建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
在最近IBM發(fā)布的對(duì)Fxmsp的綜合報(bào)告里，將這個(gè)男人稱(chēng)為“暗網(wǎng)隱形的神”。
成都創(chuàng)新互聯(lián)自2013年創(chuàng)立以來(lái)，先為伊寧等服務(wù)建站，伊寧等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢(xún)服務(wù)。為伊寧企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問(wèn)題。
- 在暗網(wǎng)活躍3年以上
- 襲擊44個(gè)國(guó)家
- 入侵135家公司，8.9%為國(guó)有企業(yè)
- 僅基于公開(kāi)拍賣(mài)預(yù)估獲利1500000美金
探究Fxmsp如何從新手駭客成為講俄語(yǔ)的地下組織的重量級(jí)人物，對(duì)于安全研究人員了解網(wǎng)絡(luò)犯罪行業(yè)的發(fā)展、暗網(wǎng)的變化都有一定意義。
初入地下論壇到如魚(yú)得水
2016年9月，F(xiàn)xmsp在網(wǎng)絡(luò)犯罪領(lǐng)域邁出了第一步。
當(dāng)時(shí)，他在一個(gè)地下論壇fuckav [.] ru上完成了注冊(cè)。但這時(shí)候的他對(duì)于”入侵訪問(wèn)了某一公司后如何將這一訪問(wèn)權(quán)變現(xiàn)“、”如何保證對(duì)于某一公司的長(zhǎng)久入侵訪問(wèn)能力“還一無(wú)所知。因此，他在地下論壇四處尋求”同伙“，希望找到自我傳播的持久性加密采礦惡意軟件和其他特洛伊木馬程序，以此來(lái)感染公司網(wǎng)絡(luò)。在這一階段，F(xiàn)xmsp給安全研究人員留下了很多把柄。
一般來(lái)說(shuō)，地下論壇上經(jīng)驗(yàn)豐富的駭客從不會(huì)發(fā)布自己的聯(lián)系方式，但是當(dāng)時(shí)的Fxmsp則大意地在論壇留下了自己的聯(lián)系信息，其中還包括了Jabber帳戶(hù)。
2017年初，F(xiàn)xmsp在另外幾個(gè)講俄語(yǔ)的論壇上(包括臭名昭著的exploit [.])創(chuàng)建了帳戶(hù)，他調(diào)整了活動(dòng)重點(diǎn)并開(kāi)始出售對(duì)受入侵的公司網(wǎng)絡(luò)的訪問(wèn)權(quán)限，這些網(wǎng)絡(luò)在后來(lái)幾年逐漸成為他的主要業(yè)務(wù)。
2017年10月1日，F(xiàn)xmsp發(fā)布了他的第一則廣告，公開(kāi)宣傳出售對(duì)公司網(wǎng)絡(luò)的訪問(wèn)權(quán)限，而金融業(yè)的第一位受害者是尼日利亞的一家商業(yè)銀行。后來(lái)，他還宣布出售對(duì)一家連鎖豪華酒店、一家擁有200億美元資本的非洲銀行的網(wǎng)絡(luò)訪問(wèn)權(quán)。
在地下論壇里，F(xiàn)xmsp逐漸如魚(yú)得水，幾次的成功讓他變得自大。很快，他甚至和其他駭客討論起如何入侵IBM和微軟，并且試圖在俄羅斯出售訪問(wèn)權(quán)限，比如在2017年10月，他宣傳要出售俄羅斯2個(gè)城市的ATM和海關(guān)辦公室的網(wǎng)站訪問(wèn)權(quán)限。但是，在講俄語(yǔ)的地下論壇有一個(gè)不成文的規(guī)矩：not hacking within Russia and CIS countries。于是，F(xiàn)xmsp的行為收到了論壇的禁令。
駭客+銷(xiāo)售經(jīng)理，2人團(tuán)的成立
2018年1月17日，F(xiàn)xmsp有了整整18位買(mǎi)家。
因?yàn)榫W(wǎng)絡(luò)犯罪業(yè)務(wù)發(fā)展得如此之好，以至于他還雇用了昵稱(chēng)Lampeduza的用戶(hù)(又名Antony Moricone、BigPetya、Fivelife、Nikolay、tor )擔(dān)任他的銷(xiāo)售經(jīng)理。
2018年初，銷(xiāo)售經(jīng)理Lampeduza加大推廣他們的”服務(wù)“，甚至在一個(gè)論壇帖子中寫(xiě)道：“……您將可以訪問(wèn)公司的整個(gè)網(wǎng)絡(luò)……您將成為網(wǎng)絡(luò)中的隱形的神……”
在兩人合作期間，宣傳了對(duì)62家公司的訪問(wèn)出售權(quán)，累計(jì)總價(jià)格達(dá)到1100800美元。
2018年10月下旬，這個(gè)2人團(tuán)體受到了打擊，因?yàn)樗麄冊(cè)噲D將對(duì)同一網(wǎng)絡(luò)的訪問(wèn)權(quán)出售給幾個(gè)不同的買(mǎi)家，名聲受損……此后，開(kāi)始轉(zhuǎn)向?qū)Ｗ⒂凇八饺虽N(xiāo)售”，即僅與有限的客戶(hù)群合作。直到2019年3月中旬，Lampeduza在論壇上復(fù)出，恢復(fù)活動(dòng)。
一戰(zhàn)成名到退隱
Fxmsp的公開(kāi)活動(dòng)在2019年4月達(dá)到高潮。據(jù)悉，他設(shè)法入侵了三個(gè)防病毒軟件供應(yīng)商的網(wǎng)絡(luò)，這一事件還登上了頭條新聞。
由于Fxmsp的”一戰(zhàn)成名“，Lampeduza宣告”分手“，否認(rèn)自己也參與了這一次的黑客活動(dòng)，并且再次從論壇中消失了一段時(shí)間，而2019年12月17日，Lampeduza表示Fxmsp已停止其活動(dòng)。
作為講俄語(yǔ)的地下論壇上的重量級(jí)人物，F(xiàn)xmsp公開(kāi)出售了對(duì)于135家公司的訪問(wèn)權(quán)，獲得了150萬(wàn)美金的利潤(rùn)。他的成功甚至刺激了暗網(wǎng)犯罪市場(chǎng)的發(fā)展，引發(fā)了其他駭客的效仿。
而Fxmsp活動(dòng)的3年，犯罪服務(wù)也在不斷發(fā)生變化：
- 2019年下半年與2017年上半年相比，出售受害企業(yè)的網(wǎng)絡(luò)訪問(wèn)權(quán)的買(mǎi)家數(shù)量增加了92%
- 在Fxmsp加入之前，買(mǎi)家只提供RDP訪問(wèn)單獨(dú)的服務(wù)器的權(quán)限并且不考慮持久性問(wèn)題，而后來(lái)，F(xiàn)xmsp將犯罪服務(wù)提升到了一個(gè)新的水平，對(duì)于受害企業(yè)來(lái)說(shuō)威脅也大大提升。
防范建議
雖然Fxmsp確實(shí)結(jié)束了所有公開(kāi)業(yè)務(wù)，但他對(duì)企業(yè)的威脅仍然是存在的。有鑒于此，向公眾公開(kāi)有關(guān)Fxmsp TTP的資料并提供建議，對(duì)于公司防范Fxmsp和類(lèi)似網(wǎng)絡(luò)犯罪分子進(jìn)行的攻擊幫助具備一定的幫助。
在大多數(shù)情況下，F(xiàn)xmsp使用一種非常簡(jiǎn)單而有效的方法：掃描某些開(kāi)放端口的IP地址范圍，以識(shí)別開(kāi)放的RDP端口，尤其是3389。然后，對(duì)受害服務(wù)器進(jìn)行暴力攻擊，以驗(yàn)證RDP密碼。在獲得對(duì)目標(biāo)設(shè)備的訪問(wèn)權(quán)限之后，通常會(huì)禁用現(xiàn)有的防病毒軟件和防火墻，然后創(chuàng)建其他帳戶(hù)。接下來(lái)，將服務(wù)器上的Meterpreter有效負(fù)載用作后門(mén)，獲得訪問(wèn)權(quán)限后，F(xiàn)xmsp收集所有帳戶(hù)的轉(zhuǎn)儲(chǔ)并將其解密。最后，通過(guò)安裝后門(mén)感染備份。即使受害者注意到系統(tǒng)中有可疑活動(dòng)，他們也很可能會(huì)更改密碼并回滾到已經(jīng)受到威脅的備份。這種方法使他可以保持持久性，并且長(zhǎng)時(shí)間不被注意。
建議：
- 將默認(rèn)RDP端口3389更改為任何其他端口;
- 限制每個(gè)用戶(hù)失敗的登錄嘗試次數(shù)，啟用帳戶(hù)鎖定策略;
- 不斷監(jiān)視暗網(wǎng)中與公司相關(guān)的數(shù)據(jù)。通過(guò)威脅情報(bào)解決方案快速識(shí)別被盜的記錄并溯源追蹤，通過(guò)專(zhuān)用的威脅檢測(cè)系統(tǒng)發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi)的流量異常。
網(wǎng)站題目：臭名昭著的Fxmsp如何一步步成為“暗網(wǎng)隱形的神”
網(wǎng)頁(yè)URL：http://www.5511xx.com/article/coijohs.html
