TACERT台灣學術網路危機處理中心

[技術]俄羅斯的Turla APT在水坑攻擊中利用新惡意軟體

發佈日期：2020-03-13

參考位址：https://securityaffairs.co/wordpress/99518/apt/turla-apt-new-malware.html

消息內容：

俄羅斯的Turla APT在水坑攻擊中利用新惡意軟體

新聞來源：SecurityAffairs

在2019秋季，大約為期兩個月的攻擊活動裡，俄羅斯APT組織Turla使用了兩隻新惡意軟體。
Turla APT組織(又名 Snake, Uroburos, Waterbug, Venomous Bear and KRYPTON)至少從2007年就開始活躍，以外交、政府機關和中東、亞洲、歐洲、北美南美、早期蘇聯集團 natiosn私人企業為攻擊目標。已知受害者名單太多，還包括Swiss defense firm RUAG、美國國務院和美國控制中心。

近期，ESET專家發現水坑攻擊都是針對受關注的美國網站。駭客利用偽Adobe Flash更新當誘餌，散播兩隻NetFlash和PyFlash未記錄的惡意軟體。

ESET分析報告指出，「ESET研究員發現以矚目的美國網站為目標的水坑攻擊(又名 策略性網站詐欺)活動，利用偽Adobe Flash更新當誘餌，散播兩隻惡意軟體，我們稱為NetFlash和PyFlash。在這個特定的活動中，Turla至少攻擊了四個美國網站，其中兩個屬於政府網站。」
作為攻擊活動的一部分，國家支援的駭客攻擊了位於俄羅斯的亞美尼亞大使館、
阿爾薩克共和國自然保護和自然資源部、亞美尼亞國際和安全事務研究所以及亞美尼亞存款擔保基金的網站。專家認為至少自2019初期網站就已經被攻擊了。

駭客能注入程式到網站中，藉此從外部網域載入JavaScript(skategirlchina[.]com/wp-includes/data_from_db_top[.]php)。專家發現該網域在2019年12月就停止散播腳本。

skategirlchina[.]com散播的第二階段惡意JavaScript紀錄了受害者的瀏覽器，並且，只對感興趣的受害者提供含攻擊代碼(payload)的偽Adobe Flash更新表格。根據ESET遙測，Turla 駭客只針對非常有限的受害者。

在2019年9月前，受害者會被傳送兩個RAR-SFX檔案，一個是含有合法Adobe Flash v14 安裝程式，另一個則是內含Skipper 後門程式元件。

自2019年9到11月，Turla駭客散播一隻先前未紀錄的.NET下載程式，稱為NetFlash，用來取回第二階段的PyFlash後門。PyFlash是Turla曾使用的第一隻Python寫的後門程式。他透過HTTP與寫死的C&C伺服器對話。

C&C伺服器也可以發出JSON格式的後門指令，下列是支援的指令：
● 從給定的HTTP(S)連結下載額外的檔案
● 利用Python subprocess32.Popen執行Windows指令
● 改變執行延遲：修改Windows任務，讓惡意軟體規律(每X分鐘；預設值是5)發送。
● 殺掉(解除安裝)惡意軟體

報告的結論說，「Turla仍然使用水坑攻擊當作是初步滲透策略之一。有趣的是，此活動依賴於一個眾所皆知的社交工程詐騙–偽Adobe Flash更新警告–為了誘使使用者下載和安裝惡意軟體。另一方面，攻擊代碼改變了，像是已知多年的Skipper，可能是為了躲避偵測。他們轉向會安裝PyFlash後門的NetFlash，而PyFlash是由Python語言所開發。」
 。

回最新消息列表頁