【入侵示範】疑似俄羅斯黑客高質釣魚攻擊 多重手法迴避防毒軟件偵測

    烏俄之戰,網絡戰場亦打得熾熱。烏克蘭政府的電腦緊急應變團隊最新發出警告,懷疑是來自俄羅斯的黑客團隊 UAC-0056,假扮成烏克蘭政府機構向國民發出 Windows Bitdefender 安全更新電郵,實際上卻在散播入侵軟件。而且惡意軟件更是由 Go 程式語言寫成,變相令防毒軟件更難捕捉。

    這次釣魚電郵攻擊採用了多種迴避防毒軟件偵測的策略,雖然行為卑劣,但也實在值得IT管理員參考。首先,黑客未有在釣魚電郵中直接附加惡意檔案,而是在信中內嵌一條下載虛假 Bitdefender 安全更新檔的網址,並且掛載在一個「清白」的法國伺服器上,減少被安全系統當作惡意或垃圾電郵的機會,讓更多烏克蘭國民可以收到信件。

    如收件者誤信電郵內容,通過連結下載及安裝檔案,受害者會看到屏幕彈出一個偽真度高的「Installing the Windows Update Package」通知框,但實際上卻是從黑客控制的 Discord 內容,傳遞網絡下載滲透軟件 Cobalt Strikes,容許黑客在電腦設備上建立後門,入侵其聯結網絡的其餘電腦設備。

    同一時間,電腦亦會下載一個以 base64 加密的檔案,令防毒軟件無法偵測程式碼中是否有惡意功能,它在被執行後會在 Windows Registry 上建立一條指令,讓它可以在每次開機時都被載入。檔案內更附有兩個以 Go 程式語言編寫的木馬軟件 GraphSteel 及 GrimPlant,選擇 Go 語言的好處是這種方法較新,同樣有低偵測率的優點。透過以上種種方法,難怪安全專家認為它的成功率非常高。

    經過烏克蘭電腦緊急應變團隊的分析,專家認為這次攻擊與俄系 APT 黑客團隊 UAC-0056 (又稱 Lorec53)有關。UAC-0056 被發現由去年 12 月開始,提升了攻擊烏克蘭網絡的火力,而且他們又慣以釣魚電郵結合客製化木馬軟件攻擊目標,因此相信與他們有關。

    資源來源:https://bit.ly/3u2S8Sh

    相關文章:【扮勒索】全新惡意軟件WhisperGate 二階段攻擊旨在刪除電腦數據
    https://www.wepro180.com/whispergate220119/

    #Bitdefender #CobaltStrikes #fakeupdate #Trojan #Windows #木馬軟件 #烏俄之戰 #網絡戰爭

    相關文章