Posted in威胁分析
2024年3月：APT37组织针对韩国的攻击事件
概述
瑞星威胁情报平台于2024年3月捕获一起疑似针对韩国的攻击事件。攻击者疑似通过钓鱼邮件向受害者投递恶意压缩包，压缩包内含有恶意的快捷方式，该快捷方式指向恶意的PowerShell代码。PowerShell释放诱饵文档迷惑用户的同时还会通过和指定服务器通信来上传窃密数据以及下发恶意代码执行，这可能会导致受害者的系统被攻击者完全控制。
Posted in威胁分析
2023年7月：APT37组织近期针对韩国的攻击事件报告
概述
瑞星威胁情报平台捕获到一起针对韩国的攻击事件。攻击者通过邮件发送给受害者压缩包。压缩包解压之后是一个50M的快捷方式文件，当用户双击快捷方式后会执行PowerShell命令，在Temp目录之下释放一个HWP文件和一个以固定日期命名的bat脚本文件，该脚本会启用PowerShell.exe从api.onedrive.com上下载RokRat木马加载到内存中执行，据国内外多家安全厂商披露，该木马疑似是APT37常用的攻击武器，通过将本次攻击行动感染链与APT37组织过往感染链的对比分析，将本次捕获到的攻击行动归属于APT37组织具有高可信度。
Posted in威胁分析
2023年8月：疑似APT29组织针对中国的活动分析
概述
2023年7月，瑞星威胁情报中心捕获到多个带有中文诱饵文档的恶意压缩包。这些攻击事件除压缩包名称以及诱饵文档不同之外，其他相关的攻击战术，过程等基本一致。通过分析发现，其攻击链中的最后一步是在受害者机器上部署CobaltStrike。 CobaltStrike具有多种功能，包括远程控制、漏洞利用、命令和控制服务器等，可用于渗透测试和网络攻击。
Posted in威胁分析
2021年12月：APT-C-23组织疑似针对阿拉伯语国家的攻击事件分析报告
概述
瑞星威胁情报平台于2021年12月捕获到一起疑似针对中东地区阿拉伯语国家的攻击事件。捕获到的样本是一个伪装成docx文档的可执行文件，根据其文件名可知攻击者以互联网盈利为噱头来诱骗用户主动打开捕获到的恶意程序。此恶意程序首先会打开内嵌于自身资源段中的诱饵文档，此文档显示为阿拉伯文，之后恶意程序会在后台进行一系列不被用户察觉的恶意行为，从而达到窃取机密信息的目的。其攻击模式极具诱惑性和隐蔽性，普通用户很容易中招。根据对此次行动的详细分析，判断疑似为APT-C-23组织所为。