黑客集团利用RATVERMIN后门攻击乌克兰军队

小皮
5640小皮首席执行运营官
2019-04-16 21:01:55
5640 2019-04-16 21:01:55
多个乌克兰军事部门成为长矛钓鱼活动的目标,该活动试图放弃RATVERMIN后门,作为在Powershell脚本的帮助下提供的第二阶段有效载荷的一部分。
FireEye威胁情报部门的研究小组发现了恶意攻击,并继续对2018年开始的乌克兰政府目标进行攻击,其后面的黑客组织似乎与所谓的卢甘斯克人民共和国(LPR)有关。


RATVERMIN使用Powershell脚本删除

正如FireEye Threat Intelligence在分析其攻击期间使用的恶意软件的编译时间后发现的那样,该组似乎至少自2014年以来一直处于活跃状态,其攻击主要是“主要针对乌克兰实体”。
此外,“2018年的活动使用独立的EXE或自解压RAR(SFX)文件来感染受害者。然而,他们最近的活动通过利用恶意LNK文件显示出更高的复杂性,”研究人员说。“该小组使用了开源QUASARRAT和RATVERMIN恶意软件,我们还没有看到任何其他组织使用它。”
作为鱼叉式网络钓鱼攻击的一部分,黑客发送的电子邮件看起来像是由一家名为Armtrac的英国国防制造商提供的。
[p][p]鱼叉式网络钓鱼电子邮件和伪装的LNK文件[/p][/p]
多个诱饵文件附加到网络钓鱼电子邮件,这些邮件旨在欺骗目标运行Powershell dropper脚本,伪装成带有PDF扩展名和Microsoft Word文档图标的LNK文件。
从官方网站Armtrac源自其他两份文件[ 12 ]旨在进一步获得被装在一个ZIP压缩文件的潜在受害者的信任,再次被压缩为一个名为Armtrac-Commercial.7z一个7Z压缩包,并连接到网络钓鱼电子邮件。


至少自2018年1月以来一直用于攻击的后门

RATVERMIN .NET后门是Palo Alto Networks的Unit 42于20181月发现的一种远程访问工具(RAT),它收集并泄露受害者的系统信息并“收集所有击键和剪贴板数据并在存储之前加密数据”键盘记录器的帮助。
与所有其他后门一样,RATVERMIN还允许其主人在受感染系统上运行各种命令,包括启动和终止进程以及捕获音频/屏幕截图,以及更新恶意软件和删除文件。
“虽然需要更多证据来确定归属,但这项活动展示了有能力的网络间谍能力,甚至是次国家行为者的可及性,”报告说。

此外,“虽然这个特定群体主要是对乌克兰的威胁,但对乌克兰的新生威胁以前已成为国际关注的问题并受到监控。”
本文标题:黑客集团利用RATVERMIN后门攻击乌克兰军队
本文作者:小皮
本文来自:蚁安黑客官网
转载请注明本文链接:http://bbs.mayidui.net/t3007.html
游客
登录黑客论坛后才可以回帖,黑客登录 或者 注册黑客
weixin
蚁安黑客

找黑客工具、找黑客教程、找黑客朋友,你想不到的黑客技术这儿都有!

微信号:baiyiwangan