2020年12月13日，F(xiàn)ireEye、微軟和SolarWinds宣布發(fā)現(xiàn)了一場(chǎng)大規(guī)模的復(fù)雜的供應(yīng)鏈攻擊，攻擊者部署了一種新的之前未知的被稱(chēng)為“Sunburst”的惡意軟件來(lái)攻擊SolarWindws的 Orion IT 客戶(hù)。卡巴斯基專(zhuān)家發(fā)現(xiàn)，Sunburst與已知版本的Kazuar后門(mén)程序（這種類(lèi)型的惡意軟件能夠提供對(duì)受害者計(jì)算機(jī)的遠(yuǎn)程訪(fǎng)問(wèn)）之間存在各種特定的代碼相似性。這些最新發(fā)現(xiàn)為幫助研究人員進(jìn)一步研究攻擊提供了見(jiàn)解。

在研究Sunburst后門(mén)程序時(shí)，卡巴斯基專(zhuān)家發(fā)現(xiàn)其某些功能與之前發(fā)現(xiàn)的Kazuar后門(mén)程序有所重合。Kazuar是一種使用.NET架構(gòu)編寫(xiě)的后門(mén)程序，由Palo Alto在2017年首次報(bào)道，并用于全球各地的網(wǎng)絡(luò)間諜攻擊。代碼上的多處相似表明Kazuar和Sunburst之前存在關(guān)聯(lián)，盡管其性質(zhì)尚未確定。

Sunburst和Kazuar重疊的功能包括受害者UID生成算法、休眠算法和大量使用FNV-1a散列。根據(jù)專(zhuān)家調(diào)查，這些代碼片段并非100%相同，表明Kazuar和Sunburst可能有所關(guān)聯(lián)，盡管這種關(guān)聯(lián)的性質(zhì)目前還不完全清楚。

2020年2月，Sunburst惡意軟件被首次部署后仍在繼續(xù)演化， 2020年后來(lái)的變種甚至在某些方面與Sunburst更加相似。

整體來(lái)看，在Kazuar不斷演化的這幾年中，安全專(zhuān)家發(fā)現(xiàn)一個(gè)不斷發(fā)展的過(guò)程，這個(gè)過(guò)程增加了與Sunburst相似的重要功能。盡管Kazuar和Sunburst之間的相似之處很明顯，但它們的存在可能有很多原因，包括它們都是由同一個(gè)組織開(kāi)發(fā)的，或者Sunburst開(kāi)發(fā)者是以Kazuar為靈感開(kāi)發(fā)的Sunburst，或者Kazuar的一個(gè)開(kāi)發(fā)者轉(zhuǎn)到Sunburst團(tuán)隊(duì)，或者Sunburst和Kazuar背后的兩個(gè)組織都從同一來(lái)源獲得了他們的惡意軟件。

卡巴斯基全球研究和分析團(tuán)隊(duì)總監(jiān)Costin Raiu 評(píng)論說(shuō)：“已發(fā)現(xiàn)的關(guān)聯(lián)并不能讓我們知道誰(shuí)是SolarWinds攻擊的幕后黑手，但是，這些發(fā)現(xiàn)提供了更多的見(jiàn)解，可以幫助研究人員推進(jìn)這項(xiàng)調(diào)查。我們認(rèn)為，重要的是全球其他研究人員也可以調(diào)查這些相似之處，從而發(fā)現(xiàn)更多有關(guān)Kazuar和Sunburst（在SolarWinds攻擊中所使用的惡意軟件）來(lái)源的事實(shí)。以過(guò)去的經(jīng)驗(yàn)來(lái)看，例如，回顧WannaCry攻擊事件，在早期，很少有事實(shí)將其與Lazarus組織聯(lián)系起來(lái)。隨著時(shí)間的推移，更多的證據(jù)出現(xiàn)，讓我們和其他人能夠很有把握地將它們聯(lián)系在一起。對(duì)這一主題的進(jìn)一步研究對(duì)解開(kāi)這個(gè)謎題非常重要”。

要了解更多有關(guān)Sunburst和Kazuar 相似之處的技術(shù)細(xì)節(jié)，請(qǐng)查看Securelist上的報(bào)告。要閱讀卡巴斯基對(duì)Sunburst的研究結(jié)果，請(qǐng)點(diǎn)擊這里。要了解卡巴斯基如何保護(hù)器客戶(hù)抵御Sunburst后門(mén)程序，請(qǐng)?jiān)L問(wèn)這里。

為了避免被SolarWinds后門(mén)等惡意軟件感染的風(fēng)險(xiǎn)，卡巴斯基建議：

· 為您的 SOC 團(tuán)隊(duì)提供對(duì)最新威脅情報(bào)（TI）的訪(fǎng)問(wèn)。卡巴斯基威脅情報(bào)門(mén)戶(hù)網(wǎng)站是卡巴斯基威脅情報(bào)的一站式訪(fǎng)問(wèn)點(diǎn)，提供卡巴斯基20多年來(lái)收集的網(wǎng)絡(luò)攻擊數(shù)據(jù)和見(jiàn)解。用戶(hù)可以免費(fèi)使用一些功能，例如檢查文件、URL地址和 IP 地址。請(qǐng)點(diǎn)擊這里。

· 想要自己進(jìn)行調(diào)查的組織和企業(yè)可以受益于卡巴斯基威脅溯源引擎。它能夠?qū)l(fā)現(xiàn)的惡意代碼與惡意軟件數(shù)據(jù)庫(kù)進(jìn)行匹配，并根據(jù)代碼的相似性，追溯至之前發(fā)現(xiàn)的APT攻擊活動(dòng)。

關(guān)于卡巴斯基

卡巴斯基是一家成立于1997年的全球網(wǎng)絡(luò)安全公司。卡巴斯基不斷將深度威脅情報(bào)和安全技術(shù)轉(zhuǎn)化成最新的安全解決方案和服務(wù)，為全球的企業(yè)、關(guān)鍵基礎(chǔ)設(shè)施、政府和消費(fèi)者提供安全保護(hù)。公司提供全面的安全產(chǎn)品組合，包括領(lǐng)先的端點(diǎn)保護(hù)解決方案以及多種針對(duì)性的安全解決方案和服務(wù)，全面抵御復(fù)雜的和不斷演化的數(shù)字威脅。全球有超過(guò)4億用戶(hù)使用卡巴斯基技術(shù)保護(hù)自己，我們還幫助全球250,000家企業(yè)客戶(hù)保護(hù)最重要的東西。