作者：知道創宇404積極防禦實驗室
時間：2021年1月7日
1.背景
近日，知道創宇404積極防禦實驗室通過“知道創宇安全大腦-業務安全輿情監測平臺”監測到土耳其黑客組織“圖蘭軍”近期攻擊活動頻繁，攻擊量呈上升趨勢，並且該組織攻擊活動在元旦節以後更加活躍。
該組織是2019年12月22日成立的土耳其反華黑客組織，並大力支持東突分裂勢力，同時針對中國境內政府、教育等類別網站進行攻擊。早在2019年該組織剛成立時，知道創宇404積極防禦實驗室就已開始監測其動向；其成立當日，一名暱稱爲 “Yakamoz1319” 的組織成員就在黑客論壇 “turkhackteam” 上發帖煽動土耳其黑客針對我國境內網站發起攻擊，以實際行動表明對“東突厥斯坦”的支持。該組織發佈的惡意攻擊活動公告原文如下：
在這篇土耳其文的帖子當中，攻擊者傳達了其針對中國網站發動惡意攻擊的意圖：“對中國的攻擊已經開始！朋友們，你們都在關注議程。不幸的是，中國在東突厥斯坦對維吾爾族土耳其人的不人道折磨已使人們陷入冷血的境地。我們不會保持沉默。最近成立並於今天（2019/12/22）宣佈成立的圖蘭軍已將中國作爲第一個目標。截至目前，所有中文站點都是我們自由攻擊的目標。每個人都應該參與攻擊活動，無論是團隊領導還是普通成員。”
通過知道創宇業務安全輿情監測平臺統計，在2019年12月內圖蘭軍等土耳其黑客組織組織共計入侵中國境內網站達百餘個，其中不乏高等院校和科研單位
2.數據監測分析
據創宇安全大腦業務安全輿情監測平臺的數據統計，目前已有21個高校和27個事業單位網站被嘗試攻擊，且部分網站被植入黑頁。
該組織主要通過訪問/tr.php，/tr.html等URL的手段來探測網站是否被攻擊成功，以下爲雲防禦安全大數據平臺捕獲到的部分探測日誌和該組織公佈的被攻擊探測的境內網站，捕獲的樣本如下： 
經對過去一週內雲防禦安全大數據平臺的數據分析，該黑客組織長期對中國境內網站進行持續的掃描滲透活動，過去一週內總共收到來自該組織的攻擊探測7,532次。攻擊趨勢如下：
每天的探測數趨勢如下：
每天被探測的網站數量也在持續增長： 
根據雲防禦安全大數據平臺統計的攻擊趨勢來看，目前該組織的攻擊活動較頻繁，且呈現上升趨勢。目前臨近年底，正是“港獨”、“藏獨”、“東突”這類反動勢力活躍的時期，本次攻擊試探的目標基本均爲國家關鍵信息基礎設施單位，這類單位應該更加提高警惕做好網站防護工作。
目前探測攻擊的高度可疑部分IP如下： 
3.國內攻擊情況展示
案例1，某網絡有限公司網站
某網絡有限公司網站被黑客入侵，首頁被篡改。且該公司以下其他23個子域名也被成功攻擊。
案例2，某倉儲有限責任公司
某倉儲有限責任公司網站被黑客入侵，首頁被篡改。且該公司其他15個子域名也被成功攻擊。
案例3，某黨建網
經分析該網站爲某黨建網，該網站存在目錄遍歷問問題。
4.攻擊組織分析
該組織成員在還在Twitter上發佈“東突”相關言論，並貼出被黑的中國網站，如下：
該組織成員長期活躍於土耳其黑客論壇：
該組織長期通過該論壇交流對中國境內網站的攻擊成果，以及發佈被黑網站等信息
5.總結及建議
從當前來看，多數被黑的站點均屬於安全防護程度不高或缺乏長期維護的網站，此類網站在持續不斷的高強度境外攻擊面前存在有巨大的安全隱患。
知道創宇404積極防禦實驗室結合“知道創宇安全大腦”中的“業務安全輿情監測平臺”和“雲防禦安全大數據平臺”等平臺的數據進行了綜合分析，預測本次攻擊活動會持續到本月底前後，各單位須注意防範，建議：
1、 關注近期境外IP攻擊趨勢，可封禁攻擊IP列表中境外IP，及時做好網站安全防護措施；
2、 例如增加設備的安全策略、使用第三方Web應用防火牆（如：創宇盾）等加強防護。
3、 網站負責人應定期對重點業務站點可能存在的安全隱患進行排查，做好站點的安全保障工作；
4、 重點關注來自土耳其地區的異常訪問或疑似攻擊狀況，持續追蹤境外黑客組織的威脅行爲，謹防站點入侵事件的發生。
針對創宇盾客戶可做以下建議配置防護策略：
1、 開啓防黑鎖，避免關鍵資源受篡改而影響頁面；
2、 開啓後臺鎖，對於網站後臺登錄進行嚴格管控；
3、 提升協同防禦等級，屏蔽政府、教育文化類的境外高危IP；
4、 做好網站自身安全檢查，及時更新漏洞等相關補丁，避免被入侵；
5、 開啓弱口令防護，對登錄和註冊接口上出現的弱口令事件進行檢測或攔截；
6、開啓區域訪問控制，禁止土耳其IP訪問相關業務系統。
本文由 Seebug Paper 發佈，如需轉載請註明來源。本文地址：https://paper.seebug.org/1447/