【安全圈】MuddyWater 黑客組織通過(guò)魚(yú)叉式釣魚(yú)向中東多部門(mén)傳播 RustyWater 遠(yuǎn)程木馬

關(guān)鍵詞

黑客

被稱(chēng)為MuddyWater的伊朗黑客組織近日被指發(fā)動(dòng)了一場(chǎng)針對(duì)中東地區(qū)外交、海事、金融及電信實(shí)體的魚(yú)叉式釣魚(yú)攻擊，其使用的是一款基于Rust語(yǔ)言、代號(hào)為RustyWater的植入程序。

CloudSEK的研究員Prajwal Awasthi在本周發(fā)布的報(bào)告中表示：“此次攻擊活動(dòng)利用圖標(biāo)偽裝和惡意Word文檔，投放基于Rust語(yǔ)言開(kāi)發(fā)的植入程序。該植入程序具備異步命令與控制（C2）通信、反分析、通過(guò)注冊(cè)表實(shí)現(xiàn)持久化以及模塊化擴(kuò)展等能力。”

這一最新進(jìn)展表明MuddyWater的攻擊手法持續(xù)演變。該組織已逐步但穩(wěn)步減少對(duì)合法遠(yuǎn)程訪問(wèn)軟件作為入侵后工具的依賴(lài)，轉(zhuǎn)而采用多樣化的定制惡意軟件庫(kù)，包括Phoenix、UDPGangster、BugSleep和MuddyViper等工具。

該黑客組織被評(píng)估隸屬于伊朗情報(bào)與安全部，其活動(dòng)至少可追溯至2017年。

傳播RustyWater的攻擊鏈較為直接：偽裝成網(wǎng)絡(luò)安全指南的魚(yú)叉式釣魚(yú)郵件附帶一個(gè)Microsoft Word文檔。當(dāng)受害者打開(kāi)文檔時(shí)，會(huì)收到“啟用內(nèi)容”的提示，一旦執(zhí)行，便會(huì)激活一個(gè)負(fù)責(zé)部署Rust植入程序的惡意VBA宏。

RustyWater會(huì)收集受害者計(jì)算機(jī)信息、檢測(cè)已安裝的安全軟件、通過(guò)Windows注冊(cè)表項(xiàng)建立持久化，并與命令與控制（C2）服務(wù)器（”nomercys.it[.]com”）建立聯(lián)系，以執(zhí)行文件操作和命令。

值得注意的是，Seqrite Labs在上月底曾報(bào)告RUSTRIC被用于針對(duì)以色列的信息技術(shù)（IT）公司、管理服務(wù)提供商（MSP）、人力資源及軟件開(kāi)發(fā)公司的攻擊活動(dòng)中。這家網(wǎng)絡(luò)安全公司將該活動(dòng)追蹤命名為UNG0801和Operation IconCat。

CloudSEK指出：“從歷史手法看，MuddyWater一直依賴(lài)PowerShell和VBS加載程序進(jìn)行初始入侵和后續(xù)操作。此次引入基于Rust語(yǔ)言的植入程序，標(biāo)志著其工具鏈向更結(jié)構(gòu)化、模塊化和低噪聲的遠(yuǎn)程訪問(wèn)木馬能力顯著演進(jìn)?！?/p>

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專(zhuān)注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！