疑似俄罗斯黑客团体Fancy Bear使用的攻击程序源码文件
近期，安全研究人员在 Github 上发现了疑似俄罗斯黑客团体Fancy Bear使用的网络攻击相关源代码程序，这些程序用于攻击端与受害端的通信控制。通过分析发现，黑客使用了Gmail邮箱进行加密信息的接发交流。而据源码分享者表示，这些文件是在黑客的某台C&C中转服务器上发现的。
程序源码Github
https://github.com/rickey-g/fancybear
源代码语法信息
程序评论都是英文，但有很多语法错误；
MailServer.py 文件 中，涉及的某封电子邮件主题为电子邮件主题为“piradi nomeri”，在格鲁吉亚语中是“私人号码”之意；
MailServer.py文件中，规定了邮件附件的保存方式为detaluri_timetsamp.dat，而“detaluri”为格鲁吉亚语“detail”之意；
MailServer.py中某邮件主体内容出现了“gamarjoba”一词，其为格鲁吉亚语“Hello”之意。
涉及的Gmail账户信息
（经验证发现，都为一次性使用，相关密码信息已不可登录）：
POP3_MAIL_IP = ‘pop.gmail.com’
POP3_PORT = 995
POP3_ADDR = ‘jassnovember30@gmail.com’
POP3_PASS = ’30Jass11′
SMTP_MAIL_IP = ‘smtp.gmail.com’
SMTP_PORT = 587
SMTP_TO_ADDR = ‘userdf783@mailtransition.com’
SMTP_FROM_ADDR = ‘ginabetz75@gmail.com’
SMTP_PASS = ’75Gina75′
涉及的命令和控制服务器
XAS_IP = ’104.152.187.66′
XAS_GATE = ‘/updates/’
目前，经卡巴斯基首席安全专家Aleks Gostev（ @codelancer ） 证实 ， Fancy Bear使用 这些程序发起了针对格鲁吉亚目标的攻击，并且其中的代码与ESET在2016年10月发现的Fancy Bear APT样本一致，参考ESET分析报告《 Sednit：Observing the Comings and Goings 》。另外，有分析人员还在网站 http://trasitionmail.com/mail2/ 发现了最早于2015年2月出现的相同源代码程序。
*参考来源： Github ，FB小编clouds编译，转载请注明来自FreeBuf.COM
正文到此结束
热门推荐
相关文章
近期评论
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
搞个gitee的项目
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
