賽門鐵克：G20峰會成為網絡犯罪團體重要攻擊目標
責編：admin ｜2014-11-27 17:38:49每年，當世界各國領導人聚首G20峰會討論全球經濟問題時，與該盛會有既得利益關系的組織成為了威脅者發布惡意電子郵件的目標。本年度的峰會于11 月15日、16日在澳大利亞布里斯班召開。一個我們稱之為Flea的特定攻擊團體在2014年一直針對這一盛會傳播惡意電子郵件，其目標包括一個國際經濟 組織和一個與多個金融當局相關的團體。一旦攻擊者攻克目標電腦，就會從中識別并竊取有價值的信息。
誰是Flea攻擊團體？
自2010 年起，來自Flea團體的攻擊者開始活躍起來。當年，他們向關注韓國首爾G20 峰會的目標發送了誘騙文檔。他們主要針對歐洲各國政府、全球軍事組織和金融機構。Flea使用一種特定的攻擊工具（經檢測為 Infostealer.Hoardy），能夠在被入侵的電腦上打開后門，運行Shell命令，并上傳和下載文件。
攻擊者的主要動機是從目標官員處竊取信息。他們通常會向試圖入侵的目標電腦發送帶有惡意附件的釣魚電子郵件。這些郵件中的信息內容通常圍繞國際盛 會，或者攻擊目標所感興趣的主題，例如核問題、奧林匹克運動會和重大政治會議。此外，攻擊者也可能會將電子郵件偽裝成求職申請，并發送到目標組織的人事部 門。一旦目標計算機被惡意軟件所感染，攻擊者就會在被入侵的電腦上展開掃描搜索、識別并竊取有價值的信息。
Flea攻擊團體每隔四到八個月就會展開一輪新的攻擊，這可能說明該團體僅意圖竊取短時間段內的信息。與此同時，通過Flea的攻擊工具表明，該團體并無意通過被入侵的網絡轉而攻擊其他目標。
Flea團體在本屆峰會前夕發出了兩封G20主題的電子郵件，其中一封電子郵件的主題為“What exactly is the point of the G20 in Australia？”（澳大利亞G20峰會的重點到底是什么？）該電子郵件包含了一個惡意的Word文檔，試圖在易受攻擊的電腦上利用 Microsoft Windows通用控件ActiveX控件遠程代碼執行漏洞 (CVE-2012-0158)。
另一封與G20文檔相關的電子郵件是針對金融機構所感興趣的內容。在財政部長和中央銀行行長進行的每一場會議后，一封包括G20政策討論和承諾的公 告被發布出來。Flea攻擊者十分了解這些文檔，并一直在發布標題為“Communiqué Meeting of G20 Finance Ministers and Central Bank”（20國財政部長與央行行長會議聯合公報）的電子郵件，并附加與上文所述類似的惡意Word文檔。
在這兩個案例中，惡意Word文檔被用于部署 Infostealer.Hoardy。為了確保收件人不會懷疑任何的異常情況，一封非惡意Word文檔還會在被入侵的電腦上打開。
攻擊者把這些電子郵件發送給多個目標受眾，其中包括一個國際經濟組織和一個與多個金融當局相關的集團。這些目標受眾均關注G20峰會的討論內容，其 中某些目標受眾也許派出了代表團出席本屆活動，這讓攻擊者看到了一個重要的機會，他們通過以G20為主題的內容引誘目標，進而竊取重要數據。
未來以G20峰會為主題的攻擊
Flea攻擊團體并非是G20峰會期間需要擔憂的唯一威脅。威脅制造者總會在G20峰會期間發現合適的攻擊機會，向政府、金融和經濟發展組織中的個 人發起攻擊。去年，在俄羅斯圣彼得堡G20峰會召開之前，賽門鐵克檢測到使用 Poison Ivy 遠程訪問特洛伊木馬 (RAT) 攻擊多個組織機構的活動。這些被作為目標的組織機構在未來的G20峰會中很可能會遭遇相同的攻擊。毫無疑問，不同的威脅制造者仍舊會繼續利用各機構對 G20峰會的關注，把他們作為未來的攻擊目標。
安全防護
賽門鐵克建議用戶在打開來自未知發送者的不明電子郵件和附件時保持謹慎。近期，賽門鐵克檢測到關于G20主題攻擊中使用的惡意軟件為Infostealer.Hoardy。