EastWind 运动 ： 对俄罗斯政府组织的新 CloudSorcerer 攻击

DRBControl 网络间谍活动总结

攻击阶段：

• 初始妥协： 攻击者使用针对支持团队的鱼叉式网络钓鱼邮件，诱导受害者打开恶意文档。文档中包含三种不同类型的恶意软件：可执行文件、批处理文件和 PowerShell 脚本，用于下载并执行第二阶段恶意软件。

恶意软件分析：

• 两种新型后门： 分析发现了两种此前未知的后门（类型 1 和类型 2），均使用 C++ 编写，并采用 DLL 侧面加载技术进行加载。
• 类型 1 后门： 该后门具有模块化设计，支持插件扩展，并实现了多种功能，包括文件操作、网络通信、键盘记录等。最新版本中，该后门使用 Dropbox 作为 C&C 通道，通过上传主机信息到 Dropbox 文件，并从特定目录下载后续指令。
• 类型 2 后门： 该后门同样采用 DLL 侧面加载技术，并实现了文件操作、网络通信、键盘记录等功能。它会在每个 RDP 会话中运行，并将键盘记录结果保存到本地文件。

其他使用的恶意软件家族：

• PlugX RAT： 发现了 PlugX RAT 的变体，使用与类型 1 后门相同的 C&C 域名，并采用 DLL 侧面加载技术进行加载。
• Trochilus RAT： 发现了两个属于 Trochilus RAT 家族的样本，使用 NSIS 安装程序进行分发，并创建名为 SESSRV 的服务。
• MFC 键盘记录器： 发现了两个使用 Microsoft 基础类库 (MFC) 的恶意软件样本，用于捕获剪贴板和击键数据。
• HyperBro： 发现了自定义内存中的 HyperBro 后门，使用 DLL 侧面加载技术进行加载，并实现了多种网络通信功能。
• Cobalt Strike： 发现了与 Cobalt Strike 相关的样本，用于攻击者的基础设施。

开发后工具：

• 攻击者使用了多种开发后工具，包括剪贴板盗窃者、网络隧道工具、公共 IP 地址检索器、NBTScan 工具、蛮力工具、特权提升工具、密码转储程序、绕过 UAC 的工具以及代码加载器。

基础设施分析：

• 攻击者使用的域名数量不多，基础设施多样。大部分情况下，只能解析恶意软件样本中硬编码的子域的 IP 地址，而域名没有链接到它们的 IP 地址。
• 攻击者最近切换到使用 IP 地址，这些 IP 地址位于 Google Cloud 地址空间中。
• 攻击者使用简单的 HTTP 重定向将用户重定向到合法网站，例如 Google 或 Dropbox。

与已知威胁参与者的链接：

• Winnti： 分析发现，攻击者使用的恶意软件样本中包含与 Winnti 集团相关的互斥体和域名，以及与 Winnti 相关的命令。
• Emissary Panda (LuckyMouse, APT27)： 分析发现，攻击者使用的 HyperBro 后门与 Emissary Panda 的活动有关联。

结论：

• DRBControl 是一个高度组织化的网络间谍团体，其目标明确，攻击手法复杂，并使用了多种自定义开发的恶意软件和工具。
• 该团体与 Winnti 和 Emissary Panda 等已知 APT 组织存在关联，表明网络间谍活动日益复杂化和组织化。
• 企业需要采取积极措施，例如部署安全解决方案、加强安全意识培训等，以防范此类攻击。