APT组织情报：Lazarus，TURLA || 样本情报 ：Triout框架

最新推荐文章于 2025-06-30 11:42:48 发布
转载 最新推荐文章于 2025-06-30 11:42:48 发布 · 602 阅读 · 0
本文揭露了Lazarus组织使用AppleJeus行动针对加密货币交易所的攻击手法，详细介绍了Turla组织利用Outlook邮件作为C&C控制渠道的策略，以及Triout——一款针对Android设备的恶意间谍软件框架的技术细节。

640?wx_fmt=png

难受，感受到了数据实力的差距

数据，成就美好未来

一、AppleJeus行动： Lazarus使用虚假安装程序和macOS恶意软件进行加密货币交换

使用的是该组织老恶意家族：Fallchill （https://www.us-cert.gov/ncas/alerts/TA17-318A）

640?wx_fmt=png

https://securelist.com/operation-applejeus/87553/

360核心安全高级威胁应对团队之前发过部分内容。http://news.safe.360.cn/n/10340.html

二、

Turla 组织使用 Outlook  邮件通信作 C&C 控制

https://www.welivesecurity.com/wp-content/uploads/2018/08/Eset-Turla-Outlook-Backdoor.pdf

640?wx_fmt=png

三、

Triout -—— Android恶意间谍软件框架

https://www.bitdefender.com/files/News/CaseStudies/study/234/Bitdefender-Whitepaper-Triout-The-Malware-Framework-for-Android-That-Packs-Potent-Spyware-Capabilities.pdf

640?wx_fmt=png

640?wx_fmt=png

快速获取一手情报，请进知识星球

640?wx_fmt=png

blackorbird
关注
《APT攻击防护核心：基于行为分析的高级持续性威胁检测技术》
2501_91651218的博客
05-30 684
◦ 对接第三方情报（如CISA的已知APT组织IP列表、微步在线的IOC库），实时阻断与APT相关的通信。◦ APT攻击者突破边界后（如员工点击钓鱼链接），会在内部网络横向移动（如从办公电脑渗透至服务器），传统防火墙仅能阻断外部攻击，无法监测内网异常。◦ 加密流量检测：通过机器学习分析加密流量的元数据（如数据包大小、间隔时间），识别隐蔽信道（如DNS隧道、ICMP隧道）。• 目的性极强：针对特定组织（如政府、金融机构），窃取核心数据（如军事机密、商业专利），而非随机勒索或破坏；
【转】APT情报IOCs处理须知
tpriwwq的专栏
08-20 2811
APT情报IOCs处理须知
Turla的新武器—TinyTurla
m0_59598029的博客
08-24 227
Turla 也被称为 Snake、Venomous Bear、Uroburos 和 WhiteBear，是一个臭名昭著的 APT组织。据信该组织来自俄罗斯，2004 年以来就一直活跃。多年来，Turla 开发并维护了一套庞大的攻击工具来攻击世界各地的受害者，包括欧洲、美国、乌克兰和阿拉伯等多家。Turla 通常不与 C&C 服务器直接通信，而是使用其他失陷主机作为代理，将流量转发到真正的 C&C 服务器上。
量子阴谋——某 APT 组织的追踪报告
2401_84466227的博客
06-17 1681
2023年，浪潮云威胁情报中心持续对境内的APT团伙进行追踪。发现包括代号为“OldFox”的团伙持久性攻击。由于该团伙隐匿在高纬度的安全对抗空间中，因此，我们称这种模式为“量子阴谋“。以下是我们对这次事件的跟踪，分析报告。关键字：APT、高级持续性威胁、OldFox。
间谍新高度：间谍组织​Turla利用卫星通信隐藏C&C服务器
stonesharp的专栏
12-09 2477
Turla APT组织，也被称为Snake或者Uroboros，是至今为止最为高级的威胁组织之一。该网络间谍组织已经存在长达8年的时间了，却很少被人知道。 卡巴斯基实验室也是去年才发现Turla APT组织，该组织成员均说俄语，并且还发现其利用卫星通信中固有的安全缺陷来隐藏自己的位置和实施间谍活动。 FreeBuf百科：卫星通信 卫星通信主要应用在一些网络不稳定、网速过慢或者
开源威胁情报驱动的APT攻防实战：从情报收集到靶场复现
最新发布
「威胁棱镜」—— 以攻击者视角构建企业级防御体系 本博客聚焦高级威胁对抗（APT） 与 实战化防御工程 领域，致力于解构攻击技术本质，探索可落地的自动化防护方案。作者深耕ATT&CK框架应用、云原生安全架构、终端检测响应（EDR）深度防御。
06-30 1613
APT攻防情报资源矩阵关键资源解析：1.APTnotes：3000+份APT报告聚合仓库 2.Malware-Traffic-Analysis：含IoC的PCAP样本库 二、APT组织深度分析实战 APTnotes情报自动化处理 三、攻击样本深度解析 PCAP动态分析框架 四、TryHackMe红队路径实战 APT模拟房间攻防全流程环境拓扑： 关键阶段复现：1.初始访问：水坑攻击 2.横向移动：票据传递 3.数据渗出：DNS隐蔽隧道 五、防御体系构建实战 基于Sigma的APT检测规则库 自动化防御编排（T
如何建立针对APT的特定威胁情报收集机制？
图幻未来的博客
02-02 1294
组建一个由专业人员和志愿者组成的专门负责 APT 相关信息搜集和分析的团队至关重要：这个团队成员应具有丰富的网络安全知识和经验积累，[熟悉 APT 的基本特点和典型攻击手法](https://zh.wikipedia.org/wiki/%E4%B8%AD%E7%BD%AE%E5%BA%93%E5%AF%86%E4%BB%A3%E7%AB%AF%E7%BF%92%E6%B3%95)，能够发现潜在的威胁信号并进行评估和处理工作[。针对 APT 特定威胁情报的有效获取需要充分挖掘和利用内外部的各种信息资源[]。
APT攻击、勒索软件已成2024年最大网络威胁，从零基础到精通，收藏这篇就够了！
Javachichi的博客
04-25 856
8月19日，奇安信威胁情报中心扔出了一份《网络威胁2024年中报告》，这玩意儿与其说是报告，不如说是给上半年网络安全态势做了个“CT扫描”。数据来自奇安信威胁雷达，但人家不光看自家雷达，还把全网的APT情报、勒索软件、黑产攻击、漏洞情报啥的都揉一块儿，想看看2024年上半年，网络安全这潭水里到底藏了多少妖魔鬼怪。。《报告》点名广东，说它依旧是境外APT团伙的“心头好”，江苏、四川、浙江、上海、北京也得跟着提心吊胆。
APT攻击是什么？面对APT攻击，我们应该怎么做？
热门推荐
N2O_666的博客
05-24 1万+
APT攻击 概念 APT（Advanced Persistent Threat），中文释义为高级持续性威胁，APT攻击是一种利用先进攻击手段对特定目标进行长期持续性攻击的攻击形式。 它的攻击原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT组织在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中，APT组织会主动挖掘被攻击对象受信系统和应用程序的漏洞，利用这些漏洞组建攻击者所需的网络，并利用0day漏洞进行攻击。 为了更好的理解APT攻击，下面我们拆解下APT A（A
如何在威胁情报中识别和应对先进持续性威胁（APT）？
图幻未来的博客
01-31 976
*先进持续性威胁（APT）：** 是指针对特定目标具有高度计划性和隐蔽性的一类复杂而持久的攻击手段, 通常由国家支持的黑客组织实施。这类攻击的目的通常是为了窃取敏感信息或破坏关键基础设施等。
十大最危险的黑客组织
lvaolan的博客
02-20 1268
早期的黑客主要是热衷于学习关于计算机和网络的一切知识。而如今的黑客正在开发越来越复杂的网络间谍工具，获取的经济价值也高达数百万美元，从世界500强公司转向医疗行业。网络攻击比以往更为复杂，利润也变得更高，更加难以解决。有时，在不同类型的活动之间划清界限是一项具有挑战性的任务。不同国家有时为了共同的目标而相互合作，有时它们甚至有与网络犯罪团伙合作的嫌疑。此外，一旦发布了恶意工具，它通常会被相互竞争的威胁行为者回收和再利用。
朝鲜APT组织lazarus的特马代码源头追溯
blackorbird的博客
11-01 1121
通过近些年Lazarus组织投放的木马观察可知，其代码大多存在与其他木马代码重复，下面为intezer提供的针对lazarus组织的特种木马源头追溯报告，...
求职陷阱：Lazarus组织以日本瑞穗銀行等招聘信息为诱饵的攻击活动分析
阿道夫的博客
02-27 858
Lazarus组织是疑似具有东北亚背景的APT组织，奇安信威胁情报中心内部追踪编号为APT-Q-1，因2014年攻击索尼影业开始受到广泛关注，其攻击活动最早可追溯到2007年。该组织早期主要针对其他国家政府机构，以窃取敏感情报为目的，但自2014年后，该组织开始以全球金融机构、虚拟货币交易场等为目标，进行敛财为目的的攻击活动。据公开情报显示，2014 年索尼影业遭黑客攻击事件，2016。
[译] APT分析报告：05.Turla新型水坑攻击后门（NetFlash和PyFlash）
杨秀璋的专栏
10-24 7733
这是作者新开的一个专栏，主要翻译国外知名的安全厂商APT报告文章，了解它们的安全技术，学习它们溯源APT组织的方法，希望对您有所帮助。前文分享了一种新型无文件APT攻击Kraken，它会利用Windows错误报告服务逃避检测。这篇文章将介绍Turla新型水坑攻击后门（NetFlash和PyFlash），研究人员发现Turla对Armenian的知名网站发起水坑攻击，通过伪造Adobe Flash更新，欺骗受害者下载两个新型恶意软件NetFlash和PyFlash，从而实现恶意攻击，整个攻击的TTP基本没有变
【持续更新】威胁情报 | 情报分析（主要是APT）信息源
JiangBuLiu的博客
03-01 2101
公众号或官网： 启明星辰 微步 天际友盟 概念性科普： 《天际友盟威胁情报小讲堂(19):洋葱式信息安全观察：情报系统中的情报生命周期》
SolarWinds 黑客攻击可能与 Turla APT 相关
zy18165754120的博客
12-30 153
有关在庞大的SolarWinds 供应链攻击中使用的 Sunburst 后门的新细节可能将其与 Turla 高级持续威胁 (APT) 组织先前已知的活动联系起来。 卡巴斯基的研究人员发现了 Sunburst 和 Kazuar 后门之间的几个代码相似之处。Kazuar 是一种使用 .NET 框架编写的恶意软件，Palo Alto 于 2017 年首次报道（尽管其开发可追溯到 2015 年）。 据卡巴斯基称，它已被发现是全球网络间谍攻击的一部分。那里的研究人员表示，在过去三年的多次违规中，它一直与已知的 T
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值