2014年黑客攻擊沙特大使館內幕
這個故事始于一場離奇的詐騙案，有人試圖從一名在英國的沙特校長手中騙取200歐元的簽證費，最終以提出5000萬美元的贖金要求和荷蘭外交警察的追捕結束。而這時，沙特國慶日(9月23日)快到了。
文件顯示了此次攻擊的細節和沙特的回應。這為政府如何應對可疑的民族國家襲擊提供了一個有趣的例子，并對世界各國大使館的安全能力提出了質疑。
一名黑客聲稱恐怖組織伊斯蘭國(ISIS)在2014年8月，控制了沙特駐荷蘭大使館官方電子郵件帳戶，并向位于海牙的十多個大使館發送了電子郵件，要求向ISIS支付5000萬美元，不然他們將會炸毀一個重要的外交接待處。
這次網絡攻擊破壞了沙特大使館的非涉密計算機網絡。攻擊者通過在大使秘書的工作站上安裝了一個普通的惡意軟件(rootkit)，控制了大使館官方電子郵件帳戶。
盡管進行了內部調查，但沒有人被正式追究責任。鑒于此次攻擊的復雜程度較低，無法確定此次攻擊是否真屬于ISIS有組織行動的一部分，或者來自一個隨機的支持者，還是一個偽裝成ISIS的動機不明的民族國家情報機構所為。
入侵的第一個標志
文件顯示，大使館開始意識到有一些不對勁是在十年前曾是一個英國學校校長(該學校有由沙特皇室資助的激進的伊斯蘭教科書)的 Dr. Sumaya Alyusuf，向沙特大使館發送郵件，請求協助她獲得印度簽證，而隨后大使館要求她通過MoneyGram進行200歐元的匯款的時候。
當時控制著沙特大使館官方電子郵件賬戶的攻擊者，在2014年8月26日通過沙特駐倫敦大使館的地址回復Alyusuf，要求她通過MoneyGram向沙特駐英國大使Mohammed bin Nawaf bin Adbul Aziz進行匯款。郵件中寫道：一旦我收到您的回復，我會確保簽證快速發放給您。
目前尚不清楚攻擊者將如何收取或者是否真的想要獲得這筆200歐元的費用。
文件顯示，Alyusuf打電話給沙特大使確認這個奇怪的請求。意識到情況不對，秘書讓Alyusuf將郵件轉發到她個人Gmail賬戶。秘書隨后將這件事告訴了大使。
大使開始進行調查。事件響應小組在沙特大使館的網絡郵件賬戶中發現了發送給Alyusuf的電子郵件。當時大使館的非涉密網絡供應商是一個家互聯網服務供應商，通過一個關聯電子郵件帳戶進行通信。該電子郵件帳戶的密碼是“123456”。由于秘書的工作站被配置為使用POP3/SMTP，而且她從未直接使用過網頁版郵件，所以很明顯有人入侵了其網頁版郵件。
大使館的進一步調查發現，秘書的工作站上被安裝了惡意軟件。為了在VirusTotal上進行查詢，CSO與Chronicle的Brandon Levene分享了這些惡意軟件的散列(hash)。Chronicle是Alphabet/谷歌公司集團的一部分。其散列與AutoIt惡意軟件家族相匹配，后者經常用于傳遞密碼竊取惡意軟件ISR Stealer的有效載荷。
Levene在電子郵件中寫道：
| 這種名為ISR Stealer的惡意軟件，是惡意軟件家族一個名為HackHound的惡意軟件的修改版本。你可以在YouTube很輕松地找到關于如何獲取和制造它的視頻。我對它可獲得性評級是很容易獲取(而且已經有5年多了)。 |
由于無法獲得第二階段ISR Stealer有效載荷的散列，所以無法通過其使用的特定二進制文件對其進行反向工程，來確定惡意軟件連接到的命令和控制服務器的位置。
作為對這一事件的回應，大使館的IT人員清理了秘書的工作站，重新安裝Windows來刪除惡意軟件，并將電子郵件帳戶的密碼改為比“123456”更強的密碼。
敲詐勒索升級到5000萬美元，并發出炸彈威脅
兩周后，在2014年9月6日，星期六，沙特大使秘書的個人Gmail賬戶收到一封偽造的電子郵件，該郵件發自本應恢復安全的沙特大使館官方電子郵件賬戶。這封電子郵件要求她撥出3500萬美元支持ISIS，否則他們的攻擊者將對9月25日在海牙舉行的沙特阿拉伯國慶日(Saudi Arabian National Day)慶祝活動進行破壞。這是一場將接待數百名外交貴賓的大使館招待會。
那個周末，攻擊者向海牙的十多個其他大使館發送了類似的電子郵件，其中包括阿曼蘇丹國大使館、巴基斯坦大使館，以及荷蘭的兩個獨立部門。這些偽造的電子郵件是通過印度的一個電子郵件服務發送的，還有一些是通過尼日利亞的一個開放代理發送的。
電子郵件中向其他大使館索要的金額要少一些，為2.5萬歐元。
| 我希望獲得您的資金支持，控制針對大使館的一些行為迫在眉睫，因為許多生命收到了威脅，這是ISIS的行為，我需要您進行保密。如果您能夠在星期二之前轉賬25000歐元，請告訴我。 我會向您提供一個機密帳戶。請幫助我拯救無辜的生命。 |
荷蘭外交警察對涉及荷蘭境內外交人員的犯罪案件擁有管轄權，他們向海牙的其他大使館發出了威脅警告。9月9日，也就是接下來的周六，襲擊者再次偽造了沙特大使館的官方電子郵件地址，將一份威脅警告的副本轉發給了幾個大使館，并將敲詐勒索的金額提高到了5000萬美元。事件響應小組急忙調查攻擊者是如何獲得機密信息的。
在離沙特國慶日只有兩周時間的時候，調查人員發現了三個可疑的配置規則。其中一個規則是自動將所有發送到沙特官方電子郵件帳戶的郵件轉發到一個名為live.com的代理電子郵件帳戶中。這使得攻擊者可以看到所有發送到大使館的官方電子郵件。
第二個規則是把從秘書到大使私人Gmail郵箱發送到大使館的所有郵件都移至垃圾桶。第三個規則是，把所有來自Dr.Sumaya Alyusuf工作郵箱的郵件都移至垃圾桶。
事件響應小組禁用了這些規則，并告知外交警察此事。無論是Alyusuf，沙特大使的秘書，還是大使館，都沒有回復我們的電子郵件，對此置評。
黑客身份不明
誰對這次攻擊負責仍是一個懸而未決的問題。攻擊復雜性低意味著攻擊者可能是任何人。前美國國防部網絡犯罪調查員Jim Christy表示：
| 這聽起來像是一次很普通的攻擊。可能是任何人，可能是一個孩子，可能是一個組織，可能是一個偽裝成ISIS的國家，使用不太復雜的工具進行的攻擊。我們經常見到這種情況。如果他們不需要使用他們的秘密武器，一些普通的工具就能奏效。 |
Levene也認為，這種攻擊的復雜性較低，因此很難定位攻擊者。Levene表示自己對ISIS使用的工具沒有親身經驗，他們發現ISIS的技術敏銳性和工具都表明攻擊者的攻擊復雜程度較低 (例如使用現成的、容易獲取/免費/破解的工具)。
然而，反恐專家Max Abrahms認為，從地緣政治角度看，ISIS襲擊沙特阿拉伯大使館毫無意義。他指出，大量沙特國民加入ISIS，成為了外國武裝分子。
| 沒有哪個國家的意識形態比沙特阿拉伯更像ISIS。 |
Abrahms提出，土耳其可能是此次襲擊的幕后黑手。他表示，提到恐怖主義，土耳其首先想到的不是ISIS，而是庫爾德人(Kurd)。這么看來土耳其幫助ISIS有明顯的動機。
至于是誰發動了這次攻擊，沒有人能夠確定。然而有一件事我們很確定：不要使用“123456”作為您官方大使館電子郵件帳戶的密碼。
原文地址：
https://www.csoonline.com/article/3386381/inside-the-2014-hack-of-a-saudi-embassy.html
【本文是51CTO專欄作者“李少鵬”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
