俄烏沖突引發(fā)民間網(wǎng)絡(luò)安全能力者的分裂,，Conti勒索軟件選擇站隊俄羅斯,，引發(fā)一名烏克蘭安全研究人員的憤怒，開始瘋狂地公開泄露Conti內(nèi)部數(shù)據(jù),；
據(jù)分析,，泄露數(shù)據(jù)包括Conti勒索軟件代碼,、TrickBot木馬代碼,、Conti培訓(xùn)材料,、Conti/TrickBot內(nèi)部交流的各種攻擊技巧等,，已然是一個小型網(wǎng)絡(luò)武器庫；
這些泄露數(shù)據(jù)可謂雙刃劍,，安全研究人員可以了解Conti的策略,、代碼開發(fā)、貨幣化方式,、潛在成員身份等信息,，采取更可靠的防御手段；惡意軟件開發(fā)者也可以利用這批數(shù)據(jù),，指導(dǎo)開發(fā)更多類似TrickBot的惡意軟件,。
安全內(nèi)參此前有分析，俄烏沖突引發(fā)了民間網(wǎng)絡(luò)安全能力者的分裂,，從烏克蘭地下黑客,、俄羅斯民間“網(wǎng)絡(luò)衛(wèi)士”到勒索軟件組織、國際黑客組織,，多方勢力紛紛表態(tài)和行動,，為此次沖突增加了更多復(fù)雜性。
其中,，Conti勒索軟件選擇站在俄羅斯一方,，這引發(fā)了一名烏克蘭安全研究人員的憤怒。
據(jù)安全內(nèi)參追蹤了解,，上周日（2月27日）,，這名研究員首次公開泄露Conti團伙內(nèi)部超6萬條聊天消息（2021.1-2022.2），周一（3月1日）又公開泄露了Conti團伙的超10萬條聊天消息（2020.6該團伙首次公開出手-2020.11）,、泄露賬號密碼數(shù)據(jù)庫,、Conti源代碼等。
安全廠商CyberArk對這批泄露數(shù)據(jù)（代號：ContiLeaks）進行了分析,，讓我們一起看看里邊都有什么吧,。
第二次泄露都有些什么？
ContiLeaks公開的這批文件可謂新鮮出爐,，不少文件甚至來自3月1日,。
ContiLeaks截至3月1日的數(shù)據(jù)轉(zhuǎn)儲內(nèi)容。
下面,，我們就對泄露數(shù)據(jù)逐個分析,，看看它們在研究人員手中能發(fā)揮哪些作用。
聊天記錄
此次泄露的聊天內(nèi)容主要是Conti團伙內(nèi)部的交流信息,，時間跨度為2020年6月-11月,。分析發(fā)現(xiàn)，其中一位用戶“經(jīng)常向其他全體用戶發(fā)送垃圾郵件”,。
研究人員可以從聊天記錄收集Conti團伙使用的用戶名,，“一起揪出Conti團伙的所有成員,。”
管理面板源代碼
快速瀏覽泄露內(nèi)容后,，研究人員們推測Conti團伙使用的大部分代碼來自開源軟件,。比如yii2、Kohana兩個PHP框架,，“（似乎）被用于構(gòu)建管理面板” ,。
“其中大部分代碼使用PHP編寫，由Composer負(fù)責(zé)管理,，唯一例外的是一個用Go編寫的工具,。”這些代碼庫還包含相應(yīng)的配置文件,，其中列出了本地數(shù)據(jù)庫的用戶名和密碼,，以及一些公共IP地址。
Pony惡意軟件竊取的憑證
Conti Pony Leak 2016.7z文件主要是泄露電子郵件賬號密碼庫,，來自gmail.com,、mail.ru、yahoo.com等郵件服務(wù)商,。很明顯,，這是由Pony憑證竊取惡意軟件從各種來源盜竊來的。Pony的歷史至少可以追溯到2018年,，是詐騙分子們最喜愛的憑證盜竊軟件之一,。
壓縮包內(nèi)還包含來自FTP/RDP與SSH服務(wù)、以及其他多個不同網(wǎng)站的憑證,。
TTP
Conti Rocket Chat Leaks.7z中包含Conti團伙成員關(guān)于攻擊目標(biāo),、攻擊手段的聊天記錄。他們會討論攻擊目標(biāo),，并運用Cobalt Strike實施攻擊,。
Conti團伙成員們在交談中提到過以下攻擊技術(shù)：
Active Directory枚舉
通過sqlcmd進行SQL數(shù)據(jù)庫枚舉
如何訪問Shadow Protect SPX（StorageCraft）備份
如何創(chuàng)建NTDS轉(zhuǎn)儲與vssadmin
如何打開新RDP端口1350
涉及以下工具：
Cobalt Strike
Metasploit
PowerView
ShareFinder
AnyDesk
Mimikatz
Conti Locker v2源代碼
與可能無效的解密器
此次泄漏文件還包含Conti Locker v2源代碼。這部分代碼在一個受密碼保護的zip文件中,，解開之后再無其他保護措施,。
除了Conti勒索軟件的v2源代碼外，還有一個解密器源代碼,。但有推特網(wǎng)友稱,，這款解密器已經(jīng)沒法使用。
Marcus證實,，“我聽說解密器不是最新版本,，也沒法正常使用。”
他猜測,，泄露的解密器可能是Conti提供給已支付贖金受害者的版本,。
解密器的工作原理有點像對受密碼保護的文件進行解壓，只是整個過程更復(fù)雜,、具體設(shè)計因不同勒索軟件家族而異,。
Marcus還提到,，“有些解密器內(nèi)置在獨立二進制文件中,，有些則可以遠(yuǎn)程啟用。它們通常會內(nèi)置密鑰,?！?/p>
Conti團伙培訓(xùn)材料
此次泄露文件還有培訓(xùn)材料，有俄語在線課程視頻,、也有以下TTP清單的具體操作方法：
破解/Cracking
Metasploit
網(wǎng)絡(luò)滲透
Cobalt Strike
使用PowerShell進行滲透
Windows紅隊攻擊
WMI攻擊（與防御）
SQL Server
Active Directory
逆向工程
Conti團伙的俄語培訓(xùn)材料,。
TrickBot泄露
另一個泄露文件是TrickBot木馬/惡意軟件論壇的聊天內(nèi)容，內(nèi)容涵蓋2019-2021年的大量消息,。
里邊大多數(shù)內(nèi)容是在討論如何實現(xiàn)網(wǎng)絡(luò)橫向移動,、如何使用某些工具，以及一些關(guān)于TrickBot和Conti團伙的TTP信息,。
例如,，在一封帖子中，某位成員分享了他的webshell,，并表示“這是我用過的最輕量級,、最耐用的webshell”。
其中還包含2021年7月上旬Conti團伙利用Zerologon等漏洞的證據(jù),。這并不奇怪,，畢竟從2020年9月開始，GitHub上先后出現(xiàn)過4個針對此漏洞的PoC,，以及大量漏洞技術(shù)細(xì)節(jié),。
其他泄露內(nèi)容還包括用Erlang編寫的服務(wù)器端組件：trickbot-command-dispatcher-backend、trickbot-data-collector-backend,，被稱為lero與dero,。
感想上帝提供的易讀性代碼！有推特網(wǎng)友感嘆,，“終于有值得翻閱的內(nèi)容了（Conti Trickbot Leaks.7z）——這些Erlang代碼整潔,、可復(fù)用，比幾個開源Erlang服務(wù)器示例要更好,?！?/p>
TrickBot代碼泄露可能導(dǎo)致…
更好的TrickBot出現(xiàn)
數(shù)據(jù)泄露會減緩TrickBot攻擊者的惡意活動嗎？真的未必,，因為攻擊者似乎已經(jīng)對Zanax發(fā)動過幾波打擊,。
上周（2月24日）,，安全廠商Intel 471的研究人員發(fā)布一份報告，講述TrickBot惡意軟件團伙如何在一段漫長的停頓期后卷土重來,。如果不是最近再次觀察到行動,，研究人員還以為他們突然消失了。自2021年12月28日到2022年2月17日,，研究人員沒有觀察到TrickBot團伙的任何惡意活動,。
研究人員當(dāng)時認(rèn)為，這次停頓可能是由于TrickBot團伙開始將業(yè)務(wù)重點轉(zhuǎn)向合作開發(fā)惡意軟件,，例如Emotet,。
ContiLeaks數(shù)據(jù)泄露事件很可能扭轉(zhuǎn)局勢，但不一定會變得更好,。威脅情報廠商LookingGlass威脅情報高級主管David Marcus表示,，隨著安全研究人員對數(shù)據(jù)的持續(xù)剖析，此次泄露將產(chǎn)生“重大長期影響”,，“我們將了解對方的策略,、代碼開發(fā)、貨幣化方式,、潛在成員身份等信息,。”
但代碼泄露本身也是一把雙刃劍,，他認(rèn)為“從防御的角度看,，這會幫助研究人員更好地了解TrickBot工作原理，進而采取更可靠的防御手段,。但另一方面,，這些源代碼也將流入其他惡意軟件開發(fā)者手中，指導(dǎo)他們開發(fā)出更多類似TrickBot的惡意軟件,?！?/p>
Conti團伙并不在乎
出了這么大的亂子，Conti團伙現(xiàn)在應(yīng)該很緊張吧,？但事實并非如此,。
威脅情報公司Advanced Intelligence（AdvInt）研究主管Yelisey Boguslavskiy表示，他們的主要情報來源都沒有顯示出這會影響Conti,。
他解釋道,，“這次泄露只涉及Conti內(nèi)部6支小組中的1支。雖然這個組似乎地位最高,，但其他小組確實絲毫未受影響,。Conti只是簡單重啟了所有基礎(chǔ)設(shè)施，然后繼續(xù)照常運行?！?/p>
