AG公司云
疑似APT组织针对多吉币关注者举行鱼叉式定向攻击
2021-04-27
概述
近期，AG公司科技伏影实验室捕获了一起针对多吉币（Dogecoin，狗狗币）关注者的垂纶攻击事务 。黑客使用全心设计的加密垂纶文档，在诱骗受害者启用编辑功效解密文本内容的同时，使用恶意vba剧本执行恶意程序，最终通过投放cobaltstrike beacon控制受害者主机，实现窃取受害者敏感数据的目的 。通太过析，伏影实验室确认本次事务的攻击源来自土耳其某学术机构，背后的攻击者可能是有恒久运动历史和较高手艺水平的攻击组织（APT） 。
事务剖析
多吉币（Dogecoin）依附其近期的话题度和在价钱上的体现，成为了虚拟钱币市场上的流量明星，吸引了大宗投资者的关注 。与此同时，从事信息窃取的黑客也没有放过这些新入场的玩家们 。
本次事务中，攻击者投放的诱饵文档名为dogecoin_survey.doc，文档最终显示的内容也是关于多吉币历史的文章，可以看出其攻击目的很是明确 。经由多级释放后，黑客在受害者主机上植入了cobaltstrike beacon程序 。这种全功效的RAT木马可以容易地窃取受害者主机上的种种密码、键盘输入、屏幕内容等信息，从而实验与加密钱币有关的偷窃行动 。
该起攻击事务中，黑客使用的攻击手法，包括诱饵内容解密方法、中心载荷形式、解密算法、前置通讯逻辑等，与常见垂纶邮件攻击者的手法都有很大差别，并且显示了一定的设计水平 。别的，黑客控制的CnC位置较为特殊，展现了其对社会机构设施的渗透和控制能力 。这一征象说明近期加密钱币的热潮可能吸引了一些“跨专业”的黑客进场，并使用自主设计的攻击流程举行信息窃取运动 。
攻击者关联
本次攻击事务中，四阶段下载者木马LetMeOut.exe和最终阶段远控木马cobaltstrike beacon的通讯CnC地点均为http://jc.neu.edu.tr/ 。经盘问，该域名归属于土耳其私立大学近东大学（yakin dogu üniversitesi），这说明该机构的部分网络设施已遭到滥用，或已被黑客控制 。
现在，攻击者展现的对学术机构举行攻击和恶意使用的相关行为，证实其对该次攻击的准备十分富足，这是恒久的高威胁攻击组织（APT）的特征之一 。伏影实验室正在收罗和确认该攻击者与已知攻击组织的联系 。
