【APT组织情报】方程式

团伙概况

团伙描述

方程式组织于2015年被卡巴斯基首次披露并命名，名字源自该组织喜欢在攻击活动中使用各种加密方法和混淆策略。由于该组织在Stuxnet和Flame行动之前就接触到相关0day漏洞，卡巴斯基认为该组织与Stuxnet和Flame行动背后组织具有密切联系。该组织被认为与美国国家安全局（NSA）有关。 自2001年，该组织攻击活动的受害者遍布全球多个国家，涉及多个行业领域，包括政府外交机构、电信部门、航空、能源、核研究、油气、军事、纳米科技、伊斯兰活动家及学者、大众媒体、交通、金融机构以及开发加密技术的企业。 方程式组织使用的工具极其复杂，开发成本极高，使用多种RAT工具并掌握多个0day漏洞，卡巴斯基于2015年披露的工具有EquationLaser, EquationDrug, DoubleFantasy, TripleFantasy, Fanny和GrayFish。攻击组件中包含能重编码机械硬盘驱动固件的模块，从而实现持久化和恶意软件隐藏，该模块支持超过20种流行的机械硬盘品牌。Fanny蠕虫工具可以通过感染U盘从物理隔离网络中收集信息。该组织投递恶意软件不仅通过网络，还采用物理投递的方式，即截取物理世界中的物品（比如光盘）并将其替换为植入木马的版本。方程式组织拥有庞大的C2基础设施，截至2015年披露，卡巴斯基发现了300多个关联域名以及超过100台服务器，服务器托管在包括美国、英国、意大利、德国、荷兰、巴拿马、哥斯达黎加、马来西亚、哥伦比亚和捷克共和国在内的多个国家。 2016年8月，黑客组织影子经纪人（The Shadow Brokers）公布NSA泄露数据，主要为NSA黑客工具，其中包括针对企业防火墙、杀毒软件以及微软产品的多个0day漏洞，影子经纪人声称泄露的工具来自隶属于NSA的方程式组织。 2017年4月，影子经纪人再度公开的NSA数据完整曝光了方程式组织在2012年7月至2013年9月期间对中东地区最大的银行SWIFT服务提供商EastNets攻击行动的详细信息。

技战法

拥有丰富的0day漏洞攻击技术和完备的攻击渗透工具集，卡巴斯基披露出的攻击平台如下： EQUATIONDRUG：主要的攻击平台，支持插件，实时升级 DOUBLEFANTASY：探测木马用于确保目标是有价值的设备，确认则升级为EQUATIONDRUG或GRAYFISH EQUESTRE：类似于EQUATIONDRUG TRIPLEFANTASY：疑似DOUBLEFANTASY的升级版，可用于和GRAYFISH的串联。 GRAYFISH：最重要的部分，用于bootik级别的自启动 FANNY：2008年出现的蠕虫，主要活跃于中西亚，中招的机器从DOUBLEFANTASY升级为EQUATIONDRUG，使用的两个0day在震网中被使用 EQUATIONLASER：早期的工具（2001-2004）

历史报告

情报信息

文件hash情报

域名/IP情报