转载

Empire开发者宣布框架停止维护

本周，黑客们使用的“Empire post-exploitation”框架已被停用，转而使用其他新颖的工具进行攻击活动。

周三，这个框架的开发者之一克里斯·罗斯(Chris Ross)宣布了这一消息。他说，该项目实现了最初的目的，即不仅展示了PowerShell的后开发能力，同时提高了使用PowerShell进行恶意操作的高级参与者的意识。

研究人员进一步解释说，这项决定得到了“微软在过去几年提供的安全光学系统和改进”的支持。

Empire开发者宣布框架停止维护

轻量级和模块化

2015年，开发者在BSides Las Vegas安全会议上发布了Empire。Empire展示了当处于攻击的感染阶段之外时，我们该如何使用PowerShell。它的开源性和模块化架构使它能够发展并满足进攻性安全团队的需求，这些团队认为这是一个通过模仿真实威胁行动者的攻击来测试防御的机会。它的主要优点之一是使用与命令和控制服务器的加密通信，特别是在大型网络中，这个优点使它很难被检测到。攻击者可以使用Empire来控制在受感染主机上植入的代理，并向前推进攻击。进一步的开发消除了在受感染主机上使用powershell.exe的必要性。随着时间的推移，许多利用模块被添加到框架中，以满足各种黑客需求，以及用于Linux和macOS系统的Python代理。

恶意使用也很合适

虽然它成为了渗透测试人员的常用工具，但是Empire也常常被用于恶意活动。研究人员发现，从国家黑客到金融驱动的团体，它被各种各样的势力使用。

2018年韩国冬奥会期间，APT集团Hades在其奥林匹克驱逐舰战役中使用了帝国号。

2018年底，FIN7网络犯罪集团也开始依赖Empire框架，而不仅仅是Cobalt攻击威胁仿真软件。

威胁行为者也越来越频繁地在引人注目的勒索软件事件中使用它。安全研究人员维塔利•克雷米兹(Vitali Kremez)指出，欺骗机器人(trobot)和Dridex僵尸网络利用“Empire”进行网络开发和横向移动，为Ryuk和BitPaymer提供文件加密恶意软件。有一个例子是trick – ryuk伙伴关系，它依赖于Empire toolkit在受害者的网络上分发有效载荷。研究人员告诉Bleeping Computer，由于“轻量级和可扩展的模块化开发”，该框架在恶意软件操作人员中非常流行。

Empire开发者宣布框架停止维护