俄羅斯黑客組織滲透和利用巴基斯坦黑客組織服務器案揭秘
責編：gltian ｜2024-12-05 14:56:44近日，Black Lotus實驗室公布了一項驚人的數字間諜案研究結果，揭示了俄羅斯黑客組織Turla（又稱Secret Blizzard）如何秘密控制巴基斯坦黑客組織的惡意軟件服務器系統，進而利用服務器節點滲透南亞多國敏感的政府網絡。
據悉，Turla黑客組織在近兩年的時間里，成功征用了33個由巴基斯坦黑客組織Storm-0156(sidecopy和透明部落)操作的C2服務器。Storm-0156本身就是一個以阿富汗和印度政府目標為攻擊對象的網絡間諜組織，甚至使用了市售的Hak5滲透測試硬件設備進行入侵。然而，他們未曾料到，自己的C2服務器會成為Turla的入侵橋梁。
Black Lotus實驗室的研究顯示，Turla黑客組織不僅闖入了Storm-0156使用的C2服務器，還利用這些服務器的訪問權限，啟動了自己的惡意軟件，并成功劫持了敏感數據。這是自2019年Turla首次被發現重新利用伊朗威脅組織的C2以來，第四次被記錄嵌入其他組織行動的案例。
值得注意的是，Turla黑客組織不僅攻擊性強，而且目標廣泛，世界各地的大使館和政府辦公室都是其攻擊對象。在此次事件中，Turla還控制了Hak5 Cloud C2節點，這是一個原本為合法滲透測試設計的平臺，但在此被用于間諜活動。
在Turla控制Storm-0156的行動之前，Storm-0156一直在使用市售的Hak5設備入侵印度政府機構，包括其外交部。然而，Turla利用Storm-0156在阿富汗政府網絡和巴基斯坦運營商工作站中的立足點，部署了專有惡意軟件（如TwoDash和Statuezy），竊取了巴基斯坦運營商收集的各種數據，包括憑證、文件等。
Black Lotus實驗室的研究人員指出，Turla通過這種渠道可能獲得了大量數據，包括Storm-0156工具的洞察、C2和目標網絡的憑證，以及從之前的行動中收集到的泄露數據。這不僅證明了APT運營商如何隱藏其蹤跡并試圖進行模糊的歸因分析，也顯示了Turla在網絡間諜活動中的高超技藝。
此外，到2024年中期，Turla已將重點擴大到使用從巴基斯坦工作站竊取的另外兩種惡意軟件（Wasicot和CrimsonRAT）。此前，CrimsonRAT已被發現用于針對印度的政府和軍事目標。Turla利用自己的訪問權限，收集了該惡意軟件先前部署的數據，進一步擴大了其攻擊范圍。
Black Lotus實驗室警告稱，Turla有一個顯著特點，即大膽利用其他黑客組織的C2服務器來達到自己的目的。這種策略允許Turla運營者遠程獲取先前從受感染網絡竊取的敏感文件，而無需使用（并可能暴露）他們自己的工具。
同時，微軟公司的另一份報告也記錄了Turla自2017年以來如何系統地滲透和劫持至少六個不同國家高級黑客組織的基礎設施。這符合Turla既定的模式，此前它曾接管過伊朗、哈薩克斯坦和其他威脅組織的基礎設施。微軟的分析表明，這種“間諜對間諜”的方法是俄羅斯FSB的一種蓄意策略，旨在進行間諜活動，同時將其活動隱藏在其他黑客的行動背后。
Lumen報告
https://blog.lumen.com/snowblind-the-invisible-hand-of-secret-blizzard/
微軟報告
https://www.microsoft.com/en-us/security/blog/2024/12/04/frequent-freeloader-part-i-secret-blizzard-compromising-storm-0156-infrastructure-for-espionage/