利用惡意工具針對(duì)工業(yè)和工程組織的攻擊
卡巴斯基實(shí)驗(yàn)室全球研究和分析團(tuán)隊(duì)發(fā)現(xiàn)了一輪最新的針對(duì)全球多個(gè)國(guó)家的工業(yè)和工程領(lǐng)域的針對(duì)性攻擊。網(wǎng)絡(luò)罪犯使用魚叉式釣魚郵件和基于商業(yè)間諜軟件工具制作的惡意軟件，竊取存儲(chǔ)在受害者網(wǎng)絡(luò)中的重要商業(yè)數(shù)據(jù)。該網(wǎng)絡(luò)犯罪組織成功攻擊了30個(gè)國(guó)家的130多個(gè)組織，包括西班牙、巴基斯坦、阿聯(lián)酋、印度、埃及、英國(guó)、德國(guó)、沙特阿拉伯和其他國(guó)家。
2016年6月，卡巴斯基實(shí)驗(yàn)室研究人員發(fā)現(xiàn)一波包含惡意附件的魚叉式釣魚郵件。這些郵件主要發(fā)送給多家公司的高層和中層管理人員。攻擊者發(fā)送的這些郵件看上去像是來(lái)自一家阿聯(lián)酋的銀行：郵件內(nèi)容看上去是一封來(lái)自銀行的支付通知書，并且附帶一個(gè)SWIFT文檔。但是事實(shí)上，附件包含惡意軟件。
卡巴斯基實(shí)驗(yàn)室的研究人員在進(jìn)行深入調(diào)查時(shí)發(fā)現(xiàn)，這次的魚叉式釣魚攻擊行動(dòng)很可能是一個(gè)網(wǎng)絡(luò)犯罪組織發(fā)動(dòng)的，而且卡巴斯基實(shí)驗(yàn)室的研究人員從2015年3月就開始追蹤這一網(wǎng)絡(luò)犯罪組織。而六月份的攻擊行動(dòng)似乎是他們最近進(jìn)行的一次攻擊行動(dòng)。
附件中包含的惡意軟件是基于HawkEye商業(yè)間諜軟件制作的，這種間諜軟件在暗網(wǎng)上被公開銷售，能夠?yàn)楣粽咛峁┒喾N工具。一旦安裝到受害者計(jì)算機(jī)上，惡意軟件會(huì)從計(jì)算機(jī)上收集以下數(shù)據(jù)：
· 擊鍵記錄
· 剪貼板數(shù)據(jù)
· FTP服務(wù)器登陸憑證
· 瀏覽器中的賬戶數(shù)據(jù)
· 即時(shí)通訊客戶端中的賬戶數(shù)據(jù)（包括Paltalk、Google Tak、AIM… …）
· 郵件客戶端中的賬戶數(shù)據(jù)（包括Outlook、Windows Live mail… …）
· 有關(guān)計(jì)算機(jī)上安裝的應(yīng)用程序信息（Microsoft Office）
之后，將這些數(shù)據(jù)發(fā)送到網(wǎng)絡(luò)罪犯的命令和控制服務(wù)器。基于對(duì)某些命令和控制服務(wù)器設(shè)置sinkhole獲取到的信息，大多數(shù)受害者均為工業(yè)和工程領(lǐng)域的企業(yè)或組織，其他受影響行業(yè)還包括航運(yùn)業(yè)、制藥業(yè)、制造業(yè)、貿(mào)易公司、教育機(jī)構(gòu)和其他類型實(shí)體。
這些企業(yè)都存在有價(jià)值的信息，可以被用來(lái)在黑市上銷售。所以，網(wǎng)絡(luò)罪犯發(fā)動(dòng)食尸鬼攻擊行動(dòng)的主要?jiǎng)訖C(jī)是獲取利潤(rùn)。
卡巴斯基實(shí)驗(yàn)室的研究人員將這次的攻擊行動(dòng)命名為食尸鬼攻擊行動(dòng)。而且根據(jù)卡巴斯基實(shí)驗(yàn)室研究，這次的攻擊行動(dòng)只是該網(wǎng)絡(luò)犯罪組織所控制的多個(gè)攻擊行動(dòng)中的一個(gè)。目前，該網(wǎng)絡(luò)犯罪組織仍然活躍。
卡巴斯基實(shí)驗(yàn)室安全專家Mohammad Amin Hasbini表示:“在古老的民間傳說(shuō)中，食尸鬼是一種吃人和獵殺小孩的惡靈，原本是一種美索不達(dá)米亞惡魔。今天，這一詞匯有時(shí)候用來(lái)指代哪些貪婪或追求物質(zhì)利益的人。這一描述對(duì)于食尸鬼行動(dòng)幕后的網(wǎng)絡(luò)罪犯組織非常準(zhǔn)確。他們發(fā)動(dòng)攻擊的主要?jiǎng)訖C(jī)是通過(guò)銷售被盜的知識(shí)產(chǎn)權(quán)信息或商業(yè)情報(bào)或通過(guò)攻擊受害者的銀行賬戶獲取經(jīng)濟(jì)利益。同得到政府支持的攻擊組織不同，這類攻擊組織不會(huì)仔細(xì)挑選被攻擊目標(biāo)，而是同很多類似的攻擊組織一樣，針對(duì)任何企業(yè)發(fā)動(dòng)攻擊。盡管他們使用相對(duì)簡(jiǎn)單的惡意工具，但是攻擊效果顯著。如果企業(yè)沒(méi)有做好應(yīng)對(duì)準(zhǔn)備，就會(huì)成為這些攻擊的受害者?！?/p>
為了保護(hù)企業(yè)應(yīng)對(duì)食尸鬼攻擊行動(dòng)和其他類似的威脅，卡巴斯基實(shí)驗(yàn)室研究人員建議企業(yè)采取以下措施：
· 對(duì)員工進(jìn)行教育，讓他們可以分辨魚叉式釣魚郵件，或者能夠區(qū)分釣魚鏈接以及正常的郵件和鏈接
· 使用可靠的企業(yè)級(jí)安全解決方案，結(jié)合反針對(duì)性攻擊解決方案，能夠通過(guò)分析網(wǎng)絡(luò)中出現(xiàn)的異常攔截攻擊
· 為企業(yè)的安全人員提供最新的威脅情報(bào)數(shù)據(jù)，為他們裝備能夠抵御和發(fā)現(xiàn)針對(duì)性攻擊的工具，例如了解感染跡象和YARA規(guī)則
卡巴斯基實(shí)驗(yàn)室的安全產(chǎn)品將食尸鬼行動(dòng)所使用的惡意軟件檢測(cè)為：
· Trojan.MSIL.ShopBot.ww
· Trojan.Win32.Fsysna.dfah
· Trojan.Win32.Generic
關(guān)注我們
