《APT攻擊》另一起電子郵件目標攻擊利用研究單位做掩護

在趨勢科技監測目標攻擊（特別是APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)時，趨勢科技看到一封夾帶有PDF檔案的電子郵件，這檔案在42個一般或啟發式偵測規則裡只觸發了少少的四個。

趨勢科技檢查了這封電子郵件，哇！這封信是來自筆者一位FireEye可信任的研究員同事和朋友，他也在監測這些活動。更精確地說，至少看起來是這樣。

看起來是正常的，對吧？但直覺告訴我們，這裡頭有些不對勁，所以趨勢科技先來仔細檢查一下電子郵件檔頭，希望能找到一些偽造的痕跡，而我看到了。

這檔頭顯然是偽造的。電子郵件地址和筆者同事的聯絡資訊（包括FireEye的標誌）都是這次攻擊活動的幕後黑手假造用來作為社交工程陷阱( Social Engineering)攻擊的一部分。

在回信地址裡的電子郵件地址是dawatsering228@yahoo.com。這電子郵件地址看起來很眼熟，我們很確定在之前針對西藏公眾人物和非政府組織的目標攻擊活動裡有看過(請參考《 APT 進階持續性滲透攻擊》16 封不能點的目標攻擊信件)。利用Google來對這電子郵件地址做些公開來源情報（OSINT）搜尋，出現了一些藏族公眾人物或是跟達瓦才仁（Dawa Tsering）有關的一些佛教活動。但是，顯然不可能是這位人士來發送目標攻擊郵件！所以這個電子郵件地址可能已經被入侵了。

檔名為「Next Generation Threats.pdf」的附加檔案看起來會做漏洞攻擊，可能會產生其他惡意軟體或執行惡意行為。這個被偵測為TROJ_PIDIEF.KFR的PDF有加密碼保護。這個密碼保護會加密檔案內容，所以並無法得知關於漏洞攻擊的詳情。但仔細觀察這惡意軟體，它會產生被偵測為JS_DROPPR.KFR的JavaScript。這個JavaScript會植入後門程式BKDR_INJECT.KFR，連到{BLOCKED}.{BLOCKED}.77.98。這個IP地址看起來是註冊在中國。上述的後門程式會對這IP地址送出以下資訊：