安全研究团队在线发布部分感染 Sunburst 恶意软件的组织名单

周末，多个安全研究人员和研究团队发布了从100到280个组织的列表，这些组织安装了SolarWinds Orion平台的木马版，其内部系统感染了Sunburst恶意软件。

该列表包括科技公司，地方政府，大学，医院，银行和电信提供商的名称。

此列表中最大的公司包括Cisco，SAP，Intel，Cox Communications，Deloitte，Nvidia，Fujitsu，Belkin，Amerisafe，Lukoil，Rakuten，Check Point，Optimizely，Digital Reach和Digital Sense。

世界最大的半导体公司之一联发科也受到了影响。不过，安全研究人员尚未100％将其列入名单。

CRACKING THE SUNBURST SUBDOMAIN MYSTERIES

安全研究人员编制这些列表的方式是对Sunburst（又称Solorigate）恶意软件进行反向工程。

对于ZDNet读者首次了解Sunburst恶意软件，该恶意软件被注入到2020年3月至2020年6月间发布的SolarWinds Orion应用程序的更新中。

被诱骗的更新将Sunburst恶意软件植入了许多公司和政府组织的内部网络深处，这些公司依靠Orion应用程序来监视和保留内部IT系统的清单。

根据微软，FireEye，迈克菲，赛门铁克，卡巴斯基和美国网络安全与基础设施安全局（CISA）上周发布的深入研究报告 ，该恶意软件将收集有关受害公司网络的信息，请等待12到14天，然后将数据发送到远程命令和控制服务器（C＆C）。

黑客（据信是俄罗斯政府资助的一个团体）然后将分析他们收到的数据，并仅对情报收集目标感兴趣的网络进行升级攻击。

图片：微软

上周，SolarWinds承认了这一黑客行为，并表示，基于内部遥测，其300,000名客户中的近 18,000 位下载了包含Sunburst恶意软件的Orion平台版本。

最初，人们认为只有SolarWinds才能识别并通知所有受影响的组织。但是，随着安全研究人员不断分析Sunburst的内部工作原理，他们还发现了该恶意软件操作中的一些怪癖，即该恶意软件对C＆C服务器执行ping操作的方式。

根据上周发布的研究，Sunburst会将从受感染网络收集的数据发送到每个受害者唯一的C＆C服务器URL。

这个唯一的URL是avsvmcloud [.] com的子域，包含四个部分，其中第一部分是看起来很随机的字符串。但是安全研究人员说，这个字符串实际上并不是唯一的，但包含受害人本地网络域的编码名称。

图片：微软

自上周以来，几家安全公司和独立研究人员一直在筛选历史Web流量和被动DNS数据，以收集有关进入avsvmcloud [.] com域的流量的信息，破解子域，然后追踪安装了特洛伊木马风云的公司。应用程序-并使Sunburst恶意软件从其网络内部传回到攻击者的服务器（由于Microsoft和FireEye而现在陷入困境）。

越来越多的第一阶段和第二阶段受害者

网络安全公司TrueSec和Prevasio，安全研究员Dewan Chowdhury以及中国安全公司QiAnXin都是现在已经发布了受Sunburst感染的组织或用于解码avsvmcloud [.] com子域的工具的列表。

像思科和英特尔这样的公司已经在周末接受记者采访时正式确认他们已被感染。两家公司都表示，他们没有发现证据表明黑客升级了在其系统上提供第二阶段有效载荷的访问权限。

VMWare 和 Microsoft 的名字不在这些公开名单中，它们还确认他们在其内部网络上安装了木马Orion更新，但还指定他们也没有发现攻击者升级的任何证据。

但是，黑客的确将其对某些目标网络的攻击升级了。在上周五的一次采访中，FireEye的首席执行官Kevin Mandia在调查其内部系统漏洞时发现了SolarWinds黑客，他说，尽管感染了将近18,000个网络，但基于FireEye的能见度，黑客仅将访问权限升级到了约50个目标。

在周五也发布的另一份报告中，微软还表示，它确定了自己的40位客户，这些客户安装了受感染的Orion应用程序，并且攻击者将访问权限升级了。

“升级”通常是在avsvmcloud [。] com C＆C服务器以非常特定的DNS响应（其中包含特殊的CNAME字段）回复受感染的公司时发生的。

这个特殊的DNS CNAME字段包含第二台C＆C服务器的位置，Sunburst恶意软件可从该服务器获取其他命令，有时还可以下载其他恶意软件。

当前，唯一一家使黑客升级访问权限的知名公司是FireEye，其漏洞响应有助于发现整个SolarWinds黑客。

两者之间的区别（简单的森伯斯特感染和升级）对于事件响应者至关重要。在第一种情况下，他们可能只需要删除Sunburst恶意软件，而在第二种情况下，他们可能需要查看日志，以识别黑客升级到哪些内部系统以及从其网络中窃取了什么数据。

数名安全研究人员今天告诉ZDNet，网络安全社区的很大一部分正在与内容交付网络，互联网服务提供商和其他互联网公司合作，以收集被动DNS数据并跟踪往返 avsvmcloud[.]com 域的流量。为了确定攻击者升级访问权限的其他受害者。

下表是安全公司Truesec汇编的表格，其中包含一些SolarWinds受害者的已解码内部域名。