近日，瑞星威脅情報(bào)平臺(tái)捕獲到一起針對(duì)中國(guó)的APT攻擊事件，根據(jù)關(guān)聯(lián)分析發(fā)現(xiàn)，攻擊者為Patchwork組織。該組織以國(guó)內(nèi)某超大型水電能源企業(yè)的新聞為誘餌，對(duì)國(guó)內(nèi)用戶(特別是能源行業(yè)用戶)進(jìn)行釣魚(yú)郵件攻擊，一旦有用戶激活郵件附件中的惡意代碼，就會(huì)被攻擊者遠(yuǎn)程控制，盜取電腦內(nèi)所有的機(jī)密信息。
瑞星EDR已將此次攻擊的全部過(guò)程進(jìn)行可視化還原，幫助用戶看清攻擊者的每一步操作，并結(jié)合RGPT人工智能技術(shù)對(duì)攻擊流程進(jìn)行精準(zhǔn)分析，定位、查看、了解攻擊的方向以及惡意代碼活動(dòng)的關(guān)鍵鏈條。
圖：瑞星EDR還原APT攻擊過(guò)程
APT組織介紹：
Patchwork組織又名摩訶草、白象、APT-Q-36、Dropping Elephant，是一個(gè)疑似具有南亞政府背景的APT組織，其最早攻擊活動(dòng)可追溯到2009年，至今依然活躍。該組織主要針對(duì)中國(guó)、巴基斯坦、孟加拉國(guó)等亞洲地區(qū)國(guó)家，以政府、軍事、電力、工業(yè)、科研教育、外交和經(jīng)濟(jì)等高價(jià)值機(jī)構(gòu)為攻擊目標(biāo)。
由于在攻擊中使用的誘餌文檔為國(guó)內(nèi)某超大型水電能源企業(yè)相關(guān)新聞，因此可以判斷出此次目標(biāo)為國(guó)內(nèi)相關(guān)企業(yè)用戶。
圖：瑞星EDR已將Patchwork等攻擊組織收錄到威脅情報(bào)中
攻擊方式：
在此次攻擊中，Patchwork組織會(huì)通過(guò)釣魚(yú)郵件等方式向目標(biāo)投遞名為《某集團(tuán)與廣東省陽(yáng)江市座談》的PDF文檔，而這個(gè)文檔實(shí)際是一個(gè).lnk的快捷方式，攻擊者故意將其偽裝成PDF格式，就是為了誘導(dǎo)目標(biāo)去點(diǎn)擊。一旦有受害者點(diǎn)擊了這個(gè)快捷方式，就會(huì)下載與文檔同名的新聞稿和惡意程序，從而激活名為NorthStarC2的遠(yuǎn)控后門(mén)程序，被攻擊者遠(yuǎn)程控制并盜取電腦內(nèi)所有的資料和信息。
圖：Patchwork組織在攻擊中投遞的誘餌文檔
攻擊技術(shù)：
瑞星安全專家介紹，Patchwork組織在此次攻擊中，運(yùn)用了與以往不同的攻擊技術(shù)，通過(guò)Rust語(yǔ)言編寫(xiě)惡意程序，并執(zhí)行開(kāi)源工具Donut和遠(yuǎn)控工具NorthStarC2。這樣做的好處是，Rust語(yǔ)言具有易用性、靈活性、內(nèi)存安全性等優(yōu)勢(shì);而Donut則能夠?qū)⑷我鈋xe、dll、.net程序集或腳本生成一個(gè)與執(zhí)行位置無(wú)關(guān)的可執(zhí)行代碼，很好地隱藏了自身;NorthStarC2是現(xiàn)成的遠(yuǎn)控程序，可拿來(lái)即用，攻擊效率高。這樣的組合既隱蔽性強(qiáng)、安全性高，又可以讓攻擊者向目標(biāo)投遞不同類型的攻擊武器，實(shí)現(xiàn)遠(yuǎn)控或者其他惡意行為。
防范建議：
由于此次攻擊中所使用的誘餌文檔提及了國(guó)內(nèi)某超大型水電能源企業(yè)，被攻擊目標(biāo)極有可能是國(guó)家重要的能源、基建行業(yè)，因此相關(guān)部門(mén)或企業(yè)要格外重視，做到以下幾點(diǎn)：
1. 不打開(kāi)可疑文件。
不打開(kāi)未知來(lái)源的可疑的文件和郵件，防止社會(huì)工程學(xué)和釣魚(yú)攻擊。
2. 部署EDR、NDR產(chǎn)品。
利用威脅情報(bào)追溯威脅行為軌跡，進(jìn)行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網(wǎng)絡(luò)威脅，最大范圍內(nèi)發(fā)現(xiàn)被攻擊的節(jié)點(diǎn)，以便更快響應(yīng)和處理。
3. 安裝有效的殺毒軟件，攔截查殺惡意文檔和惡意程序。
殺毒軟件可攔截惡意文檔和惡意程序，如果用戶不小心下載了惡意文件，殺毒軟件可攔截查殺，阻止病毒運(yùn)行，保護(hù)用戶的終端安全。
圖：瑞星ESM防病毒安全軟件查殺相關(guān)病毒
4. 及時(shí)修補(bǔ)系統(tǒng)補(bǔ)丁和重要軟件的補(bǔ)丁。
許多惡意軟件經(jīng)常使用已知的系統(tǒng)漏洞、軟件漏洞來(lái)進(jìn)行傳播，及時(shí)安裝補(bǔ)丁將有效減少漏洞攻擊帶來(lái)的影響。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。 ）
