黑客組織Sofacy APT使用新型木馬攻擊全球多個政府機構
責編：gltian ｜2018-12-05 11:26:29網絡安全公司Palo Alto Networks的研究人員在10月底和11月初發現了一個新的攻擊活動。與俄羅斯有關的黑客組織Sofacy APT在最近針對全球政府實體的攻擊中使用了一種新的木馬Cannon。
Sofacy APT又名APT28，Pawn Storm，Fancy Bear，Sednit，Tsar Team和Strontium，曾被指策劃了針對2016年美國總統大選的網絡攻擊。
在本周二發布的一份報告中，Palo Alto Networks的研究人員透露，這個與俄羅斯有關的APT組織在針對北美、歐洲和一個前蘇聯成員國的政府實體的魚叉式網絡釣魚攻擊中使用了新的攻擊工具Cannon。
攻擊者通過魚叉式網絡釣魚電子郵件發送惡意Word文檔。打開時，文檔將加載包含惡意宏和有效載荷的遠程模板。
這些攻擊的新穎之處在于使用了之前從未見過的工具，攻擊者還使用了一種不常見的技術來傳遞惡意軟件并避免在沙箱中運行。
“一旦受害者按下啟用內容按鈕，就會執行嵌入式宏。 攻擊者對宏使用了AutoClose函數，這意味著只有在用戶關閉文檔時惡意代碼才會執行。一旦執行，宏將安裝有效負載并將文檔保存到系統中?！癙alo Alto Networks發布的分析報告中寫道。
Cannon充當下載器，依賴電子郵件與C2服務器通信并接收指令。該工具實現了多種功能，包括提高持續性和創建唯一的系統標識符，收集系統信息，抓取桌面快照，登錄POP3電子郵件帳戶訪問附件。
“Cannon的總體目的是使用多個電子郵件帳戶竊取數據，并最終從電子郵件中獲取有效載荷，”研究人員解釋說。
APT28在這一時期似乎非常活躍，Cannon并不是其武器庫中唯一的新工具，Cybaze ZLab – Yoroi團隊最近發現了臭名昭著的APT28 Lojax（又名Double-Agent）的新變種。 它是著名的rootkit Double-Agent的最新版本，安全公司ESET的研究人員曾對此進行過研究分析。
原文鏈接：https://securityaffairs.co/wordpress/78268/apt/sofacy-apt-cannon.html