FatalRAT 针对使用云服务的亚太地区企业的进行网络钓鱼攻击

HackerNews 编译，转载请注明出处：

近期，亚洲太平洋地区（APAC）的多个工业组织成为了针对性的网络钓鱼攻击的目标，攻击者试图通过这些攻击传播已知的恶意软件FatalRAT。

根据卡巴斯基ICS CERT的报告，攻击者利用了合法的中国云内容分发网络（CDN）myqcloud和有道云笔记服务作为攻击基础设施的一部分。

这些攻击主要针对马来西亚、中国、日本、泰国、韩国、新加坡、菲律宾、越南的政府机构和工业组织，特别是制造业、建筑业、信息技术、电信、医疗保健、电力和能源以及大规模物流和运输行业。

值得注意的是，FatalRAT的攻击活动之前曾利用虚假的Google广告作为传播媒介。

在2023年9月，Proofpoint记录了另一种电子邮件钓鱼活动，传播了包括FatalRAT、Gh0st RAT、Purple Fox和ValleyRAT在内的多种恶意软件家族。

这次攻击链的起点是一封包含中文文件名的ZIP压缩包的钓鱼邮件，解压后启动了第一阶段的加载程序，该加载程序请求有道云笔记以获取DLL文件和FatalRAT配置器。

配置器模块从note.youdao[.]com下载另一个笔记的内容，以访问配置信息。它还被设计为打开一个诱饵文件，以避免引起怀疑。

DLL是第二阶段的加载程序，负责从配置中指定的服务器（"myqcloud[.]com"）下载并安装FatalRAT有效载荷，同时显示关于应用程序运行问题的假错误消息。

该活动的一个重要特征是使用DLL侧加载技术来推进多阶段感染序列并加载FatalRAT恶意软件。

卡巴斯基表示，"攻击者使用黑白手法，利用合法二进制文件的功能，使事件链看起来像正常活动。"

"攻击者还使用了DLL侧加载技术，以隐藏恶意软件在合法进程内存中的持久性。"

FatalRAT是一种功能丰富的木马，能够记录键盘输入、破坏主引导记录（MBR）、开关屏幕、搜索和删除浏览器（如Google Chrome和Internet Explorer）中的用户数据、下载其他软件（如AnyDesk和UltraViewer）、执行文件操作、启动/停止代理，并终止任意进程。

目前尚不清楚使用FatalRAT进行攻击的幕后黑手是谁，尽管战术和工具的重叠表明"它们都反映了不同系列的攻击，某种程度上是相关的。"

消息来源：https://thehackernews.com/2025/02/fatalrat-phishing-attacks-target-apac.html；

卡巴斯基报告原文：https://ics-cert.kaspersky.com/publications/reports/2025/02/24/fatalrat-attacks-in-apac-backdoor-delivered-via-an-overly-long-infection-chain-to-chinese-speaking-targets/；

本文由 HackerNews.cc 翻译整理，封面来源于网络；  

转载请注明“转自 HackerNews.cc”并附上原文