卡巴斯基在亞太區(qū)檢測(cè)到新的Mysterious Elephant活動(dòng)
2025年初，卡巴斯基全球研究與分析團(tuán)隊(duì)（GReAT）發(fā)現(xiàn)APT組織“Mysterious Elephant”發(fā)起新一輪攻擊行動(dòng)。該組織主要針對(duì)亞太地區(qū)政府機(jī)構(gòu)及外交事務(wù)組織，重點(diǎn)鎖定巴基斯坦、孟加拉國、阿富汗、尼泊爾和斯里蘭卡等國家。攻擊者的目的是竊取高度敏感的信息，包括文檔、圖像和存檔文件，并特別針對(duì)WhatsApp數(shù)據(jù)實(shí)施竊取。
該組織2025年的攻擊行動(dòng)標(biāo)志著其戰(zhàn)術(shù)、技術(shù)和程序（TTP）發(fā)生了重大轉(zhuǎn)變：攻擊者已轉(zhuǎn)向混合使用定制工具和開源工具來實(shí)現(xiàn)其目標(biāo)。攻擊者現(xiàn)在綜合運(yùn)用漏洞利用工具包、個(gè)性化魚叉式釣魚郵件和惡意文檔，針對(duì)特定受害者量身定制攻擊方案以獲取初始訪問權(quán)限。成功入侵網(wǎng)絡(luò)后，其運(yùn)用多種工具與技術(shù)手段實(shí)現(xiàn)權(quán)限提升、橫向移動(dòng)及敏感數(shù)據(jù)竊取。
PowerShell 腳本構(gòu)成了Mysterious Elephant行動(dòng)的核心支柱，使該組織能夠在受感染的系統(tǒng)上執(zhí)行命令、部署額外的惡意軟件并維持持久性。這些腳本利用合法的工具和系統(tǒng)實(shí)用程序來執(zhí)行惡意操作。
該威脅組織的核心武器是BabShell，這是一種能讓攻擊者直接訪問受感染主機(jī)的反向Shell。一旦執(zhí)行，該工具會(huì)收集包括用戶名、計(jì)算機(jī)名和MAC地址在內(nèi)的關(guān)鍵系統(tǒng)信息，用于唯一識(shí)別目標(biāo)設(shè)備。BabShell還可作為高級(jí)攻擊模塊的啟動(dòng)平臺(tái)，例如MemLoader HidenDesk模塊能夠在內(nèi)存中執(zhí)行惡意載荷，并通過加密壓縮技術(shù)規(guī)避檢測(cè)。
這次攻擊活動(dòng)因其專注于對(duì) WhatsApp 數(shù)據(jù)的竊取而尤為引人注目。攻擊者開發(fā)了專門的模塊，能夠竊取通過該應(yīng)用程序共享的文件，包括敏感文檔、照片和存檔文件。
“該威脅組織的基礎(chǔ)設(shè)施專為隱蔽性和韌性而構(gòu)建，綜合運(yùn)用了域名與IP地址網(wǎng)絡(luò)、通配符DNS記錄、虛擬專用服務(wù)器（VPS）及云托管服務(wù)。利用通配符DNS記錄，攻擊者能夠?yàn)槊總€(gè)請(qǐng)求生成獨(dú)特子域名，實(shí)現(xiàn)快速擴(kuò)展攻擊規(guī)模，并有效阻礙安全團(tuán)隊(duì)的追蹤分析，”卡巴斯基全球研究與分析團(tuán)隊(duì)（GReAT）高級(jí)安全研究員Noushin Shabab評(píng)論說：“了解該組織的戰(zhàn)術(shù)、技術(shù)和程序（TTPs）、共享威脅情報(bào)以及實(shí)施有效的應(yīng)對(duì)措施，對(duì)于降低成功攻擊的風(fēng)險(xiǎn)并保護(hù)敏感信息不落入不法分子手中至關(guān)重要。組織還應(yīng)該實(shí)施強(qiáng)大的安全措施，包括定期的軟件更新、網(wǎng)絡(luò)監(jiān)控和員工培訓(xùn)?！?/p>
報(bào)告全文請(qǐng)參閱Securelist.com
為有效防范此類攻擊，建議各組織和企業(yè)遵循以下最佳安全實(shí)踐：
· 確保在組織內(nèi)所有工作站上無一例外地部署安全代理，以便及時(shí)檢測(cè)安全事件并最大限度減少潛在損害。
· 審查和控制服務(wù)和用戶賬戶權(quán)限，避免授予過高系統(tǒng)權(quán)利——特別是在基礎(chǔ)架構(gòu)內(nèi)跨多臺(tái)主機(jī)使用的賬戶。
· 為了保護(hù)公司免受各種威脅，請(qǐng)使用卡巴斯基 Next 產(chǎn)品線中的解決方案，這些解決方案為任何規(guī)模和行業(yè)的組織提供實(shí)時(shí)保護(hù)、威脅可見性以及 EDR（端點(diǎn)檢測(cè)與響應(yīng)）和 XDR（擴(kuò)展檢測(cè)與響應(yīng)）的調(diào)查和響應(yīng)能力。您可以根據(jù)當(dāng)前的需要和可用資源，選擇最相關(guān)的產(chǎn)品級(jí)別，并在網(wǎng)絡(luò)安全需求發(fā)生變化時(shí)輕松遷移到另一個(gè)級(jí)別。
· 采用卡巴斯基的托管安全服務(wù)，例如入侵評(píng)估、托管檢測(cè)與響應(yīng)（MDR）和/或事件響應(yīng)，涵蓋整個(gè)事件管理周期——從威脅識(shí)別到持續(xù)保護(hù)和修復(fù)。這些服務(wù)能幫助企業(yè)抵御隱蔽性網(wǎng)絡(luò)攻擊、調(diào)查安全事件，并在缺乏網(wǎng)絡(luò)安全人員的情況下獲取專業(yè)技術(shù)支持。
· 為您的信息安全專業(yè)人員提供針對(duì)貴組織的網(wǎng)絡(luò)威脅深度可視化。最新的卡巴斯基威脅情報(bào)服務(wù)將為其呈現(xiàn)覆蓋完整事件管理周期的豐富情境數(shù)據(jù)，幫助團(tuán)隊(duì)及時(shí)識(shí)別網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
關(guān)于全球研究與分析團(tuán)隊(duì)
全球研究與分析團(tuán)隊(duì)（GReAT）成立于 2008 年，是卡巴斯基的核心部門，負(fù)責(zé)揭露 APT、網(wǎng)絡(luò)間諜活動(dòng)、重大惡意軟件、勒索軟件和全球地下網(wǎng)絡(luò)犯罪趨勢(shì)。目前，GReAT 由 40 多名專家組成，他們?cè)跉W洲、俄羅斯、美洲、亞洲和中東等全球范圍內(nèi)工作。這些才華橫溢的安全專業(yè)人員為公司的反惡意軟件研究和創(chuàng)新發(fā)揮著領(lǐng)導(dǎo)作用，他們以無與倫比的專業(yè)知識(shí)、熱情和好奇心致力于發(fā)現(xiàn)和分析網(wǎng)絡(luò)威脅。
關(guān)于卡巴斯基
卡巴斯基是一家成立于1997年的全球網(wǎng)絡(luò)安全和數(shù)字隱私公司。迄今為止，卡巴斯基已保護(hù)超過十億臺(tái)設(shè)備免受新興網(wǎng)絡(luò)威脅和針對(duì)性攻擊?？ò退够粩鄬⑸疃韧{情報(bào)和安全技術(shù)轉(zhuǎn)化成創(chuàng)新的安全解決方案和服務(wù)，為全球的個(gè)人用戶、企業(yè)、關(guān)鍵基礎(chǔ)設(shè)施和政府提供安全保護(hù)。該公司全面的安全產(chǎn)品組合包括領(lǐng)先的個(gè)人設(shè)備數(shù)字生活保護(hù)、面向企業(yè)的專業(yè)安全產(chǎn)品和服務(wù)，以及用于對(duì)抗復(fù)雜且不斷演變的數(shù)字威脅的網(wǎng)絡(luò)免疫解決方案。我們?yōu)閿?shù)百萬個(gè)人用戶及近20萬企業(yè)客戶守護(hù)他們最珍視的數(shù)字資產(chǎn)。要了解更多詳情，請(qǐng)?jiān)L問www.kaspersky.com.cn。
關(guān)注我們
