原文：http://dea.gov.ge/uploads/CERT%20DOCS/Cyber%20Espionage.pdf
译者按: 这是一篇对 <<DUKES---||-持续七年的俄罗斯网络间谍组织大起底>>文章的补充文章. 披露的是格鲁吉亚CERT在2011年对俄罗斯军方黑客的一次调查. 文章中诸多亮点现在看还是常看常新:比如反制黑客的手段是诱使黑客执行了一个木马. 另外将此篇文章对比最近ThreatCONNECT发布的camerashy报告,让我们不禁感慨的是,政府的反APT实在是比商业公司的反APT纯粹多了,专业多了.
2011年3月，格鲁吉亚“计算机应急响应小组”（CERT）发现了一次网络攻击事件，似乎是一起网络间谍活动。
在活动中使用的高级恶意软件主要是收集与格鲁吉亚,美国相关的敏感机密的安全文件，然后再把这些信息上传到某些CC服务器上（CC会经常变化）。
在调查了攻击者利用的服务器和恶意文件后，我们发现这次网络攻击活动与俄罗斯官方安全机构有关系。
在分析了web服务器，恶意文件和几个脚本后，我们发现：
这次网络攻击活动设计的十分聪明。多家与新闻相关的格鲁吉亚网站都被黑了，并且只有几个特定的新闻网页遭到了篡改（比如，NATO delegation Visit in Georgia-NATO代表团访问格鲁吉亚, US- Georgian Agreements and Meetings-美国格鲁吉亚协议与会面, Georgian Military NEWS-格鲁吉亚军事新闻）。
只有对这类信息感兴趣的用户才会感染这个高级威胁，无论目标计算机和网络系统上使用了什么安全防御措施或软件。这个威胁的加密程度很高，并且使用了最新的隐藏技术，因此，还没有安全工具能识别这个威胁。
ema.gov.ge完全控制受感染的计算机。 木马会搜索受害者MS Office和PDF中的敏感词汇。
最后，攻击者会窃取匹配的文件并上传到服务器。
木马会受根据受害者的地理位置相应的改变它的CC服务器位置。
大约有390台计算机受到了感染：
美国受感染的计算机实例
2011年3月30日– 病毒窃取敏感的文档，证书
2011年9月14日– 更改了感染机制，使用了新的绕过AV,Firewall,IDS的方法.
2011年11月25日– 病毒的加密和混淆更复杂，支持感染Win7.
2011年12月月12日– 增加了视频录制功能，可以通过网络扫描和感染计算机，更换了传播途径
病毒已经从2.1版本进化到了5.5版本。
第一步-注入脚本
frame.php中的shellcode/漏洞载荷
各大主要的杀毒产品都没能检测出这些恶意文件（1/4Virustoal，Dr.Web结果-可疑）。绕过了开启防火墙的Win7 sp1。截止到25.03.2011，20.06.2011，16.01.2012，25.03.2012。
在执行后，木马主要干3件事：
新版本的木马文件，会用base64明文编码，从不同的网站上同时下载，然后整合成一个文件。
特点
多数受感染的格鲁吉亚计算机都是来自政府机构和关键信息基础设施。
目标：
格鲁吉亚CERT小组 获取了CC服务器的权限，解密了木马的通信机制。在分析了所有收集到的信息后，我们已经识别了网络攻击者和攻击组织的身份。
“在2008年，俄罗斯与格鲁吉亚的网络战期间”，两家独立的美国组织发现这些网络攻击者与俄罗斯政府部门和组织存在关联。
“United States Cyber Consequences Unit” and “Project Grey Goose”
Jefrey Carr, GreyLogic (为政府部门提供的网络情报服务) Sanjay Goel,纽约州信息分析与保证中心， Mike Himley, *Eagle Intelligence的CEO/主席*
他们调查了整个针对格鲁吉亚的网络攻击活动，并且发现一个网络犯罪小组“Russian Business Network”与2008年的网络攻击活动有关系。
他们已经报道，黑客使用的一些资源和凭据属于 “俄罗斯国防部研究所”-国外军事力量研究中心。
在2011-2012年期间，在这次新出现的网络间谍活动期间，我们又再次发现了背后的俄罗斯特工痕迹。
我们已经发现了：3点主要事实都指向了俄罗斯官方的政府组织。
Warynews.ru – 用于控制受感染的格鲁吉亚计算机 – 属于 **Russian Business Network(在 Blacklist, Bad Reputation中提到) **的IP和DNS
www.rbc.ru – 直接硬编码在木马代码中，如果所有信道都关闭了，则与攻击者通信。官方名称“Russian Business Consalting” –官方网站，与RBN有关联。
http://legalcrf.in/f/4b178e605583cca28c850943e805aabc/1
http://legalcrf.in/t/19ebfd07a13d3edf82fcc121a0e4643c
http://legalcrf.in/images/np/4b178e605583cca28c850943e805aabc.pdf
http://legalcrf.in/t/19ebfd07a13d3edf82fcc121a0e4643c http://legalcrf.in/t/19ebfd07a13d3edf82fcc121a0e4643c http://legalcrf.in/images/t/4b178e605583cca28c850943e805aabc.html
http://legalcrf.in/images/np/4b178e605583cca28c850943e805aabc.pdf
http://legalcrf.in/images/4b178e605583cca28c850943e805aabc.jar
http://legalcrf.in/f/4b178e605583cca28c850943e805aabc/3
http://legalcrf.in/f/4b178e605583cca28c850943e805aabc/1
Legalcrf.in –通过“admin@President.gov.ge”发送垃圾邮件来传播恶意文件
注册人信息不明确，通过印度Whois服务发现
Lubianka 13, Moscow. - 俄罗斯内务部， 后勤部- 组织开发和通信系统， 组织发展和通信系统，提升信息和通信技术和信息技术保障；
在他旁边的是：俄罗斯联邦安全服务部 (FSB) – 莫斯科
在2012年3月，ESET安全公司公布了一份报告-“Georbot: From Russia With Love” (根据我们小组的技术支持)
在此之后，俄罗斯新闻机构，根据ESET的报告散布虚假消息，指控格鲁吉亚的政府网站上托管着恶意文件（实际上遭到了黑客攻击）。但是，他们没有评论托管在不同国家的这6个真正的CC服务器。
我们在实验室中感染了我们的PC，然后向攻击者提供了虚假的Zip文档，其中包含着他自己的病毒，文件名称是“Georgian-Nato Agreement”。
我们创建了一个病毒文件名字是”Georgian-Nato Agreement”,随后我们故意感染了黑客的木马并诱使黑客偷去了我们制作好的病毒文件. 最后黑客执行了这个病毒.
如此一来访问黑客的CC控制面板,控制黑客的个人计算机就不在话下了。
然后，我们捕捉到了一个他的视频。也捕获到了一个进程正在创建新的恶意模块。
我们已经从他的邮件中获取到了一份俄语文档，在文件中，他讲解了如何使用这个恶意软件感染目标。
我们发现他与德国和俄罗斯的黑客有联系。
然后，我们获取到了他的所在城市，ISP，邮件等。
正在使用OllyDbg进行反汇编
Nickname: ESHKINKOT – 木马可执行程序内部也出现了
相同的邮件地址，俄罗斯城市
在俄罗斯的 Xakep 论坛，寻求别人帮助他编写EXPLOIT.
他使用的网络提供商名字,他所在的城市.
多个会议上都出现了关于此次事件的信息：
