FireEye近期承认TRITON歹意活动正在针对一个新的要害基础设施建议进犯，咱们现在现已对该歹意行为采取了呼应办法。
2019年12月，FireEye揭露发布了咱们针对TRITON进犯的之一次剖析，其间歹意进犯者运用TRITON自定义进犯结构，对要害基础设施工厂的工业安全体系建议进犯，并无意中导致生产过程中止。在随后的研讨中，咱们剖析了进犯者是怎么取得构建TRITON进犯结构所需的要害组件的拜访权限。在咱们最近的剖析中，咱们以为TRITON歹意活动与坐落莫斯科的技能研讨安排有所相关，这些安排归属俄罗斯 *** 一切。
TRITON的侵略一直笼罩在迷雾之中。安全研讨人员现已环绕TRITON结构以及对方针站点的影响进行了一些揭露的评论，但在评论中很少或许彻底没有涉及到关于与侵略生命周期相关的战略、技能与流程（TTP）的信息，也没有剖析进犯者是怎么逐渐深化进犯，终究影响工业流程的。TRITON结构以及进犯者运用的侵略东西，都是人工构建和布置的，而一旦涉及到人工进行的过程，就一定有人为的战略、偏好、侵略操作形式以及自定义东西的特色。咱们将方针定位为评论这些进犯者运用的办法，并要点剖析歹意开发者、歹意运营者和其他人员是怎么在侵略中运用这些自定义东西的。
在本陈述中，咱们继续研讨进犯者的运营形式，特别重视要挟行为者在方针进犯生命周期的前期阶段，所挑选的自定义信息技能（IT）东西和战略（如下图所示）。本陈述中的情报信息来源于FireEye Mandiant履行的多个与TRITON歹意活动相关的事情应急呼应。
运用本文中描述的办法，FireEye Mandiant事情呼应人员在第二个要害基础设施中，发现了来自该要挟行为者的其他侵略活动，包括他们运用了新的自定义东西集。因而，咱们强烈建议工业控制体系（ICS）财物的负责人能充分运用本文中所包括的方针、TTP和检测办法，来改善防护机制，然后及时发现 *** 中或许潜藏的歹意活动。
假如需求寻求IT和运营技能（OT）事情应急呼应支撑，可以联络FireEye Mandiant。假如期望获取有关TRITON和其他 *** 要挟的更深化剖析，可以考虑订阅FireEye Cyber Threat Intelligence。
FireEye的SmartVision技能经过监控IT和OT *** 中的东西向流量，在横向移动的过程中搜索进犯者，降低了进犯终究抵达灵敏工业控制体系进程的危险。这十分适合于在杂乱的工业控制体系中寻觅侵略者，由于进犯者会经过两种环境都可以拜访的体系，从公司IT *** 迁移到OT *** ，简略的外围防护远远无法完成监测与阻断。

进犯者：运用各种自定义和商品化侵略东西
在针对方针的整个进犯生命周期中，歹意进犯者运用数十种自定义和商品化的侵略东西，来获取和保护对方针IT和OT的拜访。FireEye Mandiant发现的一系列自定义东西，将在本文后边的附录中列出，一起也列出了哈希值。附录A、附录B和附录C中，供给了这些东西的发现规矩和技能剖析，以及MITRE ATT&CK *** ON原始数据。

进犯者的自定义东西，一般可以反映出商品化东西的功用，这些东西好像是专门为了躲避反病毒检测而开发的。该歹意安排常常运用自定义东西，由于他们好像正在处理反病毒检测的问题，或许正在处于侵略的要害阶段。举例来说，在取得对工业工作站的拜访权限之前，歹意进犯者会要点运用IT和OT DMZ中的自定义后门。例如，他们运用Mimikatz（揭露的东西）和SecHack（自定义东西）进行凭证盗取，而这两种东西都具有十分类似的输出效果。

进犯者：致力于长时刻继续进入方针环境
在杂乱的工业控制体系进犯中，进犯的生命周期一般要以年为单位来衡量。进犯者需求很长时刻来预备这样的进犯，以便了解方针的工业流程，并构建自定义东西。这些进犯一般也或许由一些以预备应急计划为意图的国家进行（例如：装置像TRITON这样的歹意软件，以等待在适宜的机遇运用），这些国家不会当即建议进犯。在此期间，进犯者有必要保证可以继续拜访方针环境，不然或许会失掉多年来尽力的效果，并使得本钱昂扬的自定义工业控制体系歹意软件付之东流。咱们所剖析的本次进犯也不破例。在进犯者进入安全外表体系（SIS）工程工作站之前，进犯者在方针 *** 中存在了将近一年。在此期间，他们好像优先考虑的是歹意活动运营方面的安全性。
进犯者在企业 *** 上树立开始的立足点之后，TRITON进犯者将大部分精力都聚集在取得对OT *** 的拜访上。他们没有展开间谍活动，例如：运用键盘记载器和截图抓取东西，或许阅读文件、走漏很多信息。实际上，进犯者所运用的大多数进犯东西都专心于 *** 侦查、横向移动以及保持方针环境中的存在。
进犯者运用多种技能来躲藏他们的歹意活动，掩盖他们的踪影，并防止他们的东西被活动的反病毒软件发现。
1. 进犯者将歹意文件进行重命名，以使得它们看起来像是合法文件，例如KB77846376.exe，这是以Microsoft更新文件来命名的。
2. 进犯者常常运用仿照合法管理员活动的规范东西，很多运用RDP和PsExec/WinRM。
3. 在Outlook Exchange服务器上植入WebShell时，进犯者修正了现有合法的flogon.js和logoff.aspx文件。
4. 进犯者依托根据SSH的加密隧道来传输东西和长途指令/程序履行。
5. 进犯者运用了多个暂存文件夹，并挑选运用合法用户或进程不常运用的目录。
6. 进犯者在成功履行某一阶段进犯后，常常会删去投进的进犯东西、履行日志、分阶段进行浸透的文件以及其他文件。
7. 进犯者对暂存文件夹中的歹意东西进行了重命名，因而即便咱们经过某些安全办法（例如：ShimCache记载或WMI最近运用的运用）从磁盘上发现并删去这些文件之后，也无法识别出歹意软件的用处。
8. 进犯者运用Timestomping的办法，来修正罢了东西的$STANDARD_INFORMATION特点。

[1] [2] [3] [4]  黑客接单网