2023-12-22 15:28:18 西盟科技资讯
近日,瑞星威胁情报平台捕获到一起针对尼泊尔政府的攻击事件,通过对比分析发现,此次事件的攻击者为SideWinder组织。该组织将仿造的总理行程钓鱼邮件发送给尼泊尔政府机构,以此诱导目标点击,从而激活远控后门,达到盗取政府机密信息的目的。
目前,瑞星终端威胁检测与响应系统(EDR)能够可视化地还原此次攻击事件,通过威胁调查功能,让用户从任意节点和关键元素对整个攻击进行追溯和梳理,全方位了解每一步进程,以此来提升防范网络攻击的能力。
图:瑞星EDR还原尼泊尔政府被攻击事件的整个流程
APT组织介绍
瑞星安全专家介绍,SideWinder是一个至少从2012年就开始进行网络攻击的威胁组织,又被称为响尾蛇、T-APT-04、Rattlesnake和APT-C-17,是现今最活跃的组织之一。该组织主要从事信息窃取和间谍活动,攻击目标集中在中国、巴基斯坦、阿富汗、锡兰、缅甸等国家,涉及行业多为政府部门、国防、医疗和科技公司等。据瑞星监测发现,SideWinder组织就曾仿冒外交部和商务部对国内政府机关发起钓鱼攻击,但并未成功。
图:瑞星监测到SideWinder组织曾对中国发起过APT攻击
攻击方式
在此次事件中,攻击者将仿造的“尼泊尔总理普什帕·卡迈勒·达哈尔行程信息”通过邮件发送给尼泊尔政府机构,以骗取相关人员的信任。一旦点击邮件附件,就会启动其中的恶意宏代码,而后释放出后门病毒和脚本文件。当后门病毒被脚本启动后,就会通过HTTP协议与服务器进行通信,接收由攻击者发来的指令,对受害者电脑进行远程控制,盗取所有的机密信息与数据。
图:仿造成尼泊尔总理行程信息的诱饵文档
后门病毒的特点
此次攻击者所使用的后门病毒是由Nim语言编写,其优势是增加了安全人员的分析难度,降低了安全软件的检测率,是目前很多攻击组织喜欢的新型开发语言。
防范建议:
瑞星安全专家表示,由于SideWinder组织的主要攻击目标包括我国,因此政府部门和国家重点行业都应提高警惕,谨防钓鱼邮件和远控后门导致的机密信息及数据被盗风险。
1. 不打开可疑文件。
不打开未知来源的可疑的文件和邮件,防止社会工程学和钓鱼攻击。
2. 部署EDR、NDR产品。
利用威胁情报追溯威胁行为轨迹,进行威胁行为分析,定位威胁源和目的,追溯攻击的手段和路径,从源头解决网络威胁,最大范围内发现被攻击的节点,以便更快响应和处理。
3. 安装有效的杀毒软件,拦截查杀恶意文档和恶意程序。
杀毒软件可拦截恶意文档和恶意程序,如果用户不小心下载了恶意文件,杀毒软件可拦截查杀,阻止病毒运行,保护用户的终端安全。
图:瑞星ESM防病毒终端安全防护系统查杀相关病毒
4. 及时修补系统补丁和重要软件的补丁。
许多恶意软件经常使用已知的系统漏洞、软件漏洞来进行传播,及时安装补丁将有效减少漏洞攻击带来的影响。
