可用-黑客

与朝鲜有关的 APT37 组织正攻击捷克、波兰等多个国家

  • 浏览次数 6760
  • 喜欢 0
  • 评分 12345

Securonix 威胁研究 (STR) 团队的研究人员发现了一个新的攻击活动,被跟踪为 STIFF#BIZON,针对多个国家的高价值组织,包括捷克共和国和波兰。研究人员将此活动归因于与朝鲜有关的APT37组织,即 Ricochet Chollima。

攻击者使用了Konni RAT(远程访问木马),该木马于 2017 年由 Cisco Talos 研究人员首次发现,自 2014 年以来一直未被发现,同时被用于高度针对性的攻击。RAT由于不断进化而能够避免检测,它能够在目标系统上执行任意代码并窃取数据。

Konni RAT 被归咎于与朝鲜有关的威胁行为者,被追踪为APT37。攻击链从试图诱骗受害者打开恶意附件的网络钓鱼邮件开始。

640

此活动中使用的附件是一个包含 Word 文档 (missile.docx) 和 Windows 快捷方式文件 (_weapons.doc.lnk.lnk) 的档案。

一旦打开 LNK 文件,感染链就会启动。

“代码执行首先将一小段代码嵌入到快捷方式文件中,当用户双击它时,该快捷方式文件将与预期的二进制文件一起运行和执行。” 阅读专家发表的分析。“此代码运行并执行附加到 missile.docx 文件末尾的 Base64 编码文本。”

Base64 有效负载与联系 C2 以下载和执行“weapons.doc”和“wp.vbs”文件的 PowerShell 脚本一起执行。

Weapons.doc 是一个诱饵文件,而 wp.vbs 在后台静默运行,并在名为“Office Update”的主机上创建一个计划任务,该任务执行以 Base64 编码的 PowerShell 脚本。

此时,C2 通信再次建立,允许攻击者访问系统。

一旦 Konni RAT 被加载到受感染的系统上,威胁参与者就可以使用特定模块实现以下功能:

  1. Capture.net.exe – 使用 Win32 GDI API 捕获屏幕截图并将 gzip 压缩的结果上传到 C2 服务器。
  2. chkey.net.exe – 提取存储在本地状态文件中的状态密钥,使用 DPAPI 加密。状态密钥允许攻击者解密 cookie 数据库解密,这在绕过 MFA 时很有用。
  3. pull.net.exe – 从受害者的网络浏览器中提取保存的凭据。
  4. shell.net.exe – 建立一个可以每 10 秒运行一次命令的远程交互式 shell。
  5. 为了进一步保持持久性,威胁参与者使用 Konni 恶意软件的修改版本,他们能够下载一个 .cab 文件,其中包含与恶意软件相关的多个文件(bat、dll、dat、ini、dll)。

专家们还讨论了在俄罗斯境内的 APT28 组织可能伪装成 APT37 的假旗行动的可能性。

“此外,在这次攻击和我们之前从 FancyBear/APT28 [3]中看到的历史数据之间,IP 地址、托管服务提供商和主机名之间似乎存在直接关联。最后,这个特殊案例的有趣之处在于,它使用了 Konni 恶意软件以及与 APT28 的相似之处。”


转自 E安全,原文链接:https://mp.weixin.qq.com/s/4inyisUnYXp2wHEpiKKgdA

封面来源于网络,如有侵权请联系删除