003

task5

问题 4 中使用的恶意软件/工具的名称是什么？

截图已经把他显示出来了

答案：Neo-REGEORG

task6

在 2022 年的同一活动中，该组织滥用了哪个 SCADA 应用程序二进制文件来在 SCADA Systems 上实现代码执行？

往下找我们能找到

答案：scilc.exe

task7

确定与问题 6 中执行工具相关的完整命令行，以对 SCADA 环境中的变电站执行作。

路径已经在上面的截图出现了

答案：C:\sc\prog\exec\scilc.exe -do pack\scil\s1.txt

task8

在同一活动期间，使用什么恶意软件/工具在受感染的环境中进行数据销毁？

这篇文章详细解释了此破坏性工具，还是挺有意思的，利用null直接进行文件覆盖，并设计了域控相关的操作链接

答案：CaddyWiper

task9

问题 8 中确定的恶意软件/工具还具有其他功能。它可以在执行策略中执行的特定技术的 Mitre Att&ck ID 是什么？

上篇提到的文章讲述了它的攻击都是基于windows原生api，通过SeTakeOwnershipPrivilege它可以夺取程序的进程来绕过文件进程保护

答案：T1106

task10

众所周知，Sandworm 团队在他们的活动中使用不同的工具。它们与自动传播的恶意软件相关联，该恶意软件充当勒索软件，同时具有类似蠕虫的功能 .这个恶意软件的名称是什么？

回到此apt主页，检索其使用工具

答案：NotPetya

task11

问题 10 中的恶意软件用于在世界各地传播的漏洞的 Microsoft 安全公告 ID 是什么？

上题我们看到了smbv1漏洞，那一眼永恒之蓝

答案：MS17-010

task12

该组织用于针对调制解调器的恶意软件/工具的名称是什么？

同上方法一样可以找到

答案：AcidRain

task13

威胁行为者还在其基础架构中使用非标准端口，以达到运营安全目的。据报道，Sandworm 团队在哪个端口上建立了用于监听的 SSH 服务器？

枚举ssh能找到

答案：6789

task14

沙虫小组得到了另一个 APT 小组的协助进行各种行动。已知哪个特定团体与他们合作？

最开始的简介指出了

也是俄罗斯那边的，就是试图干扰美国大选那个

答案：APT28

威胁情报 on wackymaker