FireEye RedTeam 被黑了

一大早朋友圈就炸了，鱼哥、猪猪侠、何艺等一众大佬都在谈论这事儿

赶紧去FireEye官网了解下具体发生了什么。

Part1. 官方报道

---

官网blog在这里: https://www.fireeye.com/blog.html

12月8日，发了两篇博客文章

第一篇文章《FireEye 共享了近期网络攻击的细节和应对措施》

文章先是坦承最近受到了一次高度复杂的网络攻击，从攻击者的行为、操作的隐蔽性和使用的技术来看，认为是国家自主的有组织的攻击。CEO Kevin 认为这是他25年来遇到的顶级攻击，整个过程可以说是对Fireeye量身定制。

FireEye 指出此次事件的几点影响：

1、攻击者访问了红队的安全评估工具，认为工具已泄露。

2、这些工具中不包含 0Day。

3、但是这些工具有些具有免杀能力，估计会对社会有影响。

4、客户信息和TI收集的元数据并未泄露。

精彩的地方在于，FireEye 的应急响应:

1、写了300多条安全检测规则，利用这些规则，可以发现使用了他家工具的攻击行为。

2、FireEye自家的安全产品已内置这些检测规则（自己的矛攻自己的盾）

3、作为上市公司，还根据《证券交易法》做了前瞻性声明。

第二篇文章《关于FireEye红队工具被未授权访问事宜》

这篇文章首先对FireEye的红队工具做了基本说明:

1、工具中既有简单的自动化信息收集脚本，也有类似于CobaltStrike、Metasploit这样的公开技术框架。

2、很多红队工具已经在社区发布，在他们的开源虚拟机CommandoVM 中就有。（https://github.com/fireeye/commando-vm）

3、对一些公开工具进行了修改，可以绕过常规的安全检测。

4、团队内部开发了一些其他工具和框架

5、不存在0day

直接告诉大家，针对这些红队工具，如何做检测。

1、检测规则放在了Github，311条。（地址：https://github.com/fireeye/red\_team\_tool\_countermeasures）

2、为了方便大家使用，根据告警检测点的不同，直接生成了 OpenIOC、Yara、Snort和ClamAV等多种格式。

Part2. 披露检测规则

---

关于这几种格式做个简单说明：

**Yara：**由virustotal的软件工程师Victor M. Alvarezk开发的识别和分类恶意软件样本的开源工具。YARA的每一条描述或规则都由一系列字符串和一个布尔型表达式构成。语法规则如下

rule silent_banker : banker
{
    meta:
        description = "This is just an example"
        thread_level = 3
        in_the_wild = true
    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
    condition:
        $a or $b or $c
}

以上规则告诉YARA任何包含有$a、$b、$c字符串的文件都被标识为slient_banker。

**OpenIOC：**MANDIANT公司（现在是FireEye的TI部门）创建的一种记录、定义以及共享安全情报的格式。更多说明可以参见：https://www.freebuf.com/sectool/86580.html

**Snort：**大名顶顶的 IDS 软件。国内很多公司基于该产品来做自己的NIDS。这里不做赘述，直接看 FireEye给出的rule。

alert tcp any $HTTP_PORTS -> any any (msg:"Backdoor.HTTP.BEACON.[CSBundle USAToday Server]"; flow:from_server,established; content:"{\"navgd\":\"<div class=gnt_n_dd_ls_w><div class=gnt_n_dd_nt>ONLY AT USA TODAY:</div><div class=gnt_n_dd_ls><a class=gnt_n_dd_ls_a href=https://supportlocal.usatoday.com/"; sid:25894; rev:1;)
alert tcp any $HTTP_PORTS -> any any (msg:"Backdoor.HTTP.BEACON.[CSBundle USAToday Server]"; content:"HTTP/1."; depth:7; content:"Connection: close"; content:"Content-Type: application/json\; charset=utf-8"; content:"Content-Security-Policy: upgrade-insecure-requests"; content:"Strict-Transport-Security: max-age=10890000"; content:"Cache-Control: public, immutable, max-age=315360000"; content:"Accept-Ranges: bytes"; content:"X-Cache: HIT, HIT"; content:"X-Timer: S1593010188.776402,VS0,VE1"; content:"Vary: X-AbVariant, X-AltUrl, Accept-Encoding"; sid:25893; rev:1;)

目前全部规则有311条，简单统计如下：

1、根据检测规则的家族来分

2、根据检测点（网络、主机、情报）来分：

Part3. 部分规则学习

---

本着专业人做专业事的思想，大部分时候我们不会去具体了解所用产品的规则库语法，更别谈分析规则库内容了。

借此机会，看几个FireEye的规则案例：

1、Gorat 远控工具的检测规则

根据文件大小和字符串来检测。

2、WMISpy 工具检测

检测PE文件的头两个byte是否为 MZ （Dos头），第 0x3c 开头的4个byte是否为 00004550。

3、Beacon的检测

简单做了下格式整理

alert tcp any any -> any $HTTP_PORTS (
msg:"Backdoor.HTTP.BEACON.[CSBundle MSOffice POST]";
 content:"POST /v1/push"; depth:13;
 content:"Accept: */*"; content:"Accept-Encoding: gzip, deflate, br"; content:"Accept-Language: en-US|0d 0a|"; content:"{\"locale\":\"en\",\"channel\":\"prod\",\"addon\":\"";
 content:"cli";
 content:"l-";
 sid:25891;
 rev:1;
)

在Snort中根据HTTP请求的header内容进行匹配。如果发现请求 /v1/push，并且还有cli、1-、sid=25891等内容，则告警。

Part4. 启示

---

有几点感受:

1、直面问题的勇气。作为一家安全公司，而且是上市公司。自身被入侵是一件很“丢人”的事情，但 FireEye 并没有选择掩盖，而是公开曝光，难能可贵。前不久的大型攻防演习中，“安全产品不安全”的段子也是满天飞，各大安全公司也是互相拆台，SXF EDR更是被暴打，最后SXF选择对自家产品进行公开漏洞悬赏，直面问题，值得鼓励。

2、自备矛与盾。很多安全厂商，红队只负责攻击，并不负责编写检测规则。如果有漏洞挖掘团队，新挖出的漏洞和规则库往往是作为 PR 来为自家产品能力加成，但是，对于红队开展日常服务的一些工具，是否有检测规则呢?尤其是一些杀软绕过、HIDS绕过、提权工具，这里存疑。

3、安全共赢生态。FireEye 公布的策略中，有TI、网络、主机等层面的检测规则，跨越了不同厂家的产品，能供最大化帮助社会减轻问题影响。试想问题发生在国内会是怎样的场景?

- A家红队工具泄露了，发布了工具检测规则

- B家的 NTA 策略语法不一致，要花几天修改检测规则

- C家的 AV 不支持用户自定义规则，也需要等几天修改规则

- D家威胁情报说不支持这种格式，再花几天增加IoC

有人就说，你想多了，A家怎么会对外公布检测规则呢？公关和群众的记忆才是最好的商业规则。