天御情报局 | APT-TY-3技战法（tradecraft）和操作安全（OPSEC）错误

技战法（tradecraft）：

1.没有两个主机与同一个C2通信，具有相同的恶意软件哈希，具有相同的后门文件名。

2.他们通过.eml文件中的后门传输恶意软件并使用Outlook Express提取，然后以DVD的块大小将exfil发送到受害者组织所在国家/地区的服务器

3.攻击者的后门总是在命令行中使用“密码（通常是4个字符）”来执行（因此阻止了在沙盒中的执行和没有经验的恶意软件分析师），并将配置存储在注册表Key中 - 或复制和重命名一个可执行文件（通常是ping.exe、mtxex.dll），配置在文件的随机位置。从二进制文件外部存储配置的另一个好处 - 如果文件上传到VT - 也无法找到C2服务器

OPSEC错误：

1.奇怪的是 - APT-TY-3在TTPs中犯的错误是在配置注册表键的名称上（他们只用了3-4个），后门程序在UA字符串上有一个错误，而且他们的后门程序有足够常见的模式来编写一个snort规则。

2.对第二阶段C2使用相同的自签名SSL证书 # 大约5年也不是他们最伟大的技术

往期精选

围观

威胁猎杀实战（六）：横向移动攻击检测

热文

全球“三大”入侵分析模型

热文

实战化ATT&CK：威胁情报

本文始发于微信公众号（天御攻防实验室）：天御情报局 | APT-TY-3技战法（tradecraft）和操作安全（OPSEC）错误