ShadowBreaker方程式工具包浅析

今日,臭名昭著的方程式组织工具包再次被公开,TheShadowBrokers在steemit.com博客上提供了相关消息。

本次被公开的工具包大小为117.9MB,包含23个黑客工具其中部分文件显示NSA曾入侵中东SWIFT银行系统,工具包下载接见文后参考信息。

解密后的工具包:

其中Windows目录包括Windows利用工具和相关攻击代码,swift目录中是银行攻击的一些证据,oddjob目录是植入后门等相关文档。

Windows 目录:

Windows目录下包含了各种漏洞利用工具,在exploits中包含了丰富的漏洞利用工具,可影响windows多个平台。

其中有三个目录较为重要:

A、Exploits:

包含了很多漏洞利用工具,这里摘取一些进行简要介绍:

经过初步梳理,重点关注对win server有影响的几个工具,更多工具展示见参考3。

Explodingcan IIS漏洞利用工具,只对Windows2003有影响

Eternalromance SMB 和 NBT漏洞利用工具,影响端口139和445

Emphasismine 通过ICMP漏洞攻击,攻击的默认端口为143

Englishmansdentist 通过SMTP漏洞攻击,默认端口25

Erraticgopher 通过RPC漏洞攻击,端口为445

Eskimoroll 通过kerberos漏洞进行攻击,默认攻击端口88

Eclipsedwing MS08-67漏洞利用工具

Educatedscholar MS09-050漏洞利用工具

Emeraldthread MB和 Netbios 漏洞利用工具,使用445端口和 139端口

Zippybeer SMTP漏洞利用工具,默认端口 445

Eternalsynergy SMB漏洞利用工具,默认端口 445

Esteemaudit RDP漏洞利用工具,默认攻击端口为3389

B、FUZZBUNCH:

是一个类似 MSF的漏洞利用平台工具,python编写。

C、Specials:

ETERNALBLUE:利用SMB漏洞,攻击开放445端口的windows机器。

影响范围如图:

ETERNALCHAMPION:利用SMB漏洞,攻击开放445端口的windows机器。

影响范围如图:

可以看出,其中多个工具,对于windows server系统均有覆盖。

ODDJOB目录:

支持向如下系统中植入后门代码,可以对抗avria和norton的检测。

工具包中提供了一个常见反病毒引擎的检测结论。

SWIFT文件夹:

存放一些金融信息系统被攻击的一些信息。部分被入侵的机器信息如下:

下面excel文件表明,方程式组织可能对埃及、迪拜、比利时的银行有入侵的行为。

其中一个入侵日志:

对我们的警示:

本次公开的工具包中,包含多个 Windows 漏洞的利用工具,只要Windows服务器开了25、88、139、445、3389 等端口之一,就有可能被黑客攻击,其中影响尤为严重的是445和3389端口。在未来的一段时间内,互联网上利用这些公开的工具进行攻击的情况会比较多,除了提醒用户,发布预警外,需要加强入侵监控和攻击防范。

临时缓解措施:

1)升级系统补丁,确保补丁更新到最新版本。

2)使用防火墙、或者安全组配置安全策略,屏蔽对包括445、3389在内的系统端口访问。

参考附录:

https://steemit.com/shadowbrokers/@theshadowbrokers/lost-in-translation

https://github.com/x0rz/EQGRP_Lost_in_Translation

https://zhuanlan.zhihu.com/p/26375989

https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/

原文发布于微信公众号 - 云鼎实验室(YunDingLab)

原文发表时间:2017-04-15

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

构建远程缓存系统

上个月,我们的工程团队发布了一个大的更新,关于在使用我们的Docker平台Jet时Docker镜像是如何被缓存和存储的。在本文中,我们将讨论更新的动机,特性的设...

2326
来自专栏赵康的专栏

容器技术概述

容器是一种轻量级的、操作系统级别的虚拟化技术,它允许我们在资源隔离的进程中运行应用程序及其依赖项。运行应用程序所需的所有必要组件都可以打包为单个可以复用的映像。...

2336
来自专栏jeremy的技术点滴

试用docker功能

3677
来自专栏同步博客

Docker之进入容器(三)

  经过前面两篇博客的扫盲,大家多多少少对docker有了一个基本的了解,也接触了docker的常用命令。在这篇博客中,我将介绍进入docker容器的几种方式。

1383
来自专栏FreeBuf

格盘也没用:Hacking Team使用UEFI BIOS Rootkit将远控长驻操作系统

上周Hacking Team 400G泄露数据在市面上疯传,已有3枚Flash 0day漏洞和一枚Android漏洞被曝光,而本周趋势科技的研究人员又有了重大发...

3696
来自专栏IT笔记

Docker学习之搭建JavaWeb环境

自上次从北京参加阿里云社区开发者进阶大会回来,就萌发了学习Docker的种子,尽管公司现在的业务并没有什么需求,但学习先进的东西总没有坏处。

5407
来自专栏云鼎实验室的专栏

ShadowBrokers 方程式工具包浅析

臭名昭著的方程式组织工具包再次被公开,TheShadowBrokers在steemit.com博客上提供了相关消息。本次被公开的工具包大小为117.9MB,包含...

2.4K0
来自专栏码代码的陈同学

Docker容器无法被stop or kill问题

使用docker stop / docker kill / docker rm -f 等命令处理后,容器立马自动重启

1.4K3
来自专栏HaHack

Dockerize Your Hexo

1574
来自专栏王小雷

Docker网络管理机制实例解析+创建自己Docker网络

实例解析Docker网络管理机制(bridge network,overlay network),介绍Docker默认的网络方式,并创建自己的网络桥接方式,将开...

2459

扫码关注云+社区

领取腾讯云代金券