TA505网络间谍组织对中东、亚洲多国发动新型攻击

  • 时间:
  • 浏览:0
  • 来源:大发欢乐生肖官网-大发欢乐生肖网站

TA1005网络间谍组织主要针对全球金融机构进行攻击,自2014年以来就老是保持活跃具体情况,在过去的几年里,该组织机会通过利用银行木马Dridex以及勒索软件Locky和Jaff作为攻击工具成功发起了多起大型的网络攻击活动。亚信安全老是密切关注该组织的动向。

在过去几周内,亚信安全研究人员发现,该组织针对阿联酋、沙特阿拉伯、印度、日本、阿根廷、菲律宾和韩国发动攻击活动。与以往不同的是,在针对亚洲国家的攻击活动中,TA1005主要使用了新型恶意软件Gelup(亚信安全将其命名为Trojan.Win32.GELUP.A)和FlowerPippi(亚信安全将其命名为Backdoor.Win32.FLOWERPIPPI.A)。

针对中东地区攻击活动分析

6月11日,TA1005网络间谍组织针对阿联酋,沙特阿拉伯和摩洛哥发动了垃圾邮件攻击活动,本次攻击活动使用的垃圾邮件附件是.html机会.xls文件。附件HTML文件运行后,首先会下载蕴含恶意Excel 4.0宏的Excel文件,执行恶意宏就让,其会下载FlawedAmmyy安装包文件并安装FlawedAmmyy RAT。

【垃圾邮件攻击流程图】

机会附件是.xls文件,该文件自身会蕴含恶意Excel 4.0宏代码,其运行后同样是下载FlawedAmmyy安装包文件并安装FlawedAmmyy RAT。

【TA1005攻击中东国家邮件样本】

6月13日,亚信安全研究人员再次截获垃圾邮件攻击样本,哪此垃圾邮件附件除了蕴含就让的.html和.excel文件,还增加了.doc文件。

【HTML文件下载恶意文档的代码截图】

6月14日,研究人员看了TA1005持续对阿联酋进行攻击,其使用的攻击手段及技术与就让的这类,此次攻击是通过Amadey僵尸网络发送垃圾邮件,其使用了Wizard(.wiz)文件,最终的目标仍然是下载安装FlawedAmmyy RAT。

【6月14日截获的垃圾邮件样本】

6月18日,研究人员截获的垃圾邮件主题大多具有诱惑性,欺骗用户点击,如”您的RAKBANK税务发票”、”免税额度”机会”确认函”。其附件同样是使用上述.html文件,蕴含恶意宏的Excel机会Word文档,最终目的是下载安装FlawedAmmyy RAT和Amadey。就让其会传送”EmailStealer”信息窃取任务管理器,在受害者的机器中窃取邮件传输协议(SMTP)凭据和电子邮件地址。

研究人员在其C&C服务器上发现了共要数百个SMTP凭据,超过一百万个电子邮件地址,哪此邮件地址中100%是.com或.ae顶级域名。

【6月18日截获的垃圾邮件样本】

针对亚洲攻击活动分析

6月17日,亚信安全研究人员截获了一定量针对亚洲银行发动的垃圾邮件攻击活动,哪此邮件使用”阿联酋航空NBD电子声明”机会”签证撤出 ”等主题诱骗用户点击邮件附件,邮件附件是嵌入恶意任务管理器的Excel文件。运行后,其会下载ServHelper加载器。

【6月17日截获的攻击亚洲银行的垃圾邮件样本】

6月20日,研究人员再次截获针对日本、菲律宾和阿根廷发动的垃圾邮件攻击活动,邮件附件同样是蕴含宏病毒的.doc和.xls文件,不同的是宏病毒最终会下载未公开的恶意软件FlowerPippi和Gelup。Gelup恶意软件使用C++编写,其与众不同之处是混淆技术和UAC绕过功能,可我太少 能有效阻止静态和动态调试分析。FlowerPippi则具有后门和下载功能。

就在同一天,研究人员还截获了针对韩国发动的垃圾邮件攻击活动,与就让攻击活动不同的是,此次邮件中并非蕴含附件,要是在邮件正文中嵌入了恶意URL,一旦用户访问恶意URL,其会下载蕴含宏病毒的.doc和.xls文件,最终的目的同样是下载FlawedAmmyy RAT。

【6月20日截获的攻击韩国垃圾邮件样本】

亚信安全教你怎样才能防范

· 并非点击来源不明的邮件以及附件;

· 并非点击来源不明的邮件中蕴含的链接;

· 采用高强度单位的密码,补救使用弱口令密码,并定期更换密码;

· 打开系统自动更新,并检测更新进行安装。

· 尽量关闭并非要的文件共享;

· 请注意备份重要文档。备份的最佳做法是采取3-2-1规则,即共要做有另三个白 副本,用一种生活生活不同格式保存,并将副本装入 异地存储。

亚信安全补救方案

亚信安全病毒码版本15.233.100,云病毒码版本15.233.71,全球码版本15.233.00机会可我太少 能检测,请用户及时升级病毒码版本。

总结:亚信安全研究人员发现,TA1005网络间谍组织的活动范围和攻击规模很广泛,从勒索软件到信息窃取木马,以及后门任务管理器等,其可我太少 能提供多种威胁。就让该组织在技术上不断变化更新,攻击目标也在不断扩大,给用户造成了极大威胁。

TA1005网络间谍组织的主要攻击手段是发动垃圾邮件攻击,亚信安全建议用户通过部署网关类产品作为第一道防线,在源面前进行阻断;桌面防护产品可我太少 能有效阻止威胁到达客户端;人员安全意识培训也是必不可少的环节。