分類: APT / APT攻擊 / APT 進階持續性威脅/ Advanced Persistent Threat

Pawn Storm 網路間諜行動,從政府機關到媒體名人皆在攻擊之列

趨勢科技 TrendMicro

Pawn Storm 攻擊行動重點摘要與最新發展

Pawn Storm 是一項又深又廣的持續性網路間諜行動。它曾攻擊北大西洋公約 (NATO) 會員國與美國白宮等政府機關，也曾鎖定烏克蘭和俄羅斯的一些知名政治人物，而且我們相信，歹徒的總部就位於俄羅斯。去年十月趨勢科技即曾經發表過有關 Pawn Storm 的研究報告：Pawn Storm 攻擊行動：利用轉移注意力來躲避偵測 (Operation Pawn Storm: Using Decoys to Evade Detection)，自此我們便一直持續監控及追蹤該行動的最新發展。

本文介紹有關該行動的最新發展，同時也提供一些背景資訊讓還不熟悉該行動的讀者進入狀況。

什麼是 Pawn Storm 攻擊行動？

Pawn Storm 是一項至今仍相當活躍的政治經濟網路間諜行動，專門鎖定一些知名機構和人士，從政府機關到媒體名人皆在攻擊之列。其最早的活動出現於2007 年，但直到最近，我們才掌握有關該行動的一些具體資料，包括其攻擊目標和攻擊來源。

它和其他網路間諜團體/行動有何不同之處？

Pawn Storm 在攻擊手法上和其他以政治為動機的駭客團體有明顯不同，例如：

  • 使用挾帶 SEDNIT/Sofacy 惡意程式的魚叉式網路釣魚（Phishing）郵件來攻擊 Windows系統，或挾帶 Fysbis 或 X-Agent 惡意程式來攻擊 Linux 系統。其魚叉式網路釣魚郵件有時會使用一些當地的材料或話題來吸引收件人開啟郵件。SEDNIT 是一個擁有後門和資訊竊取行為的惡意程式。
  • 假冒企業的 OWA 登入網頁來從事魚叉式網路釣魚郵件攻擊。其某個魚叉式網路釣魚（Phishing）魚郵件的變種會將使用者重導致假冒的 Outlook Web Access (OWA) 登入網頁，藉此竊取使用者的登入帳號密碼。此一攻擊手法的眾多受害者當中，美國國防承包商 ACADEMI (前 Blackwater 公司) 也名列其中。
  • 利用自製的 iOS 惡意程式從事間諜活動。此 iOS 惡意程式就是趨勢科技所偵測到的 IOS_XAGENT.A 或 IOS_XAGENT.B，可從受感染的行動裝置竊取各種資訊，例如：訊息、通訊錄、定位資訊、照片，甚至錄音檔。

繼續閱讀

Rocket Kitten駭客組織針對異議人士的攻擊行動

趨勢科技 TrendMicro

Rocket Kitten對伊朗講師及資安研究人員進行間諜活動

Rocket Kitten是個專門將攻擊目標放在中東特定知名人士的駭客組織, Thamar E. Gindin博士是位語言學和前伊斯蘭伊朗文化的專家,顯然因為說出政治聲明而激怒Rocket Kitten駭客組織的幕後人士。

間諜軟體

在2015年中，Gindin博士收到了多封魚叉式網路釣魚（Phishing）郵件，其中一封包含惡意軟體，另外三封夾帶連到偽登錄網頁的連結。這僅僅只是個開始。大量來自未知寄件者的訊息突然出現在她的 Facebook 收件匣。駭客發動暴力攻擊並利用密碼取回選項來取得她的雲端服務帳號。在兩起不同事件中，攻擊者甚至透過電話來聯絡她，希望取得進一步的詳細資料,以便為未來更多的網路釣魚郵件鋪陳。

在2015年6月Gindin博士協助ClearSky的網路安全研究人員進行與Rocket Kitten活動有關的Thamar Reservoir報告。當時她意識到Rocket Kitten刻意地針對她，但攻擊仍在持續。即便在報告發表後，Gindin博士還是會收到Google的密碼重設通知，而她並未上鉤。

 

Rocket Kitten針對ClearSky研究人員

知道Gindin博士跟ClearSky有關可能讓Rocket Kitten將矛頭指向他們的其中一名研究人員。這些攻擊者可能藉由取得的電子郵件知道Gindin博士告知ClearSky研究人員，或是他們自己發現了這安全團隊在調查他們。也有可能是攻擊者存取了其他曾聯繫ClearSky的Rocket Kitten受害者郵件。無論是哪一種，攻擊者利用了此一情報並用來作為誘餌。

隨之而來的是一連串新的嘗試，我們在之前曾報告Rocket Kitten參與派送GHOLE惡意軟體和掩護Woolen-Goldfish攻擊活動。以下解析了他們所做的事情：

  1. 社群媒體：攻擊者先嘗試用一個假Facebook身分來接近一名ClearSky威脅研究人員。這沒有奏效。
  1. 假電子郵件：攻擊者接著用自己所建的假ClearSky郵件地址（clearsky[.]cybersec[.]group@gmail[.]com）來寄送郵件給一名ClearSky研究人員。不過後者打電話給聲稱的寄件者來確認該封電子郵件，發現這是假冒的郵件。
圖1、聲稱來自一名ClearSky研究人員的魚叉式釣魚郵件
圖1、聲稱來自一名ClearSky研究人員的魚叉式釣魚郵件

 

繼續閱讀

Pawn Storm 間諜行動曝光：政治人物,搖滾歌手,藝術家成為攻擊目標

趨勢科技 TrendMicro

Pawn Storm 這個活躍已久的網路間諜行動為何看上俄羅斯的龐克搖滾樂團？的確，Pussy Riot (暴動小貓) 是個具爭議性的樂團，這個由女性主義者成立的樂團，其成員不久前才因觸犯基督教東正教會和俄羅斯教長制度的言論而入獄。但駭客為何會對她們有興趣？她們和其他被攻擊的對象有何關聯？

今年年初，我們曾經報導過 Pawn Storm 攻擊行動攻擊了北大西洋公約組織 (NATO) 會員國、美國白宮以及德國國會。不久前，他們又鎖定了駐紮在多個國家的大使館和軍事官員。Pawn Storm 的攻擊目標多為俄羅斯境外的政治單位，但根據趨勢科技的分析發現，實際上仍可有不少目標其實是位於該國境內。

間諜軟體

俄羅斯境內的間諜活動

Pawn Storm 行動幕後的俄羅斯間諜顯然對國內外是一視同仁，他們甚至也監控自己的人民。例如，針對俄羅斯國民的帳號登入資訊網路釣行動，就是一個本國境內間諜行動的案例。圖 1 顯示該行動攻擊目標在不同產業的分布情形。

圖 1：俄羅斯境內攻擊目標的產業/市場分布。

繼續閱讀

< 報告 >Rocket Kitten 駭客組織在中東的網路間諜活動

趨勢科技 TrendMicro

趨勢科技威脅研究團隊發表了一篇報告，裡面詳細介紹了被稱為Rocket Kitten駭客組織的活動，這群駭客已經從事網路間諜活動好幾年了。我們之前發表過關於此組織的報告，但之後在另一研究機構 ClearSky 的協助下又發現了一些新的活動，於是我們共同合作發表了這篇新的報告。

中東網路間諜

經由受害者所竊取得來的資料,進一步深入其所在的產業

今天的「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）大多數都是為了竊取資料獲利。有趣的是Rocket Kitten的目的似乎不是為了賺錢，而是在進行網路間諜活動。其攻擊目標也不像我們在之前攻擊中所看到的組織，而是特定產業內的個人。網路間諜活動很難確認實際被竊的資料以及被如何的使用,但分析這些攻擊所使用的惡意程式碼，很明顯地發現會經由受害者所竊取得來的資料,進一步深入其所在的產業，因此推斷間諜活動似乎是攻擊的原因。 繼續閱讀

巨集病毒/惡意軟體20年：從「示範」意味的 Concept 病毒到 APT攻擊

趨勢科技 TrendMicro

巨集病毒/惡意軟體是資安界所面臨的問題中最長久的一個。自從第一個樣本出現在1995年以來，巨集病毒總是能找到方法來讓擺脫它們的努力化成烏有，一次又一次的以某種形式死灰復燃。我們相信它會具備如此韌性的很大一個原因是因為它所攻擊的是世上使用最廣泛也最無處不在的軟體，如Microsoft Office。從它第一次出現到現在已經有20年了，回顧一下過去這些年巨集惡意軟體歷史和將來會如何發展。

  • 1995 – 1999年：早期年代

1995年，第一個巨集惡意軟體「Word-Concept 」首次誕生。它會利用微軟Word的巨集功能，被發現預裝在微軟所發布Windows 95的光碟上。它基本上無害，只會顯示帶有數字「1」和「OK」按鈕的對話框。也在同一年，第一個Excel巨集病毒XM_LAROUX出現。跟Word-Concept 一樣，「示範」作用居多，只會顯示一個帶有模糊訊息和確定按鈕的對話框。

在台灣最著名的例子正是1996 年現身的Taiwan NO.1 Word 巨集病毒。以下我們先分享幾個台灣本土巨集病毒發作的畫面:

 

在世紀末的1999年，最惡名昭彰的巨集惡意軟體之一 梅麗莎(Melissa)出現。當時幾乎所有的信箱都塞滿了這樣標題的信件：「 Important message from < somebody>」(PS. Somebody 是寄件人的名字) ，信件內容為：「 Here is that document you asked for….don’t show anyone else:-)」並有一個內含80個色情網站 Word 附件檔。

一旦打開附件檔，會大量寄出郵件給使用者通訊錄上的前50名郵件地址。許多知名大企業並沒在情勢失控前，找到合宜的解決方案。甚至以關閉 Mail server 來對抗這隻史無前例擴散的病毒，全世界約有20%的電腦被感染，造成超過8,000萬美元的損失。
繼續閱讀