攻擊架構(gòu)：域名adobesys[.]com和其它攻擊使用的注冊(cè)信息

利用ThreatConnect系統(tǒng)WHOIS查詢(xún)功能，發(fā)現(xiàn)惡意程序回連域名adobesys[.]com的大量注冊(cè)信息，如通過(guò)中國(guó)網(wǎng)絡(luò)服務(wù)商注冊(cè)，注冊(cè)郵箱為li2384826402[@]yahoo[.]com，而該郵箱與2015年攻擊美國(guó)Anthem和OPM的APT組織DEEP PANDA高度關(guān)聯(lián)，進(jìn)一步為此次攻擊事件提供了重要證據(jù)。

經(jīng)分析，adobesys[.]com域名對(duì)應(yīng)兩個(gè)IP地址：173.231.11[.]24和185.92.222[.]81；攻擊者使用的另一個(gè)域名newsoft2[.]com對(duì)應(yīng)IP地址185.92.222[.]81，WHOIS信息顯示，newsoft2[.]com通過(guò)中國(guó)地區(qū)網(wǎng)絡(luò)利用郵箱omyname@gmail[.]com進(jìn)行注冊(cè)。攻擊者利用newsoft2[.]com配合adobesys[.]com進(jìn)行網(wǎng)絡(luò)滲透活動(dòng)。

攻擊目標(biāo)：兩家公司

在該案例中，攻擊者只關(guān)注小范圍的特定目標(biāo)。我們與合作伙伴通過(guò)網(wǎng)絡(luò)流量分析和攻擊域名監(jiān)測(cè)發(fā)現(xiàn)，中國(guó)APT組織使用HttpBrowser后門(mén)，對(duì)歐洲某無(wú)人機(jī)設(shè)備公司的系統(tǒng)控制工程師發(fā)起了定向攻擊，另外，美國(guó)國(guó)防部承包商的法國(guó)某能源管理公司在美分部也成為了這次攻擊的目標(biāo)，該公司長(zhǎng)期為美方提供能源管理和SCADA系統(tǒng)解決方案。

在攻擊發(fā)現(xiàn)后，我們及時(shí)通知了這兩家攻擊公司，但目前還暫時(shí)無(wú)法確定是否造成了數(shù)據(jù)泄露。

攻擊者：老練的“熊貓”組織

雖然此次攻擊手法與Emissary Panda和Dynamite Panda高度一致，但我們還不能確定攻擊者具體屬于哪支中國(guó)APT組織。Emissary Panda和Dynamite Panda都以國(guó)防和航空航天領(lǐng)域?yàn)橹饕裟繕?biāo)，Emissary Panda也曾對(duì)能源領(lǐng)域開(kāi)展過(guò)入侵攻擊。根據(jù)SecureWorks報(bào)告，Emissary Panda通常以?huà)祚R攻擊、策略式網(wǎng)頁(yè)攻擊或水坑攻擊為主要技術(shù)，針對(duì)特定組織機(jī)構(gòu)人員實(shí)施定向滲透。另外，魚(yú)叉式釣魚(yú)郵件也是Emissary Panda使用的攻擊手段。

社會(huì)-政治因素：攻擊動(dòng)機(jī)討論

在2015年中美雙方承諾遵守反對(duì)經(jīng)濟(jì)間諜的協(xié)議以來(lái)，HttpBrowser后門(mén)樣本的出現(xiàn)可能讓人們大失所望，雖然攻擊目標(biāo)為法國(guó)公司，但其中涉及美國(guó)利益，抑或者中國(guó)可以聲稱(chēng)，這屬于軍事間諜范疇，并不違反去年中美協(xié)定。

相比之下，針對(duì)歐洲無(wú)人機(jī)設(shè)備公司的攻擊就屬于典型的經(jīng)濟(jì)間諜活動(dòng)。雖然中國(guó)的大疆占據(jù)全球70%的民用無(wú)人機(jī)市場(chǎng)，但隨著無(wú)人機(jī)商業(yè)經(jīng)濟(jì)的持續(xù)增長(zhǎng)，可能不得不促使中國(guó)尋求與其它競(jìng)爭(zhēng)對(duì)手抗衡的方法。無(wú)人機(jī)公司的系統(tǒng)控制工程師作為此次攻擊的開(kāi)始，如果進(jìn)一步滲透，攻擊者會(huì)獲取更多無(wú)人機(jī)相關(guān)的知識(shí)產(chǎn)權(quán)、敏感資料和產(chǎn)品路線(xiàn)圖等信息，之后，通過(guò)竊取資料，中國(guó)可以為其無(wú)人機(jī)企業(yè)獲得更多經(jīng)濟(jì)優(yōu)勢(shì)：

整合競(jìng)爭(zhēng)對(duì)手能力，縮小中國(guó)無(wú)人機(jī)技術(shù)差距

竊取競(jìng)爭(zhēng)對(duì)手的技術(shù)創(chuàng)新，先于競(jìng)爭(zhēng)對(duì)手實(shí)現(xiàn)產(chǎn)品

與競(jìng)爭(zhēng)對(duì)手搶占金融市場(chǎng)或市場(chǎng)定價(jià)

了解競(jìng)爭(zhēng)對(duì)手的商業(yè)和研究計(jì)劃

經(jīng)濟(jì)間諜活動(dòng)的演化？

近年來(lái)，雖然中國(guó)的網(wǎng)絡(luò)經(jīng)濟(jì)間諜活動(dòng)不太明顯，但可以肯定的是這并沒(méi)有結(jié)束，這些攻擊活動(dòng)可能已經(jīng)演變成鞏固其市場(chǎng)地位的方式存在。從某種程度上來(lái)說(shuō)，鞏固中國(guó)公司在國(guó)際市場(chǎng)上占據(jù)主導(dǎo)地位的方式，可能是其經(jīng)濟(jì)間諜活動(dòng)的轉(zhuǎn)向。就像中國(guó)長(zhǎng)期針對(duì)美國(guó)鋼鐵企業(yè)開(kāi)展的APT攻擊一樣，讓其世界鋼鐵產(chǎn)量占比從2000年的15%上升到了2015年的50%。