【APT组织情报】Longhorn-FancyPig's blog

团伙概况

团伙名称	Longhorn
攻击者类型	国家背景组织
技术能力	0-day漏洞
负责国家/地区	美国
最早活动时间	2007-12-31
影响行业	金融，电信，能源，航空航天，信息技术，教育，自然资源政府，国际运营组织
别名	Longhorn,APT-C-39,Lamberts
攻击方式	–
攻击频率	未知
影响国家/地区	中东，欧洲，亚洲，非洲
最近活动时间	2020-03-03
常用语言	英语

团伙描述

Longhorn由国外安全厂商赛门铁克在 Vault 7 泄漏间谍工具后命名。

Longhorn 至少从2011年开始活动，Longhorn感染了来自至少16个国家包括中东、欧洲、亚洲和非洲等的40个目标，主要影响金融、电信、能源、航空航天、信息科技、教育、和自然资源等部门。它使用了多种后门木马结合0day漏洞进行攻击。

在2014年，赛门铁克捕获到使用word文档的零日漏洞 CVE-2014-4148 的Plexor ，注意到了Longhorn的攻击活动。

2019年9月，奇安信威胁情报中心红雨滴团队发布《美国中央情报局网络武器库分析与披露》，详细对历史曝光的CIA网络武器及相关资料进行研究，并发现了多种网络武器文件，并且根据分析的结果与现有公开资料内容进行了关联和判定。并且还发现这些网络武器曾用于攻击中国的目标人员和机构，其相关攻击活动主要发生在2012年到2017年（与Vault7资料公开时间相吻合），并且在其相关资料被曝光后直至2018年末，依然维持着部分攻击活动，目标可能涉及国内的航空行业。

2020年3月2号，奇虎360发布报告，发现从2008年（从2008年9月到2019年6月）开始，主长达十一年的攻击活动，攻击目标要分布在北京、广东、浙江等省份。并命名为APT-C-39。使用恶意软件

Fluxwire Trojan.Corentry Backdoor.Plexor Backdoor.Trojan.LH1和Backdoor.Trojan.LH2 CVE-2014-4148 Black Lambert, Blue Lambert, Corentry, Gray Lambert, Green Lambert, Green OS X Lambert, LH1, LH2, Pink Lambert, Plexor and White Lambert.

历史报告

发现时间	报告名称	发布厂商
2020-03-03	披露美国中央情报局CIA攻击组织（APT-C-39）对中国关键领域长达十一年的网络渗透攻击	360集团
2019-11-21	Registers as “Default Print Monitor”, but is a malicious downloader. Meet DePriMon	ESET
2019-09-30	美国中央情报局⽹络武器库分析与披露	奇安信
2018-10-11	Threats in the Netherlands	Kaspersky
2018-03-09	Breadcrumbs Of CIA And DNC Hackers Left At The Same Chinese Company	Forbes

情报信息

文件hash情报

文件类型	文件哈希值
md5	d01606c6b6ee92475fa5bd4c87a8dfd0
md5	d6eade9176d7e19454cf5e60c67574fc
md5	8987652f26732607b769247adb4e9cce
md5	82e950a2caf7844cc305c94ad1cc1288
md5	5dbdade5d72feca45c6bc08f05d9bdb0
md5	7260cd78fbe583da47f992fca5bb4137
md5	b76e8611057d9607c6ce0acc0ba4de2b
md5	79e263f78e69110c09642bbb30f09ace
md5	41fe4ea8912918cedd6528ab99f3d999
md5	42793c3ed137f999b525b1020b52d432
md5	7397a01c220392444ed3b81d6a6c8fa3
md5	1a27ba4f541d3f6066c90822f9f25e9f
md5	99b9a986f92c0720414cedb3c3d17a0d
md5	517d86f7f494a9d7f2405020b44521eb
md5	33118348b533434a995e477a6aa9b9a9
md5	4a16643a1c0ddb03f4833d28f80edcad
md5	4dcd011b08ff854b3789c3188b8ee95b
md5	853c44d5408781395f3ac65e768f7e65
md5	672351dee7f6a05f0ed60dc72b95988a
md5	628b3aa25724b00ea995b43dc2bc7ce2
md5	cb434677126a06ce6eb66c4aedf98bfe
md5	41575fc8e178672d3f53714cdcbbaf02
md5	dd8c03517abc9760d662ad51555f030b
md5	42f43edc9937e4aa5f985773f5ea9daa
md5	8eb5c5ed448288ee3b7536f571284631
md5	6c466283e7f8757973ba253aa6080d8c
md5	6d1e003143b5a5b6cc3cba9c5433c07a
md5	2a8d9b5c18d314a36e7ef82f0ac3635e
md5	d6f6ffd201709e4f03cef21b1fec5f25
md5	99ef1e473ac553cf80f6117b2e95e79b
md5	a4863fcea90680a474a6eaa1e790ace5
md5	c55a70c3413818cb5be7913002c1c486
md5	f0b812de90184e91ce2ec056e7ef3279
md5	c60b4b5f0e6982787c204aa169c65b8b
md5	03bc7a8584fadeceb3d948304b531c3f
md5	683afdef710bf3c96d42e6d9e7275130
md5	74e94cd60ba77069ed9c4d43845739b3
md5	52d750ab9e557cf4f358a63593be6e99
md5	21a5d5f7ec429822a3caf3ed782bf787
md5	116f4e1288862c4f8714e133cf45a1e8
md5	459f8181e7fbaa0e1bf86c15f97de0ba
md5	d857d7e49324a67bbf3e0f845a273a19
md5	5f060940b231db5ba3fff4cb12abb7f7
md5	7bfa16de414bdd6e02aeb9c5f1fbc586
md5	5b92b64e41353ecf11ddd908d365ad45
md5	0ca4f3e99e9a6f834bf6eaf8209a8147
md5	452d86e050ad691dfc46a7abc0ef8a2f
md5	9935a4541edeb6dd8f0bafff6bc322b9
md5	b84f2b6fea1550f49109fabf0c396b54
md5	ba38a75f6b2669098710b56afdf1d7d1
md5	e0127cc8567b0d8d8bb6d205a258283b
md5	5df76f1ad59e019e52862585d27f1de2
md5	7a408d78298dcb16df70b2d8b787cfc0
md5	511a473e26e7f10947561ded8f73ffd0
md5	c06d422656ca69827f63802667723932
md5	e2a2e859f7004f5251b807edc572b3bd
md5	e20d5255d8ab1ff5f157847d2f3ffb25
md5	e435293a62e3dfddf4df7ce3e401b908
md5	1e88735dce142637f4e892fc5d0f4379
md5	289a2a849f56765195017fc0a152d420
md5	a301cb94305bb9e010972599c87ffa29
md5	c2bca118b4a72faf3e975ddf82108b42
md5	d4dffdcf3c948c2587aee2997cab99f0
md5	dc3a694bf0063e17c29868520d623f34
md5	8ff8ac8f77752302ca8e5bd780da6715
md5	adae4f66d12387ffaa4e67d9fedadb15
md5	e2ea0da7698d464280d550bcb7b95f8c
md5	41e967f5fec473a378820a630acc0ffa
md5	5485266a34e8d6a9e13fe54535ae80a3
md5	1faed65cc7109472192d84eaf2279b8f
md5	3cef5fb921ad153768bf63d463c3abe4
md5	9a768957e02cc73d8c3eea4ec54bca67
md5	abd1a5531e4300707456034511f90460
md5	cb2df7f60e2db4dd91411c587f980fce
md5	ed09e2f292de9286cd77700475bce215
md5	71ac96234a2be56581986f9b44943bba
md5	20a7f3c5d958fac3d57f9e9fc2b089bd
md5	25193866758814240946413f4379d2af
md5	3ecc1bc2138943f2e679cf3f114b1d03
md5	4e0777eed466053b85b286b51f0ff080
md5	5483c7da065e548aa2f189592484190d
md5	089c7732c096f01bb455020c222fb4a9
md5	4dce07fa3755a0a9f3defc031df0d925
md5	0c6a20d7507105638cd49cea4ffbf10b
md5	055d0aa624c4a86464303c5f3217f9a5
md5	15bf089b750f59169c380ca9de4abebe
md5	60c017f83c98bc2dad99c3c325989c9c
md5	1a9e2265495978d05023ffb33c656e5b
md5	bc9813cab225aebe39776efb7c342495
sha1	02b38f6e8b54885fa967851a5580f61c14a0aab6
sha1	03e047dd4cecb16f513c44599bf9b8ba82d0b7cb
sha1	0996c280ab704e95c9043c5a250cce077df9c8b2
sha1	15ebe328a501b1d603e66762fbb4583d73e109f7
sha1	1911f6e8b05e38a3c994048c759c5ea2b95ce5f7
sha1	2b30be3f39def1f404264d8858b89769e6c032d9
sha1	2d80b235cdf41e09d055dd1b01fd690e13be0ac7
sha1	6db79671a3f31f7a9bb870151792a56276619dc1
sha1	6fab7aa0479d41700981983a39f962f28ccfbe29
sha1	7d0b08654b47329ad6ae44b8ff158105ea736bc3
sha1	7e8a7273c5a0d49dfe6da04fef963e30d5258814
sha1	8b4f3a06ba41f859e4cc394985bb788d5f76c85c
sha1	94c0be25077d9a76f14a63cbf7a774a96e8006b8
sha1	968b52550062848a717027c512afeded19254f58
sha1	9c4bade47865e8111dd3eee6c5c4bc83f2489f5b
sha1	aa59cb6715cfff545579861e5e77308f6caeac36
sha1	c2388c2b2ed6063eacba8a4021ce32eb0929fad2
sha1	ca34050771678c65040065822729f44b35c87b0c
sha1	d38045b42c7e87c199993ab929ad92ade4f82398
sha1	e272fda0e9ba1a1b8ef444ff5f2e8ee419746384
sha1	e2d39e290201010f49652ee6116fd9b35c9ad882
sha1	f413eee3cfd85a60d7afc4d4ecc4445bb1f0b8bc
sha1	8987652f26732607b769247adb4e9cce

域名/IP情报

类型	IOC列表
域名	alwatantrade.com
域名	almawaddrial.com
域名	babmaftuh.com
域名	elehenishing.com
域名	img.dealscienters.net
域名	m8.zabbix-tech.com
域名	mdeastserv.com
域名	notify.growlupdate.com
域名	shayalyawm.com
域名	srv8.zabbix-tech.com
域名	teknikgorus.com
域名	wnupdnew.com
域名	www.zabbix-tech.com
域名	www.alwatantrade.com
域名	www2.uaefinance.org
域名	www.babmaftuh.com
域名	www.shayalyawm.com

相关声明 1 微信公众号：猪猪安全
2 本站永久网址：https://www.iculture.cc
3 本文内容仅为技术科普，请勿用于非法用途
4 本文内容未隐讳任何个人、群体、公司。非文学作品，请勿用于阅读理解的练习
5 根据《计算机软件保护条例》第十七条，本站所有软件请仅用于学习研究用途
6 本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责

THE END