
FireEye威胁情报部门的研究小组发现了恶意攻击,并继续对2018年开始的乌克兰政府目标进行攻击,其后面的黑客组织似乎与所谓的卢甘斯克人民共和国(LPR)有关。
RATVERMIN使用Powershell脚本删除
正如FireEye Threat Intelligence在分析其攻击期间使用的恶意软件的编译时间后发现的那样,该组似乎至少自2014年以来一直处于活跃状态,其攻击主要是“主要针对乌克兰实体”。
此外,“2018年的活动使用独立的EXE或自解压RAR(SFX)文件来感染受害者。然而,他们最近的活动通过利用恶意LNK文件显示出更高的复杂性,”研究人员说。“该小组使用了开源QUASARRAT和RATVERMIN恶意软件,我们还没有看到任何其他组织使用它。”
作为鱼叉式网络钓鱼攻击的一部分,黑客发送的电子邮件看起来像是由一家名为Armtrac的英国国防制造商提供的。
[p]
[p]鱼叉式网络钓鱼电子邮件和伪装的LNK文件[/p][/p]
多个诱饵文件附加到网络钓鱼电子邮件,这些邮件旨在欺骗目标运行Powershell dropper脚本,伪装成带有PDF扩展名和Microsoft Word文档图标的LNK文件。

从官方网站Armtrac源自其他两份文件[ 1,2 ]旨在进一步获得被装在一个ZIP压缩文件的潜在受害者的信任,再次被压缩为一个名为Armtrac-Commercial.7z一个7Z压缩包,并连接到网络钓鱼电子邮件。
至少自2018年1月以来一直用于攻击的后门
RATVERMIN .NET后门是Palo Alto Networks的Unit 42于2018年1月发现的一种远程访问工具(RAT),它收集并泄露受害者的系统信息并“收集所有击键和剪贴板数据并在存储之前加密数据”键盘记录器的帮助。
与所有其他后门一样,RATVERMIN还允许其主人在受感染系统上运行各种命令,包括启动和终止进程以及捕获音频/屏幕截图,以及更新恶意软件和删除文件。
“虽然需要更多证据来确定归属,但这项活动展示了有能力的网络间谍能力,甚至是次国家行为者的可及性,”报告说。
此外,“虽然这个特定群体主要是对乌克兰的威胁,但对乌克兰的新生威胁以前已成为国际关注的问题并受到监控。”
本文标题:黑客集团利用RATVERMIN后门攻击乌克兰军队
本文作者:小皮
本文来自:蚁安黑客官网
转载请注明本文链接:http://www.mayidui.net/t3007.html