【安全资讯】Sunburst后门特征与Kazuar存在部分重叠

安恒情报中心 2021-01-12 02:14:32 1400人浏览

卡巴斯基研究人员对SolarWinds供应链攻击事件中的Sunburst后门进行了分析,发现一些特征与Kazuar后门重叠。Kazuar是.NET的后门程序,于2017年首次被安全厂商披露,并将其与APT组织Turla联系起来。Sunburst和Kazuar之间有许多不寻常的共享特征,包括受害者身份生成算法、睡眠算法和广泛使用的FNV-1a散列。


多年来,Kazuar一直在不断发展。它的开发人员一直在定期对其进行改进,从一个混淆器切换到另一个混淆器,更改算法并更新功能。为了更好地了解Kazuar的开发时间表,我们查看了自2015年以来的所有版本。


Kazuar发展时间表


结论:

Kazuar和Sunburst之间的重叠代码很有趣,这些相似之处的可能解释包括:
    -    Sunburst与Kazuar是同一团队开发的
    -    Sunburst开发人员采用了Kazuar的一些想法或代码,但没有直接联系(他们以Kazuar为灵感)
    -    两组(DarkHalo / UNC2452)和使用Kazuar的组织从同一来源获取恶意软件
    -    一些Kazuar开发人员转移到另一个团队
    -    Sunburst开发人员插假旗,以便将责任归咎于另一组人


目前,我们不知道这些选项中的哪一个是正确的。尽管Kazuar和Sunburst可能有关联,但这种关联的性质仍不清楚。通过进一步分析,可能会出现证实其中一个或多个观点的证据。

失陷指标(IOC)9
APT SolarWinds Sunburst Kazuar Turla 其他
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。