OpenTrojan 情报基础设施
搜索情报、CVE、威胁… 搜索
问 AI 分析师 API
English中文
进入门户

SUNBURST

malware OpenTrojan Threat Intelligence

用于 2020 年供应链失陷的木马化 SolarWinds Orion DLL；投递了一个具备 DNS 和 HTTP C2、基于休眠的规避和动态解析能力的后门。

来源归属

来源类型
MITRE
来源
MITRE ATT&CK · CISA · Microsoft · FireEye
已验证
2026-09-07
置信度
high

Source: MITRE ATT&CK · CISA · Microsoft · FireEye · Verified: 2026-09-07 · Confidence: high

安全时间线

  • discovered SUNBURST 自至少 2020 年 2 月起被 APT29 使用（MITRE）
  • exploited FireEye 披露被木马化的 Orion 构建；CISA 发布紧急指令 21-01
  • updated 利用 MITRE S0559 技术数据扩展了实体档案（阶段 F 批次 3）

快速解答

SUNBURST 是被木马化的 SolarWinds Orion DLL（S0559，又称 Solorigate），由 APT29 自至少 2020 年 2 月起使用：它通过基于休眠的节流规避检测，使用 DNS 和 HTTP 进行 C2，动态解析基础设施，并投递 TEARDROP 等后续载荷。

定义

SUNBURST（MITRE S0559）是一个被木马化的 DLL，旨在嵌入 SolarWinds Orion 更新框架。它自至少 2020 年 2 月起被 APT29 使用，通过 DNS 和 HTTP C2 通信，同时通过节流执行来规避沙箱和行为检测。

概述

SUNBURST（MITRE S0559，又称 Solorigate）是一个被木马化的 DLL，其设计目的是嵌入 SolarWinds Orion 软件更新框架。自至少 2020 年 2 月起，它被 APT29 使用，并在 SolarWinds SUNBURST 供应链攻击 期间通过签名软件更新投递给了 18,000 多个组织。

别名

Solorigate。

首次已知 / 相关背景

至少自 2020 年 2 月起在野外观测到；2020 年 12 月公开披露，当时 FireEye 报告了 Orion 构建流水线失陷，CISA 发布了紧急指令 21-01。

目标

  • Windows 平台
  • SolarWinds Orion 客户（观测到的后续受害者中包括政府、技术和安全公司）

平台

Windows。

能力

  • 后门 C2——通过 HTTP GET/POST 与第三方服务器通信，并通过旨在模仿正常 SolarWinds API 通信的 DNS 进行通信（T1071.001、T1071.004）。
  • 隐蔽性——在初始访问后最长潜伏两周（基于休眠的规避），向 C2 流量添加垃圾字节，并让 C2 数据看起来像无害的 XML/JSON（T1001.001）。
  • 动态基础设施——使用父域内随机生成的子域名动态解析 C2 基础设施（T1568.002）。
  • 加密——使用单字节 XOR 密码加密 C2 流量（T1573.001），并在 C2 流量中使用 Base64 编码（T1132.001）。
  • 反分析——执行前将域名和进程/服务与硬编码的黑名单进行比对，并尝试禁用安全服务（T1518.001）。
  • 载荷投递——至少在一次实例中投递了包括 TEARDROP 在内的后续载荷（T1105），并使用 IFEO Debugger 注册表值触发 Cobalt Strike 的安装。
  • 清理——删除与 HTTP 代理和 IFEO 持久化相关的注册表值以清除痕迹（T1070）。

技术

ID名称观察记录（来源）
T1071.001Web 协议对第三方服务器的 HTTP GET/POST C2（MITRE/FireEye）
T1071.004DNS模仿 Orion API 通信的 DNS C2（MITRE/FireEye）
T1059.005Visual Basic使用 VBScript 发起载荷执行（MITRE/Microsoft）
T1132.001标准编码C2 流量中的 Base64 编码（MITRE/FireEye）
T1001.001垃圾数据向基于 HTTP 的 C2 添加垃圾字节（MITRE/FireEye）
T1568.002域名生成通过随机子域名动态解析 C2（MITRE/FireEye）
T1573.001对称加密用于 C2 的单字节 XOR 密码（MITRE/FireEye）
T1027混淆的文件或信息对收集的系统信息进行 FNV-1a + XOR 混淆（MITRE/FireEye）
T1105入口工具传输投递 TEARDROP 及其他载荷（MITRE/FireEye）

相关攻击者

  • APT29（MITRE G0016）——MITRE 和 Microsoft 将 SUNBURST 的使用归因于 APT29；该归因属分析性结论，基于已发表的研究，并非绝对。

相关攻击活动

IOC

IOC 主张必须来自可靠来源；以下是来自 FireEye/Microsoft 最初披露的、已公开的著名指标。请将其视为历史信息——它并非一份完整或最新的封锁清单。

  • C2 域名家族 avsvmcloud.com（FireEye 披露，2020 年 12 月）
  • 被木马化的 SolarWinds.Orion.Core.BusinessLayer.dll——应对比厂商研究来验证文件哈希，而非依赖记忆
  • 适用于你环境的其他 IOC：此处不提供——请从可信的厂商研究（CISA AA20-352a、FireEye/Mandiant）中获取，而不要依赖未经核实的列表。

检测

  • 检查 SolarWinds Orion 的构建/更新产物，查找被木马化的 DLL 及其版本。
  • 监控 DNS，查找与 Orion 主机相关的 C2 式模式及动态子域名解析。
  • 在端点遥测中查找基于休眠的节流以及延迟的失陷后活动。
  • 结合 SolarWinds 攻击活动页面 和 CISA 指南来关联狩猎步骤。

缓解措施

  • 移除被木马化的 Orion 更新，并对疑似受影响的主机重新镜像。
  • 吊销可能暴露于 Orion 失陷路径的凭据和令牌。
  • 应用 CISA 紧急指令 21-01 的指南以及厂商的恢复建议。
  • 今后验证软件供应链的完整性（签名构建、隔离的流水线）。

相关内容

推荐工具

调查路径

  1. 确认产物（DLL 哈希、签名构建）→ 2. 通过 IOC 查询检查指标 → 3. 检查 DNS/C2 模式 → 4. 映射到相关技术和攻击活动 → 5. 在调查中记录证据和缓解措施。

发起一项新调查，以跟踪发现、证据和修复措施。

恶意软件情报

家族: SUNBURST

别名: Solorigate

技术: T1071.001, T1071.004, T1059.005, T1132.001, T1001.001, T1568.002, T1573.001, T1027, T1105

目标: Windows, SolarWinds Orion 客户

行为:
  • 通过失陷的构建流水线投递被木马化的已签名 Orion DLL
  • 基于休眠的节流（最长潜伏两周）以规避沙箱
  • 旨在融入正常 SolarWinds API 流量的 DNS 和 HTTP(S) C2
  • 通过随机生成的子域名动态解析 C2 基础设施
  • 在检查硬编码的进程/服务黑名单后禁用安全服务
  • 投递 TEARDROP 等后续载荷

相关

参考资料

还有后续问题？

向 OpenTrojan 证据驱动的助手询问本主题——回答会引用其来源。

就此向 AI 提问 发起调查

开始调查

从阅读转向调查 SUNBURST。工作区是结构化的分析界面——不是聊天——组织为：

  1. 问题 — 你需要了解 SUNBURST 的什么？
  2. 证据 — 与可验证来源对应的断言。
  3. 时间线 — 按时间顺序排列的事件。
  4. 相关实体 — CVE、威胁行为体、攻击活动、恶意软件链接。
  5. 来源 — NVD、CISA KEV、MITRE ATT&CK、厂商公告。
  6. 笔记 — 你自己的观察与工作假设。

AI 辅助仅限于摘要、解释与建议相关证据。AI 绝不完成你的调查、修改实体关系或生成事实——所有已发布分析均经人工复核。

开始调查 打开工作区

推荐工具

所有工具均在被动或本地运行——输入永不存储，也不会扫描任何目标。针对该实体开始调查 →