韩国攻击毕竟不是来自中国的IP地址

韩国官员周五说，看来最近对韩国银行和电视网络的网络攻击可能并非起源于中国。

韩国通讯委员会官员李承元周五对记者说：“我们不小心进行双重检查和三重检查。” 李说：“现在只有在我们的证据确定的情况下，我们才会宣布这一消息。”

3月20日，韩国电视台KBS，MBC和YTN以及银行机构济州岛，NongHyup和Shinhan感染了一种恶意软件，该恶意软件擦除了硬盘驱动器上的数据，使系统无法运行。 KCC先前曾说过，一个中国IP地址访问了NongHyup银行的更新管理服务器，以分发“ wiper”恶意软件，该恶意软件擦除了六个受影响组织中估计32, 000个Windows，Unix和Linux系统中的数据。

据美联社报道，KCC似乎误将NongHyup系统用作中国IP地址的私有IP地址，因为它们“巧合”相同。 官员已经扣押了系统的硬盘，但目前尚不清楚感染的来源。

韩国互联网与安全局副总裁李在日对记者说：“我们仍在追踪一些可疑的IP地址，这些IP地址被怀疑位于国外。”

归因困难

在KCC声称攻击源于中国的IP地址后不久，韩国官员指责朝鲜支持这项运动。 韩国曾指责其北部邻国在先前的袭击中使用中国IP地址来瞄准韩国政府和行业网站。

但是，考虑到还有许多其他国家赞助的团体和网络犯罪团伙使用中国服务器发动攻击，仅一个IP地址并不是决定性的证据。 攻击者还可以使用很多技术来隐藏其活动或使其看起来好像来自其他地方。

KCC的这一错误虽然让韩国政府感到尴尬，但却完美地凸显了为何如此难以确定网络攻击的源头和肇事者。 Gartner的研究主管Lawrence Pingree说，攻击的归因可能“极其困难”。

挑战在于存在这样一个事实，即“可以在Internet上使用反情报，例如欺骗源IP，使用代理服务器，使用僵尸网络将攻击发送到其他位置，”和其他方法。 例如，恶意软件开发人员可以使用不同语言的键盘映射。

皮格里说：“一个华裔美国人或欧洲人了解中国人，但在其原籍国发展其功勋将导致问题的归属或不可能的归属。”

攻击细节

韩国联合通讯社（Yonhap News Agency）的一篇报道说，这次袭击似乎是使用多种攻击媒介发起的，当局已经发起了“多边”调查，以确定“所有可能的渗透途径”。 KCC的李（Lee）轻视了袭击发源于韩国的可能性，但拒绝说明原因。

趋势科技研究人员发现，至少有一个媒介是鱼叉式网络钓鱼活动，其中包括一个恶意软件删除程序。 一些韩国组织收到了带有恶意文件附件的垃圾邮件。 当用户打开文件时，该恶意软件从多个URL下载了其他恶意软件，包括Windows主启动记录抽头和针对联网的Unix和Linux系统的bash脚本。

研究人员在Windows MBR擦除器中发现了“逻辑炸弹”，该恶意软件将恶意软件保持在“睡眠”状态，直到3月20日下午2点。 在指定的时间，恶意软件激活并执行了其恶意代码。 银行和电视台的报告证实，中断是在当天下午2点左右开始的。

截至周五，济州和新韩银行已恢复其网络，NongHyup仍在进行中，但三者均恢复在线并可以正常使用。 电视台KBS，MBC和YTN仅恢复了其系统的10％，完全恢复可能需要数周时间。 但是，这些电视台表示，它们的广播功能从未受到影响。