當(dāng)整個(gè)世界都在忙于應(yīng)對(duì) WannaCry惡意軟件之時(shí)，維基解密發(fā)布了CIA Vault 7工具包中新的一批文件，詳細(xì)披露了針對(duì)Winodws平臺(tái)上的兩個(gè)惡意軟件框架——AfterMidnight以及Assassin。
早在2017年3月7日，維基解密就披露了成千上萬個(gè)來自CIA的文件及秘密黑客工具，維基解密稱之為Vault 7。這被認(rèn)為是CIA史上最大規(guī)模的機(jī)密文檔泄露。
而本次5月中旬最新的文件披露，已經(jīng)是Vault 7系列中的第八次文件披露。這次公布的AfterMidnight以及Assassin均屬于CIA惡意軟件框架。它會(huì)在受感染的計(jì)算機(jī)上監(jiān)控并匯報(bào)用戶行為，再由遠(yuǎn)程主機(jī)執(zhí)行惡意行為。
AfterMidnight 惡意程序框架
維基解密在文件中稱，攻擊者會(huì)使用AfterMidnight在目標(biāo)系統(tǒng)上進(jìn)行動(dòng)態(tài)載入，然后執(zhí)行惡意payload。
惡意payload中的主控制模塊，會(huì)偽裝成Windows動(dòng)態(tài)鏈接庫文件（DLL），執(zhí)行Gremlins（小精靈）操作（這里的gremlins是個(gè)術(shù)語，指的是一種隱藏在目標(biāo)計(jì)算機(jī)中的payload）。它會(huì)檢測(cè)、破壞目標(biāo)軟件的功能，或者為其他gremlins提供服務(wù)。
目標(biāo)設(shè)備一旦安裝了AfterMidnight，就會(huì)使用Octopus來檢查預(yù)定事項(xiàng)（Octopus是一種基于HTTPS的LP服務(wù)）。系統(tǒng)如果在檢測(cè)時(shí)發(fā)現(xiàn)了新的預(yù)定事項(xiàng)，AfterMidnight就會(huì)自動(dòng)下載并存儲(chǔ)所有必要的組件，然后再在內(nèi)存中載入這些新的gremlins。
AfterMidnight是一個(gè)偽裝成Windows服務(wù)的動(dòng)態(tài)鏈接庫。它通過基于HTTPS的LP服務(wù)進(jìn)行Gremlins操作。目標(biāo)設(shè)備上安裝了AfterMidnight后，會(huì)在配置設(shè)置下調(diào)用配置好的LP服務(wù)，然后檢查是否有新的計(jì)劃需要執(zhí)行。如果有新的計(jì)劃，它就會(huì)下載并存儲(chǔ)所有需要的組件到本地，然后載入到內(nèi)存中。所有的存儲(chǔ)文件都以一個(gè)LP密鑰加密保存。而這個(gè)密鑰保存在遠(yuǎn)程計(jì)算機(jī)上，如果AfterMidnight無法與LP進(jìn)行連接，則無法執(zhí)行任何payload。
最新披露的用戶指南中也指出，AfterMidnight的文件密鑰保存在其他地方。程序中有一個(gè)叫做AlphaGremlin的特殊模塊。AlphaGremlin中包括了一種特別的腳本語言，可以讓使用者在目標(biāo)設(shè)備上設(shè)定自定義的任務(wù)，然后遠(yuǎn)程執(zhí)行這些惡意操作。
Assassin 惡意程序框架
Assassin 類似于AfterMidnight ，可以理解為針對(duì)微軟Windows操作系統(tǒng)的自動(dòng)植入軟件。它為攻擊方提供了遠(yuǎn)程數(shù)據(jù)收集的平臺(tái)。Assassin 安裝在目標(biāo)計(jì)算機(jī)上后，這個(gè)工具會(huì)在Windows服務(wù)進(jìn)程中運(yùn)行植入程序，允許攻擊者在目標(biāo)設(shè)備上運(yùn)行惡意任務(wù)，整體作用與AfterMidnight非常類似。
Assassin中總共包含了四個(gè)子系統(tǒng)：分別是implant, Builder, Command and Control以及Listening Post。
Implant子系統(tǒng)中具有該工具的核心邏輯及功能部分，如通訊功能和任務(wù)執(zhí)行功能。通過Builder可以對(duì)此進(jìn)行配置并部署在目標(biāo)計(jì)算機(jī)上。
Builder子系統(tǒng)則是對(duì)植入及部署可執(zhí)行文件之前，提供了一個(gè)定制化的命令行界面，這樣在植入操作執(zhí)行之前可以先設(shè)定植入的相關(guān)配置。
Command and Control子系統(tǒng)則像是操作和 Listening Post (LP)之間的接口，LP來允許Assassin Implant與Command and Control子系統(tǒng)通過web服務(wù)器進(jìn)行通訊。
披露的后果與影響？
上周，維基解密也放出一個(gè)中間人攻擊工具Archimedes，該工具據(jù)稱是CIA用來攻擊LAN網(wǎng)絡(luò)中計(jì)算機(jī)的。
美國(guó)情報(bào)機(jī)構(gòu)試圖隱藏并獨(dú)占漏洞，而不是公布于眾。而在過去的三天內(nèi)，利用一個(gè)月前Shadow Brokers泄露的漏洞利用工具的惡意軟件WannaCry猛烈席卷全球超過150個(gè)國(guó)家和地區(qū)。
微軟Brad Smith譴責(zé)美國(guó)情報(bào)機(jī)構(gòu)的這種做法，他們將此次事件評(píng)價(jià)為“影響廣泛的危害事件”，而WannaCry事件發(fā)生的本質(zhì)原因還是在于NSA，CIA和其他情報(bào)機(jī)構(gòu)試圖獨(dú)占0day漏洞卻不愿意公布于眾。
2017年出現(xiàn)了一種新的態(tài)勢(shì)，我們看到CIA試圖獨(dú)占的漏洞被公布在維基解密上，現(xiàn)在這個(gè)威脅已經(jīng)影響到世界各地的用戶。
也許是出于避免濫用的考慮，維基解密目前沒有公布任何exlpoit。近期發(fā)生的WannaCry事件應(yīng)該已經(jīng)驗(yàn)證了公布情報(bào)機(jī)構(gòu)的exploit可能會(huì)有的嚴(yán)重后果。
最后附上三月開始公開的Vault7系列文件，最新的文件披露如下所示：
• Year Zero：應(yīng)對(duì)軟硬件入侵的CIA Exploit
• Weeping Angel ：侵入智能電視的間諜軟件
• Dark Matter：iPhone和Mac的入侵 Exploit
• Marble：混淆網(wǎng)絡(luò)攻擊的一款框架
• Grasshopper：為Windows系統(tǒng)構(gòu)建定制化惡意軟件的平臺(tái)
• Scribbles ：文檔水印預(yù)處理系統(tǒng)，用以追蹤告密者及國(guó)外間諜的軟件。
| 
