近日，瑞星威脅情報平臺捕獲到一起疑似針對中韓兩國食品行業(yè)的APT攻擊事件。通過分析發(fā)現(xiàn)攻擊者為APT37組織，該組織使用名為韓語、內(nèi)容為中文的設(shè)備清單作為誘餌，通過釣魚郵件向涉及到面包生產(chǎn)線的食品行業(yè)發(fā)送惡意文件，企圖遠程控制系統(tǒng)并竊取企業(yè)數(shù)據(jù)。
目前，瑞星終端威脅檢測與響應(yīng)系統(tǒng)(EDR)已記錄并可視化地還原了整個攻擊過程，廣大用戶可使用威脅調(diào)查功能，從任意節(jié)點和關(guān)鍵元素全方位了解每一步攻擊進程，以此來提升防御APT攻擊的能力。
圖：瑞星EDR還原APT37組織的整個攻擊流程
具有國家背景的攻擊組織
APT37是一個至少從2012年就開始對目標進行網(wǎng)絡(luò)攻擊的威脅組織，該組織又被稱為Konni、Group123、TEMP.Reaper等。APT37組織疑似來自朝鮮，具有國家背景，其目的主要是信息盜竊和間諜活動，目標包括中國、俄羅斯、印度、日本和韓國等，涉及的領(lǐng)域涵蓋政府、航空航天、汽車、化工、金融、醫(yī)療保健、制造和運輸?shù)取?/p>
中韓語混合的誘餌文檔
瑞星安全專家介紹，在此次攻擊中，APT37組織會通過釣魚郵件向受害者投遞一個壓縮包，該壓縮包中包含一個名稱為韓語的快捷方式，該快捷方式會指向惡意的PowerShell代碼。此PowerShell代碼不僅會釋放多個文件，還會釋放出一個關(guān)于設(shè)備清單的誘餌文檔。
圖：APT37組織在此次攻擊活動中使用的誘餌文檔
該誘餌文檔雖然名稱為“????.doc”(設(shè)備清單)，但點開文檔后會發(fā)現(xiàn)，其內(nèi)容為中文編寫，詳細列出了面包生產(chǎn)線中多個機械設(shè)備的參數(shù)信息。根據(jù)該誘餌文檔的內(nèi)容猜測，此次攻擊的目標極有可能與中韓兩國有關(guān)，且針對于面包生產(chǎn)線相關(guān)的食品行業(yè)。
圖：攻擊流程
常被攻擊組織使用的遠控木馬
瑞星安全專家表示，誘餌文檔只是為了迷惑受害者，與其同時釋放出的bat和dat文件才是關(guān)鍵，攻擊者可以利用這些文件在內(nèi)存中隱秘地執(zhí)行RokRAT遠控木馬，對受害者主機進行控制，竊取指定文件或信息，下發(fā)并執(zhí)行其他惡意程序。
由于RokRAT木馬是一種基于云的遠程訪問工具，能夠借助dropbox、pCloud等云存儲平臺作為指揮和控制服務(wù)器，因此可以降低被殺毒軟件檢測到的風(fēng)險，而常常被APT攻擊組織所使用。
能夠防御APT攻擊的幾種方法
鑒于APT37組織近期較為活躍，且目標已涉及到我國，因此瑞星安全專家提醒廣大用戶應(yīng)加強防御，做到以下幾點：
1. 不打開可疑文件。
不打開未知來源的可疑的文件和郵件，防止社會工程學(xué)和釣魚攻擊。
2. 部署EDR、NDR產(chǎn)品。
利用威脅情報追溯威脅行為軌跡，進行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網(wǎng)絡(luò)威脅，最大范圍內(nèi)發(fā)現(xiàn)被攻擊的節(jié)點，以便更快響應(yīng)和處理。
3. 安裝有效的殺毒軟件，攔截查殺惡意文檔和惡意程序。
殺毒軟件可攔截惡意文檔和惡意程序，如果用戶不小心下載了惡意文件，殺毒軟件可攔截查殺，阻止病毒運行，保護用戶的終端安全。
4. 及時修補系統(tǒng)補丁和重要軟件的補丁。
許多惡意軟件經(jīng)常使用已知的系統(tǒng)漏洞、軟件漏洞來進行傳播，及時安裝補丁將有效減少漏洞攻擊帶來的影響。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責(zé)任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
