TACERT台灣學術網路危機處理中心

[技術]17家美國公用事業公司被神秘的政府資助集團作為攻擊目標

發佈日期：2019-09-24

參考位址： https://www.zdnet.com/article/17-us-utility-firms-targeted-by-mysterious-state-sponsored-group/#ftag=RSSbaffb68

消息內容：

17家美國公用事業公司被神秘的政府資助集團作為攻擊目標

新聞來源：ZDNet

利用釣魚郵件來針對美國公用事業，試圖安裝名為LookBack的遠端存取木馬程式。

據Proofpoint今天的報導指出，一個由政府資助的神秘駭客組織在4月5日至8月29日期間，對至少17家美國公用事業公司發起為期5個月的網路釣魚攻擊。這些攻擊的目的是用一種具有廣泛功能的遠端存取木馬LookBack來試圖感染美國公用事業公司。雖然還沒有正式確定攻擊者，但被初步被認為是中國駭客所為，更準確地說，是一個名為APT10的組織。

攻擊情況比預想中的嚴重

今天發布的報告是對該公司今年8月2日發布的前一份報告的進行擴充。當時，Proofpoint報導稱，在2019年7月19日至7月25日期間，APT10向三家美國公用事業公司發送網路釣魚郵件。

而這次更新的報導指出，最初的襲擊目標比當初認為的更為廣泛，並將目標組織的數量從3個擴大到17個，隨著攻擊活動的漸漸浮現，可以推測出此類攻擊開始得更早。

在網路安全公司暴露駭客組織的情況下，大多數國家的駭客團體傾向於退出攻擊，因為他們知道他們的目標已經被告知他們的操作方式，並且不太可能再落入網路釣魚攻擊的圈套。

然而，在今天接受ZDNet採訪時，Proofpoint威脅研究和檢測團隊的高級主管Sherrod DeGrippo告訴我們，這些針對美國公用事業攻擊背後的組織仍在繼續運作，沒有受到Proofpoint第一份報告而放棄攻擊。DeGrippo告訴我們:“當入侵企圖被挫敗時，駭客反而沒有受到影響，並轉向去更新誘餌，採用新的模仿策略，並加強了混淆程度。”

以能源為主的公用事業成為主要目標

事實上攻擊者做出的改變不多，只是開始發送偽裝成全球能源認證(GEC)相關的電子郵件，而不是美國國家工程與測量考官委員會(NCEES)考試的郵件標題。

從這些釣魚郵件的主題來看，可以明顯看出攻擊者的目標是美國能源相關的公用事業，比如電網基礎設施運營商、核電站、風力發電場、燃煤電廠等。

DeGrippo告訴ZDNet，網路釣魚攻擊並不針對任何特定的能源行業，而是“代表一系列公用事業的利益。這些都是複雜的網路釣魚攻擊，令人信服的地方在於其模仿一個行業許可協會，針對的目標是熟悉該組織的人。”

有效載荷是一個相當先進的惡意軟體

除了使用盡可能接近GEC和NCEES的域名外，網絡釣魚有時還會將合法文件和惡意文件混在一起，試圖欺騙受害者，讓他們接受合法的電子郵件的通訊。但是，如果受害者允許嵌入Word DOC文件，那麼嵌入的VBA腳本將下載並安裝LookBack惡意軟體。

正如8月份的報告中所詳細描述的，這是一種新的惡意軟體，具有非常強大的功能，可以讓攻擊者透過後門進入受害者的電腦。根據Proofpoint 表示“LookBack 惡意軟體是一個遠端存取的木馬程式，使用C++所編寫，需透過代理伺服器來傳遞資料，並建立感染主機和C&C伺服器的通訊。

“它的功能包括列舉進行的服務，查看Process、系統和檔案資料、刪除檔案、執行命令,、截圖、移動並點擊鼠標、重新啟動主機並從受感染的主機上刪除自己。”DeGrippo告訴ZDNet，Proofpoint阻止針對其客戶網路發起的網絡釣魚攻擊，不過，他們不能保證駭客們是否成功地用LookBack惡意軟體感染其他公用事業。

先使用SMB掃描後，再進行網路釣魚攻擊

此外，在仔細研究最近的攻擊時，DeGrippo的團隊還發現，在發起網路釣魚攻擊之前，駭客先掃描目標組織的網路端口，尋找開放的SMB協議端口(端口445)。這些SMB掃描通常發生在網絡釣魚活動開始攻擊之前的兩週。

Proofpoint說，這些掃描和後來的網絡釣魚活動之間的聯繫是非常明顯的，因為“觀察到在掃描IP在某些情況下，在網路釣魚使用之前，也承載著網絡釣魚的域名。”

DeGrippo告訴ZDNet:“我們只能推測參與者對工具和協議的特定選擇。然而，使用該協議進行掃描確實有助於識別易受攻擊的系統或網路，在這些系統或網路中，病毒在感染後橫向傳播的成功率最高。然而，值得注意的是，我們沒有發現任何證據證明攻擊者利用所觀察到的SMB相關漏洞。 ”

Proofpoint僅用“正在進行的調查”，沒有指明受害者是哪些美國公用事業。然而，該公司的報告確實包括域名、釣魚誘餌和惡意軟體檔案Hash指標，以防其他公用事業想要掃描他們的網路，看看他們是否受到攻擊。

回最新消息列表頁