FX168财经网_全球视野外汇黄金加密货币NFT资讯网

SharkTeam：起底朝鲜APT组织Lazarus Group 攻击手法及洗钱模式

ff 的一次知名攻击是 2016 年的孟加拉国银行攻击案，他们试图利用 SWIFT 网络从属于孟加拉国中央银行的纽约联邦储备银行账户非法转移近 10 亿美元。在完成了几笔交易（2000 万美元追踪到斯里兰卡，8100 万美元追踪到菲律宾）后，纽约联邦储备银行以拼写错误引起的怀疑为由阻止了其余交易。自 2017 年以来，该组织开始对加密行业进行攻击，并获利至少 10 多亿美元。二、技战法分析 2.1常用攻击手法分析 Lazarus早期多利用僵尸网络对目标进行DDos攻击；目前主要攻击手段转为鱼叉攻击、水坑攻击、供应链攻击等手法，还针对不同人员采取定向社会工程学攻击。战术特征：（1）使用邮件鱼叉攻击和水坑攻击（2）攻击过程会利用系统破坏或勒索应用干扰事件的分析（3）利用SMB协议漏洞或相关蠕虫工具实现横向移动和载荷投放（4）攻击银行SWIFT系统实现资金盗取技术特征：（1）使用多种加密算法，包括RC4，AES， Spritz等标准算法，也使用XOR及自定义字符变换算法（2）主要使用虚假构造的TLS协议，通过在SNI record中写入白域名来Bypass IDS。也使用IRC、HTTP协议（3）通过破坏MBR、分区表或者向扇区写入垃圾数据从而破坏系统（4）使用自删除脚本攻击手段：（1）鱼叉攻击：鱼叉攻击是计算机病毒术语，是黑客攻击方式之一。将木马程序作为电子邮件的附件，并起上一个极具诱惑力的名称，发送给目标电脑，诱使受害者打开附件，从而感染木马。Lazarus通常以邮件夹带恶意文档作为诱饵，常见文件格式为DOCX，后期增加了BMP格式。入侵方式主要利用恶意宏与Office常见漏洞、0day漏洞、植入RAT的手法。（2）水坑攻击：顾名思义，是在受害者必经之路设置了一个“水坑(陷阱)”，最常见的做法是，黑客分析攻击目标的上网活动规律，寻找攻击目标经常访问的网站的弱点，先将此网站“攻破”并植入攻击代码，一旦攻击目标访问该网站就会“中招”。Lazarus通常针对贫穷的或欠发达地区的小规模银行金融机构使用水坑攻击，这样就可以在短时间内大范围盗取资金。2017年，Lazarus对波兰金融监管机构发动水坑攻击，在网站官方网站植入恶意的JavaScript漏洞，导致波兰多家银行被植入恶意程式。此次攻击感染了 31 个国家的 104 个组织，大多数目标是位于波兰、智利、美国、墨西哥和巴西的金融机构。（3）社工攻击：社会工程攻击，是一种利用"社会工程学" 来实施的网络攻击行为。在计算机科学中，社会工程学指的是通过与他人的合法地交流，来使其心理受到影响，做出某些动作或者是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。Lazarus擅长将社工技术运用到攻击周期中，无论是投递的诱饵还是身份伪装，都令受害者无法甄别，从而掉入它的陷阱中。2020年期间，Lazarus在领英网站伪装招聘加密货币工作人员并发送恶意文档，旨在获取凭证从而盗取目标加密货币。2021年，Lazarus以网络安全人员身份潜伏在Twitter中，伺机发送嵌有恶意代码的工程文件攻击同行人员。武器库： Lazarus使用的网络武器中包含大量定制工具，并且使用代码有很多相似之处。肯定地说，这些软件来自相同的开发人员，可以说明Lazarus背后有具有一定规模的开发团队。Lazarus拥有的攻击能力和工具包括DDoS botnets、 keyloggers、 RATs、wiper malware，使用的恶意代码包括Destover、Duuzer和 Hangman等。 2.2典型攻击事件分析下面以一起典型的Lazarus针对加密行业的鱼叉攻击为例进行分析。Lazarus通过邮件附件或链接的方式，诱导目标工作人员下载恶意压缩包，并执行压缩包中的恶意文件。邮件末尾的“CoinbaseJobDescription”即为恶意链接并诱导用户点击，一旦点击用户就会下载恶意压缩包，并执行压缩包中的恶意文件。压缩包分为三种情况：（1）释放加密的诱饵文件和一个带有恶意命令的LNK文件，由LNK文件下载后续载荷，后续载荷释放文件密钥和恶意脚本；（2）释放LNK文件，LNK文件下载后续载荷，后续载荷释放诱饵文件和恶意脚本；（3）释放带宏的OFFICE文件，由恶意宏下载后续载荷并执行。以样本b94a13586828f8f3474f7b89755f5e7615ff946efd510a4cca350e6e1b4af440为例进行分析。该样本文件名为Ledger_Nano_S&X_Security_Patch_Manual.zip，是一个zip压缩包，文件名中的LedgerNano是一款硬件钱包，用于保护加密资产，S和X是其型号。该样本伪装成LedgerNano的安全补丁手册，解压后会释放一个伪装成pdf文件的快捷方式文件：用户双击该快捷方式后，会执行命令：该命令中，使用cmd静默执行expand程序，将msiexec.exe复制到%appdata%\pat.exe路径下，然后使用pcalua.exe打开pat.exe，从远程服务器上下载msi文件并执行。这个过程中使用了多种逃避木马检测的技术：（1）expand.exe是系统用于解压压缩包的程序，但可以被用来进行文件复制，代替敏感的copy命令；（2）复制并重命名msiexec.exe，以逃避对msiexec.exe的执行检测；（3）pcalua.exe是windows程序兼容性助手，是系统的白名单程序，攻击者使用该程序调用重命名为pat.exe的msiexec.exe，访问远程服务器上的恶意msi文件，从而逃避检测。获取到的MSI文件运行后，会执行内嵌的脚本：该脚本为Lazarus典型的一阶段脚本，其功能包括：（1）下载并打开正常的PDF文件从而迷惑受害者；（2）向启动目录释放Edge.lnk文件，完成自启动；lnk文件执行的命令与样本解压后的lnk文件基本相同，也是使用pcalua.exe调用重命名后的msiexec.exe加载远程服务器上的msi文件；该文件的名称和图标都伪装为Edge浏览器，使受害者降低警惕；（3）调用WMI命令获取进程名称列表并进行拼接，然后检查如下进程名称： “kwsprot”：金山毒霸相关进程 “npprot”：Net ProtectorAntiVirus相关进程 “fshoster”：F-Secure相关进程（4）如果拼接后的进程名称中存在上述字符串之一，则会使用cscript.exe执行后续脚本，否则使npprot用wscript.exe；（5）将选定的脚本执行程序复制到%public%目录下；并且如果进程名称中存在kwsprot或npprot，会将用于执行脚本的程序重命名为icb.exe，以逃避检测；（6）解码base64编码的后续脚本，释放到临时文件夹下，命名为RgdASRgrsF.js （7）使用复制到%public%目录下的脚本执行程序，执行RgdASRgrsF.js RgdASRgrsF.js是Lazarus典型的二阶段脚本，其功能非常简单，生成随机的UID后与服务器通讯，然后循环接受服务器的命令并执行；所执行的命令通常一些收集系统信息的命令：至此攻击已经完成，黑客可以在用户电脑上获得他所需的文件或密码等敏感信息。通过对Lazarus可以发现，目前其攻击的目标行业包括政府、军队、金融、核工业、化工、医疗、航空航天、娱乐媒体和加密货币，从2017年开始加密货币行业的比重明显增大。三、洗钱模式分析目前已明确统计到的Lazarus攻击加密领域的安全事件和损失如下：超过30亿美元的资金在网络攻击中被Lazarus盗取，据悉，Lazarus 黑客组织背后有着朝鲜战略利益的支撑，为朝鲜的核弹、弹道导弹计划提供资金。为此，美国宣布悬赏500万美元，对Lazarus黑客组织进行制裁。美国财政部也已将相关地址添加到OFAC特别指定国民（SDN）名单中，禁止美国个人、实体和相关地址进行交易，以确保国家资助的集团无法兑现这些资金，以此进行制裁。以太坊开发商Virgil Griffith因帮助朝鲜使用虚拟货币逃避制裁而被判处五年零三个月的监禁,今年 OFAC 也制裁了三名与 Lazarus Group 相关人员，其中两名被制裁者 Cheng Hung Man 和 Wu Huihui 是为 Lazarus 提供加密货币交易便利的场外交易 (OTC) 交易员，而第三人 Sim Hyon Sop 提供了其他财务支持。尽管如此，Lazarus已完成了超10亿美元的资产转移和清洗，他们的洗钱模式分析如下。以Atomic Wallet事件为例，去除黑客设置的技术干扰因素后（大量的假代币转账交易+多地址分账），可以得到黑客的资金转移模式：图：Atomic Wallet 受害者1资金转移视图受害者1地址0xb02d...c6072向黑客地址0x3916...6340转移304.36 ETH，通过中间地址0x0159...7b70进行8次分账后，归集至地址0x69ca...5324。此后将归集资金转移至地址0x514c...58f67，目前资金仍在该地址中，地址ETH余额为692.74 ETH（价值127万美元）。图：Atomic Wallet 受害者2资金转移视图受害者2地址0x0b45...d662向黑客地址0xf0f7...79b3转移126.6万USDT，黑客将其分成三笔，其中两笔转移至Uniswap，转账总额为126.6万USDT；另一笔向地址0x49ce...80fb进行转移，转移金额为672.71ETH。受害者2向黑客地址0x0d5a...08c2转移2.2万USDT，该黑客通过中间地址0xec13...02d6等进行多次分账，直接或间接将资金归集至地址0x3c2e...94a8。这种洗钱模式与之前的Ronin Network、Harmony攻击事件中的洗钱模式高度一致，均包含三个步骤：（1）被盗资金整理兑换：发起攻击后整理原始被盗代币，通过dex等方式将多种代币swap成ETH。这是规避资金冻结的常用方式。（2）被盗资金归集：将整理好的ETH归集到数个一次性钱包地址中。Ronin事件中黑客一共用了9个这样的地址，Harmony使用了14个，Atomic Wallet事件使用了近30个地址。（3）被盗资金转出：使用归集地址通过Tornado.Cash将钱洗出。这便完成了全部的资金转移过程。除了具备相同的洗钱步骤，在洗钱的细节上也有高度的一致性：（1）攻击者非常有耐心，均使用了长达一周的时间进行洗钱操作，均在事件发生几天后开始后续洗钱动作。（2）洗钱流程中均采用了自动化交易，大部分资金归集的动作交易笔数多，时间间隔小，模式统一。通过分析，我们认为Lazarus的洗钱模式通常如下：（1）多账号分账、小额多笔转移资产，提高追踪难度。（2）开始制造大量假币交易，提高追踪难度。以Atomic Wallet事件为例，27个中间地址中有23个账户均为假币转移地址，近期在对Stake.com的事件分析中也发现采用类似技术，但之前的Ronin Network、Harmony事件并没有这种干扰技术，说明Lazarus的洗钱技术也在升级。（3）更多的采用链上方式（如Tonado Cash）进行混币，早期的事件中Lazarus经常使用中心化交易所获得启动资金或进行后续的OTC，但近期越来越少的使用中心化交易所，甚至可以认为是可以的避免使用中心化交易所，这与近期的几起制裁事件应该有关。 About Us SharkTeam的愿景是保护Web3世界的安全。团队由来自世界各地的经验丰富的安全专业人士和高级研究人员组成，精通区块链和智能合约底层理论。提供包括链上大数据分析、链上风险预警、智能合约审计、加密资产追讨等服务，并打造了链上大数据分析和风险预警平台ChainAegis，平台支持无限层级的深度图分析，能有效对抗Web3世界的新型高级持续性盗窃(Advanced Persistent Theft，APT)风险。已与Web3生态各领域的关键参与者,如Polkadot、Moonbeam、polygon、OKX、Huobi Global、imToken、ChainIDE等建立长期合作关系。官网：https://www.sharkteam.org Twitter：https://twitter.com/sharkteamorg Telegram：https://t.me/sharkteamorg Discord：https://discord.gg/jGH9xXCjDZ 来源：金色财经

金色财经2023-10-13

永福股份(300712.SZ)拟投建孟加拉国70MW(AC)光伏发电项目

司永福新能与POT、AWP共同投资建设孟加拉国BANDARBAN 70MW(AC)光伏发电项目。该项目建设规模约95MWp，规划投资总额约9754.48万美元（折合人民币约7亿元）。其中，子公司永福新能的投资金额将不超过8486.4万美元（折合人民币约6.09亿元）。风险提示：界面有连云呈现的所有信息仅作为参考，不构成投资建议，一切投资操作信息不能作为投资依据。投资有风险，入市需谨慎!

有连云2023-10-13

A股头条：深夜突发！央行三大调整；各地密集推进特殊再融资债券；澳大利亚或将铁矿石等纳入“关键矿产清单”

得上海青浦区地块永福股份：拟投资建设孟加拉国光伏发电项目交易提示【限售解禁】

金融界2023-10-13

10月12日上市公司晚间公告一览

得上海青浦区地块永福股份：拟投资建设孟加拉国光伏发电项目

金融界2023-10-12

晚间公告全知道：广汽集团斥资1.49亿美元投资滴滴自动驾驶！科源制药目前没有涉及减肥功效产品的收入…

有100%权益。永福股份：拟投资建设孟加拉国光伏发电项目永福股份公告，拟投资建设孟加拉国BANDARBAN 70MW(AC)光伏发电项目，投资总额约9754.48万美元。

金融界2023-10-12

北方国际：目前公司在巴以没有已签约项目，巴以战争对公司项目没有影响

了巴基斯坦橙线地铁、克罗地亚塞尼风电、孟加拉1320MW燃煤电站、蒙古矿山一体化等六十多个“一带一路”重大标志性项目。今年举办第三届“一带一路”国际合作高峰论坛，将会使我国高质量共建“一带一路”的倡议得到普遍支持和广泛响应，为国际工程行业带来发展机遇，公司将出席本次峰会，也希望通过峰会的获得新的项目机会。投资者：董秘您好，两个问题。一：请问贵公司的转型是否涉及到改革重组工作？今后相关主营业务的比例是否会发生变化？二：关于十月份的一带一路峰会，贵公司有什么新的业务和项目要签订吗？未来的市场空间拓展在哪里？还有没有什么新的合作在洽谈？谢谢！北方国际董秘：投资者您好！近年来随着市场竞争加剧，公司不断增强发展动能，大力实施转型升级战略，由传统的EPC工程总承包模式向投建营一体化、全产业链一体化模式转型升级，取得了积极成果，目前公司没有应披露而未披露的改革重组计划，但公司未来仍将积极探索投资机会，在国际工程领域开发优势资源占有型且风险可控的特许经营项目，根据公司现有业务板块产业基础，探索通过海外投资，延伸、整合产业链条，向产业链高附加值环节延伸；公司将出席今年举办的第三届“一带一路”国际合作高峰论坛，也希望通过峰会的获得新的项目机会；2023年，公司大力加强协同发展和一体化带动，进一步发挥重大项目品牌优势，精耕细作传统优势市场，在南苏丹、孟加拉、刚果（金）市场又结硕果。同时，抢抓机遇、大胆布局，稳步开拓新兴市场，在中亚、中东欧、印尼市场喜获突破，在玻利维亚、马来西亚、柬埔寨、越南等新市场也在加紧布局，公司2023年第二季度新签项目合同11个，总金额18亿美元，详见公司于2023年7月28日披露的《2023年第二季度工程业务经营情况公告》。投资者：请公司把握好这次一带一路的机遇，签订大合同北方国际董秘：投资者您好！谢谢您的建议，感谢您对公司的关注。投资者：董秘你好，贵公司在巴以两国是否有项目？巴以战争对公司项目的影响有多大？北方国际董秘：投资者您好！感谢您对公司的关注。目前公司在巴以没有已签约项目，巴以战争对公司项目没有影响。以上内容由证券之星根据公开信息整理，由算法生成，与本站立场无关。证券之星力求但不保证该信息（包括但不限于文字、视频、音频、数据及图表）全部或者部分内容的的准确性、完整性、有效性、及时性等，如存在问题请联系我们。本文为数据整理，不对您构成任何投资建议，投资有风险，请谨慎决策。

证券之星2023-10-11

方向真的变了！中国赴美留学生直线下降背后原因究竟为何？

字只有一两个。取而代之的是来自尼泊尔和孟加拉国等发展中国家的候选人。 “我们希望录取更多的中国学生，因为一般来说，他们有更坚实的学术基础，”赵说。中国持续了大约三年的动态清零防疫政策对这一转变造成了直接影响。但这位毕业于清华大学的物理学家表示，即使在后疫情时代，由于国内和国际问题的影响，学生们也可能不会留在美国。北京大学教育学院副教授沈文钦说:“大流行是一种破坏，但它不是主要原因。”他补充说，这种下降在过去两年尤为明显。沈文钦自2016年以来一直在观察这个问题。他说，大约5、6年前，在中国最好的大学主修数学、物理和化学等学科的最聪明的学生将海外留学视为他们职业阶梯上的最佳下一步。但这种趋势正在消退。2020年，时任清华大学校长邱勇指出，在过去的五年里，清华大学毕业生出国留学的比例逐年下降。他说:“越来越多的毕业生选择留在中国继续深造或进入就业市场。” 在国外，中美关系的恶化给一些学生的美国教育梦想蒙上了阴影，导致他们推迟了学习计划，主要原因是签证审批更加严格。根据美国《高等教育纪事报》(Chronicle of Higher Education)的数据，2022年年中，美国向中国学生发放的签证比2021年同期减少了45%左右。然而，接受《华盛顿邮报》采访的研究人员更重视这样一个事实:与本世纪初的中国不同，中国现在正在成为一个重要的全球科技强国。这在6月份发布的最新自然指数中可以看到，该指数基于发表的科学论文排名显示，中国的科研机构已经超过了美国和其他西方同行。 “中国在许多学术领域正在快速崛起，”沈文钦说。“例如，如果学生在美国被限制获得计算机科学资格，他们就不太可能在德国、英国或其他国家寻求替代选择，因为中国也是一个领先大国，拥有如此多的大型科技公司。” 近年来，沈教授对来自大陆顶尖大学的学生进行了采访，他们将西方培训的教师列为他们现在考虑在中国继续学习或进行研究的原因之一。他说:“如果你浏览一下这些机构教师的履历，你会发现许多年轻一代的学者都有斯坦福、麻省理工学院或哈佛等名校的背景，因此他们有世界视野和国际合作网络。” 同样，中国一直在升级其产业结构，以发展成为一个技术更先进的经济体，从而为年轻的专业人士创造了更多的高科技工作。《外交事务》杂志上个月发表的一篇文章称:“美国大学促进国家间相互理解的最重要方式之一，同时也促进了美国的利益，就是培养来自世界各地的学生。”文章还补充说，美国大学吸引世界上最优秀人才的能力是美国成功的关键。但是，这将给中国带来什么影响呢?接受采访的学者对这一变化表达了谨慎但积极的看法。 “中国在人才培养方面不像过去那样依赖西方，”赵奕平说。在沈文钦看来，这种转变实际上对中国是一件好事。他表示:“我认为，过去我们经历了人才流失，最优秀的人才去了国外，其中很大一部分人不再回国，这反过来损害了中国的人才培训体系。” 但如果这一比率继续下降，沈文钦说，就有理由担心，因为过去几十年中国科学发展的关键贡献之一是将年轻人才送到发达国家，并保持与世界的学术交流。尽管如此，对于许多中国家庭来说，在国际知名的高等教育机构学习仍然是一个诱人的梦想。根据市场研究公司ICEF Monitor的数据，2022年，约有130万国际学生在美国持有有效学习签证，比2021年增长了10%。中国仍然是最大的来源国，约有32万名学生前往美国。一位不愿透露姓名的大陆大学疫苗研发科学家观察到，在中国媒体对美国的负面描述、对中国科技实力的大肆宣传以及美国的反亚洲仇恨犯罪的共同影响下，一些大学生，尤其是那些背景较差的大学生，不再热衷于在美国继续深造。然而，他表示，中国的精英群体越来越重视孩子的国际教育。他说，一位亲密的朋友，一位著名的科学家，打算送他的孩子去美国上大学，已经决定把这个计划提前，选择送他们去那里读高中。这位疫苗专家表示，他可以理解这样的决定，他对大陆大学的人才培养感到失望。他说:“许多不相关的政治意识形态课程占用了学生很大一部分时间，而与专业相关的材料和知识传授都是过时的。”他补充说，对言论自由和探索自由的日益严格的限制阻碍了创新。他说，尽管中国在科学技术方面取得了重大进步，但与一些西方国家相比，仍有相当大的差距，他以近年来中国生物技术公司的激增为例。他说:“很多公司缺乏原创技术。”

忆芳 1评论2023-10-11

光弘科技：除了拥有惠州、嘉兴、上海等国内制造基地，公司在印度、越南、孟加拉等地亦设有大型制造基地

证券之星2023-10-08

吴晓波：浙江政府的服务意识，是其民企发展最重要的因素之一

了260亿件，300多亿件服装现在是在孟加拉国，在柬埔寨、在越南生产。所以我们当年可能是以件数来评价我们中国的纺织行业做得好不好。今天我们可能会问未来的服装产业我们的优势是什么？我们在印染方面有没有能力？我们在纺织机械方面有没有能力？我们现有的服装工厂有没有进行智能化改造？全世界最先进的西装工厂、衬衫工厂是不是在中国？我们服装行业的ESG（环境、社会和公司治理Environmental， Social and Governance）做得怎么样？我们的碳排放做得怎么样？在印染技术方面做得好不好？在布料的创新方面做得好不好？所以对纺织服装行业来讲，它的任务点会不一样。我前两天在绍兴去看了一家并不大的企业，一年大概做两个多亿，它做无水印染。上个礼拜我去了厦门的一家企业安踏。它到2035年所有的运动服要达到零排放，完全实现环保化生产。这是我们重新要考虑的问题。所以所有的陌生感都是因为我们到了一个新的发展阶段了。服装从600亿变成260亿件是不可逆转的。很多做服装的工厂、做鞋革的工厂、做小家电的工厂，跑到东南亚去是不可阻挡的。当这两件事情不可阻挡以后，我们选择什么就变得特别重要。2023年，可能每个人都面临这样的需要重新思考的问题。来源：百度财经

金融界2023-10-08

美媒：越南、印度、墨西哥皆难撼动中国“世界工厂”地位！中国内陆省份崛起推动“制造业迁徙”

学家表示，所有这些都意味着越南、印度和孟加拉国等新兴制造业国家在与中国竞争时，面临着巨大挑战。

marsh 1评论2023-10-07

24小时热点