疑似APT组织针对多吉币关注者进行鱼叉式定向攻击
2021-04-27
概述
近期，js1996官网登录伏影实验室捕获了一起针对多吉币（Dogecoin，狗狗币）关注者的钓鱼攻击事件。黑客使用精心设计的加密钓鱼文档，在诱骗受害者启用编辑功能解密文本内容的同时，利用恶意vba脚本执行恶意程序，最终通过投放cobaltstrike beacon控制受害者主机，实现窃取受害者敏感数据的目的。通过分析，伏影实验室确认本次事件的攻击源来自土耳其某学术机构，背后的攻击者可能是有长期活动历史和较高技术水平的攻击组织（APT）。
事件分析
多吉币（Dogecoin）凭借其近期的话题度和在价格上的表现，成为了虚拟货币市场上的流量明星，吸引了大量投资者的关注。与此同时，从事信息窃取的黑客也没有放过这些新入场的玩家们。
本次事件中，攻击者投放的诱饵文档名为dogecoin_survey.doc，文档最终显示的内容也是关于多吉币历史的文章，可以看出其攻击目标非常明确。经过多级释放后，黑客在受害者主机上植入了cobaltstrike beacon程序。这种全功能的RAT木马可以轻易地窃取受害者主机上的各种密码、键盘输入、屏幕内容等信息，从而实施与加密货币有关的盗窃行动。
该起攻击事件中，黑客使用的攻击手法，包括诱饵内容解密方式、中间载荷形式、解密算法、前置通信逻辑等，与常见钓鱼邮件攻击者的手法都有很大差异，并且显示了一定的设计水平。此外，黑客控制的CnC位置较为特殊，展现了其对社会机构设施的渗透和控制能力。这一现象说明近期加密货币的热潮可能吸引了一些“跨专业”的黑客进场，并使用自主设计的攻击流程进行信息窃取活动。
攻击者关联
本次攻击事件中，四阶段下载者木马LetMeOut.exe和最终阶段远控木马cobaltstrike beacon的通信CnC地址均为http://jc.neu.edu.tr/。经查询，该域名归属于土耳其私立大学近东大学（yakin dogu üniversitesi），这说明该机构的部分网络设施已遭到滥用，或已被黑客控制。
目前，攻击者展现的对学术机构进行攻击和恶意利用的相关行为，证明其对该次攻击的准备十分充足，这是长期的高威胁攻击组织（APT）的特征之一。伏影实验室正在采集和确认该攻击者与已知攻击组织的联系。
