SideCopy 利用 ReverseRAT 鱼叉式网络钓鱼将攻击目标扩大至印度学术界

被称为 SideCopy 的威胁行为者被发现利用鱼叉式网络钓鱼诱饵针对印度的学术机构，将其战略焦点扩展至政府实体之外。

"SideCopy 的行动通常以鱼叉式网络钓鱼开始，利用滥用 mshta.exe 来执行恶意脚本并绕过标准安全协议，"Trellix 研究员 Boggavarapu R S S Srinivas Gupta 和 Ravishankar N C 在一份技术报告中表示。

"这种投递机制促进了远程访问木马 (RAT) 的部署，该木马是其攻击基础设施的核心支柱。"

SideCopy（又名 TAG-140）至少自 2019 年起就处于活跃状态，是一个源自巴基斯坦的高级持续性威胁 (APT) 组织，与 Transparent Tribe 集群存在重叠。从历史上看，该威胁行为者主要针对印度国防部队和政府官员。

在 2026 年 6 月发布的一份报告中，Seqrite Labs 将 SideCopy 与一场针对阿富汗财政部的鱼叉式网络钓鱼行动联系起来，该行动使用了一个名为 Xeno RAT 的开源远程访问木马。

Trellix 记录的最新攻击链使用鱼叉式网络钓鱼投递一个武器化的 ZIP 压缩包，其中包含一个 Windows 快捷方式 (LNK)，带有伪造的 PDF 图标和 .DOCX 扩展名（"commskll.docx.lnk"），使恶意文件看起来合法。

该 LNK 文件被用于从远程服务器 ("docsportal[.]in") 获取一个经过混淆的 HTML Application (HTA)，并使用 "mshta.exe" 执行它，随后反射性地加载一个 DLL 载荷。该恶意软件利用一种反取证的自删除例程，在后续阶段初始化后删除 HTA 文件。

该 DLL 充当三个内嵌组件的投放器：

• appT.bat，一个通过 Windows 注册表 Run 键启动的批处理脚本，使用 "mshta.exe" 执行 "startT.hta"，无需用户交互
• startT.hta，一个包含经过混淆的最终载荷的二次利用阶段
• commskl.docx，一个诱饵文档

"startT.hta 中的混淆代码执行一个多阶段去混淆例程，直接在内存中重建一个由两部分组成的 XAML 载荷，"Trellix 解释道，并补充说它负责反射性加载一个内嵌的 DLL（"ioluegnt.dll"）。

"为了规避基于磁盘的检测，该恶意软件将其核心载荷解码到易失性内存空间，通过 .NET 反序列化从 Base64 编码字符串转变为活动的内存中进程。"

该 DLL 是一个名为 ReverseRAT 的远程访问木马，SideCopy 自 2021 年初以来一直在使用它来实施数据外泄、远程执行和持久化。它能够收集系统元数据、已安装软件列表、截屏、密码和剪贴板内容；执行文件操作；运行命令；通过注册表建立持久化；上传文件；并生成 shell 会话。

命令与控制 (C2) 流量使用硬编码的加密密钥（"NMXIKS09?:709,!~lnsYUS"）加密。收集到的数据通过端口 5863 外泄至 "dns.educationportals[.]biz"，该域名解析到 IP 地址 "45.61.157[.]22"。

"SideCopy 目前的活动凸显了一种纪律严明且高度战略性的情报收集方式，"Trellix 总结道。"虽然他们历史上的关注点是印度政府实体，但他们最近转向学术机构凸显了不断扩大的战略优先事项。"

"通过持续改进其感染阶段——最明显的是大量滥用 mshta.exe 以及复杂的多层混淆——他们仍然是区域安全上一个强大且适应性强的对手。"