安全分析与研究

专注于全球恶意软件的分析与研究

原文首发出处：

https://xz.aliyun.com/t/13961

先知社区 作者：熊猫正正

随着全球网络安全战的爆发，各种Wiper类型的恶意软件被大量应用到了国与国之间的网络战，成为网络战的重要攻击武器，专门针对敌对国的基础设施进行网络攻击行动，破坏敌国的各种关键基础设施，此前俄乌网络战的期间就使用了大量的Wiper攻击武器进行网络攻击。

此前Google安全团队发布了以色列与哈马斯网络战争相关报告，报告下载链接：

https://services.google.com/fh/files/misc/tool-of-first-resort-israel-hamas-war-cyber.pdf，有兴趣的朋友可以下载研究一下，同时提供了相关的IOCS，IOCS链接：

https://github.com/google/threat-team/tree/main/2024/2024-02-14-tool-of-first-resort-israel-hamas-war-cybert，笔者针对以哈网络战中使用的几种Wiper攻击武器进行了详细分析。

删除系统所有用户帐号，如下所示：

通过Telegram发送相关消息到远程服务器，如下所示：

删除系统文件，如下所示：

它同样伪装成F5漏洞更新程序，如下所示：

生成的Hatef.exe恶意程序，对系统中的文件进行覆盖或删除操作，如下所示：

具体操作，如下所示：

然后通过Telegram发送系统主机相关信息和操作消息到远程服务器，如下所示：

如果不带有参数，则遍历C:\Users目录下的文件，如下所示：

获取操作系统主机信息，如下所示：

显示被损坏操作系统磁盘文件目录，以及系统主机信息，如下所示：

调用CMD命令，删除磁盘卷影复本、禁用系统启动修复等，如下所示：

填充写入随机数据内容，如下所示：

如果文件后缀名为EXE、SYS、DLL等后缀，则不损坏，如下所示：

重命名后的文件名为[随机字符串名].BiBi[随机数]，如下所示：

显示轮数、统计状态等信息，如下所示：

恶意样本运行之后，如下所示：

损坏的文件的文件名，如下所示：

判断是否有参数，没有参数，则遍历/目录下的文件，如下所示：

显示被损坏操作系统磁盘文件目录，以及系统主机信息，如下所示：

生成随机数据，如下所示：

写入文件，损坏文件，如下所示：

未来可能还会有更多的国与国之间会发起网络安全战，这些网络安全战中Wiper攻击武器起到了至关重要的作用，同时也是网络安全战最重要的攻击武器，通过些攻击武器可以破坏敌对国家的重要基础设施。

恶意软件、勒索、APT、黑产明年仍然是全球企业面临的最大的安全威胁，同时也是全球网络犯罪的最主要经济来源，是最需要安全厂商密切关注和研究的方向，未来攻击者仍然会不断的开发新的恶意软件，研究各种新的攻击技术，使用新的攻击手法，进行更复杂的攻击活动，这将会不断增加安全威胁分析和情报人员分析溯源应急响应的难度，安全研究人员需要不断提升自己的安全能力，更好的应对未来各种威胁挑战，安全对抗会持续升级，这是一个长期的过程，也正如笔者一直说的，做安全不是一个结果，做安全是一个过程，因为永远没有结果，各种网络安全威胁会不断变化和升级，我们需要快速应对这些威胁。