近来，据 360 安全大脑发表，多达 174 家北京、上海政府组织和我国驻外组织遭受老牌高档持续性要挟（APT）黑客组织 DarkHotel 进犯。黑客经过非法手段操控部分深服气（一家专心于企业级安全、云核算及 IT 基础设施的产品和服务供货商）SSL VPN 设备，并运用客户端晋级缝隙下发歹意文件到客户端，然后对用户构成安全要挟。
360 安全大脑表明，黑客现在现已彻底操控很多相关单位的 VPN 服务器，并将 VPN 服务器上的要害晋级程序替换为后门程序。关于 VPN 用户来说，一旦登录成功，就会被彻底授信。因而，“可以说，进犯者现已操控了很多相关单位的核算机终端设备。”
VPN 是一种运用公共网络支撑多个分支组织或用户之间的安全通讯桥梁，长途用户都可以经过 VPN 地道穿透企业网络鸿沟、拜访企业内部资源，确保他们即便不在企业内部也能享有本地的拜访权限。
自本年 3 月以来，被该黑客组织进犯的 VPN 服务器现已超越 200 台，我国在美国、意大利、英国等 19 个国家的驻外组织都遭到了进犯。进入 4 月，黑客将进犯态势转向北京、上海相关政府组织，现在触及组织数量高达 174 家。
图｜被进犯的 174 家北京、上海政府组织名单（来历：360 中心安全技能博客）
虽然已有上百家政府组织遭到进犯，但对咱们个人来说，是不是真的存在安全危险危险？现在来看，还不会。
“此次进犯事情首要影响北京和上海区域，相关的单位现已在自查，厂商现已合作进行了安全应急呼应。因为厂商和安全公司的应急呼应及时，暂不会要挟个人的信息安全。” 360 安全专家告知 DeepTech，“此次黑客进犯针对 Windows 操作体系，对 macOS 操作体系暂无影响。”
竟与新冠疫情有关？
自新冠疫情爆发以来，国家企事业单位、驻外组织和科技公司等纷繁采纳 “云作业” 形式，而长途作业可以完成的中心是 VPN，很多的职工都会经过 VPN 与总部树立联络、传输数据。一旦 VPN 缝隙被黑客运用，运用 VPN 长途作业的相关单位就会遭受严重安全危机。
360 安全大脑相关人员估测，DarkHotel 此次建议的黑客进犯或目的把握我国在抗击新冠肺炎疫情期间的先进医疗技能和救疫办法，经过驻外组织动态进一步探求世界各国的疫情真实情况及数据，经过进犯我国驻外组织来把握我国向世界各国运送救疫物资的运送轨道、数量、设备。
“有一些被进犯的组织参加了一线的疫情防控”，在新冠疫情期间相关企事业单位大部分都是长途作业状况，黑客进犯的正是相关单位长途作业的中心基础设施，即 VPN 服务器。” 360 安全专家告知 DeepTech。
研究人员在相关缝隙剖析中表明，其间一台深服气被进犯的 VPN 服务器版别为 M6.3R1，该版别发行于 2014 年，因为版别过于老旧，存在很多安全缝隙。一起该相关单位的运维开发人员的安全意识不强，为了作业便当，将所维护的客户的灵敏信息保存在作业页上。“正是因为要害基础设施的安全缝隙和相关人员的单薄安全意识，才导致了 VPN 服务器被黑客攻破。”
黑客进犯细节
在此次进犯中，360 安全大脑发现，上述相关单位的用户在运用 VPN 客户端时，默许触发的晋级进程被 DarkHotel 黑客绑架，将晋级程序替换并植入后门程序。进犯者仿照正常程序对后门程序进行了签名假装，普通人底子难以发觉。
图｜完好进犯流程：1）建议 VPN；2）恳求服务器更新；3）下发被替换的晋级服务；4）在客户机中运转（来历：360 中心安全技能博客）
在对进犯活动的复原剖析中，360 安全大脑发现此次进犯活动是深服气 VPN 客户端中深藏的一个缝隙被 DarkHotel 黑客所运用，该缝隙存在于 VPN 客户端建议衔接服务器时默许触发的一个晋级行为，当用户运用建议 VPN 客户端衔接 VPN 服务器时，客户端会从所衔接的 VPN 服务器上固定方位的配置文件获取晋级信息。可是，在整个晋级进程，客户端仅对更新程序做了简略的版别比照，没有做任何的安全查看。
图｜假造签名（左）与正常签名（右）（来历：360 中心安全技能博客）
这就导致黑客攻破 VPN 服务器后篡改晋级配置文件并替换晋级程序，然后运用此缝隙针对 VPN 用户定向散播后门程序。
DarkHotel 是一个有着东亚布景，长时间针对企业高管、政府组织、国防工业、电子工业等重要组织施行网络特务进犯活动的 APT 组织，自 2004 年以来一向在进行网络特务活动，是近几年来最活泼的 APT 组织之一，首要进犯方针为电子职业、通讯职业的企业高管及有关国家政要人物，其进犯规模遍及我国、朝鲜、日本、缅甸、俄罗斯等多个国家。
上个月，DarkHotel 经过垂钓和垃圾邮件进犯了世界卫生组织（WHO）。黑客经过一个仿冒的 WHO 内部电子邮件体系服务器对内部人员进行垂钓进犯，诱使职工登录该电子邮件体系，然后盗取他们的电子邮箱暗码；在盗取电子邮件暗码之后，黑客仿冒 WHO 的内部人员对组织内部发送垃圾邮件，诈骗其他内部人员下载安装保密木马，然后盗取更多人的信息。
此外，这也并不是 DarkHotel 初次对我国建议进犯。本年 1 月，在 Windows 7 体系停服要害节点，DarkHotel 一起运用 IE 浏览器和火狐浏览器 “双星” 0day 缝隙，针对我国要点省份商贸相关的政府、企业及相关组织建议复合进犯。
深服气的回应
4 月 7 日，深服气针对此次黑客进犯事情做出回应称，本次缝隙为 SSL VPN 设备 Windows 客户端晋级模块签名验证机制的缺点，但该缝隙运用条件是有必要现已获取操控 SSL VPN 设备的权限，因而运用难度较高。“开始预估，受影响的 VPN 设备数量有限。”
（来历：深服气）
但 360 安全专家对 DeepTech 表明，“本次缝隙并不是运用难度和受影响设备数量的问题”，因为缝隙存在于 Windows 客户端中，假如用户不晋级 VPN 客户端程序，就一向会有被进犯的危险，用户也无法判别 VPN 服务器是否安全。因而，厂商一方面要推动修正 VPN 服务器现已存在的安全缝隙，更重要的是提示用户晋级存在安全缝隙的 VPN 客户端程序。
对此，深服气表明，公司现在针对已承认遭受进犯的 SSL VPN 设备版别（M6.3R1 版别、M6.1 版别）发布了紧迫修正补丁，组织技能服务人员为受影响用户上门排查与修正，公司也将发布 SSL VPN 设备篡改检测脚本，便利用户自行检测设备是否被篡改及是否需求修正补丁。
此外，深服气还将为用户更好的供给 SSL VPN 设备首要规范版别修正补丁，以及发布歹意文件的专杀东西。
“在日常日子和作业中，用户进步安全意识，不要随意衔接不受信赖的 VPN 服务器，一起时间敞开安全软件的实时维护，防备或许会呈现的进犯。” 360 安全专家说。
-End-
参阅：
http://blogs.360.cn/post/APT_Darkhotel_attacks_during_coronavirus_pandemic.html
https:///article/darkhotel-hackers-use-vpn-zero-day-to-compromise-chinese-government-agencies/
