云安全
大數(shù)據(jù)安全態(tài)勢感知
物聯(lián)網(wǎng)安全
工業(yè)互聯(lián)網(wǎng)安全
安全管理
數(shù)據(jù)安全
網(wǎng)絡(luò)安全
應(yīng)用安全
商用密碼
端點安全
新型智慧城市
開發(fā)安全
云原生安全
網(wǎng)絡(luò)空間靶場
運營管理服務(wù)
獵影追蹤：APT-LY-1009使用VenomRAT以及Telegram Bot針對亞美尼亞政府的攻擊活動分析
近日，安恒信息獵影實驗室在在日常威脅狩獵過程中發(fā)現(xiàn)一例上傳自亞美尼亞的惡意LNK文件，文件運行后將加載遠程HTA文件，執(zhí)行多段腳本指令，下載惡意文件加載器，并釋放誘餌文件，最終在內(nèi)存中加載開源遠控木馬Venom RAT。
針對亞美尼亞共和國政府的APT組織
在2023年9月，獵影實驗室首次捕獲亞美尼亞首都耶烈萬上傳的包含有惡意宏代碼的文檔，宏代碼運行后將下載用于執(zhí)行腳本指令的惡意文件，最后在內(nèi)存中加載Venom RAT。
鑒于23年9月與今年1月捕獲的兩條攻擊鏈的目標(biāo)相似性、攻擊武器一致性，以及網(wǎng)絡(luò)基礎(chǔ)設(shè)施存在的關(guān)聯(lián)性，我們認為該組織可以作為未知威脅組織進行跟蹤及披露，并將此事件背后的威脅組織標(biāo)記為APT-LY-1009（暗爪鷹、Darkclaw Eagle）并進行跟蹤。
除開源惡意軟件Venom RAT的使用外，我們還在APT-LY-1009的網(wǎng)絡(luò)資產(chǎn)上發(fā)現(xiàn)了其用于竊取目標(biāo)主機信息，進行上傳下載的Telegram Bot。
根據(jù)樣本中包含的PDB路徑，我們將該信息竊取器命名為Mohlat Stealer。該組織開發(fā)并使用了C#、Rust兩個版本的Mohlat，部分還使用UPX進行了加殼。
跟蹤發(fā)現(xiàn)，APT-LY-1009（暗爪鷹、Darkclaw Eagle）的幾次攻擊活動均針對亞美尼亞共和國政府工作人員。
攻擊鏈復(fù)盤
我們捕獲的兩條較為完整攻擊鏈如下：
2023年9月攻擊活動：
釣魚郵件附件DOC文件，帶有惡意宏代碼，運行后請求遠程服務(wù)器，下載用于執(zhí)行Powershell的EXE文件，Powershell指令執(zhí)行后，進一步下載Loader，最終在內(nèi)存解密加載Venom RAT。
2024年1月攻擊活動：
LNK文件運行后執(zhí)行遠程VBScript代碼，其中包含一段Base64編碼后的Powershell指令，執(zhí)行加載下一階段Powershell指令，隨后下載Loader，最終在內(nèi)存中解密運行Venom RAT。
除上述攻擊鏈外，我們還通過其網(wǎng)絡(luò)基礎(chǔ)設(shè)施關(guān)聯(lián)到其他由亞美尼亞提交的釣魚URL鏈接。其中有文件與上述攻擊鏈中的誘餌文件同名，有文件運行后以亞美尼亞政府職位空缺公告為誘餌，最后下發(fā)的惡意組件包括C#與Rust兩個版本，均鏈接至Telegram Bot，目標(biāo)為竊取用戶主機文件。
下載方式
掃碼or復(fù)制網(wǎng)址
《APT-LY-1009使用VenomRAT以及Telegram Bot針對亞美尼亞政府的攻擊活動分析》報告為安恒研究院獵影實驗室獨家發(fā)布，如對此研究感興趣或欲了解報告更多詳細，請前往下載。
方式一：掃描下方二維碼即可下載
方式二：“安恒研究院”頁面底部【資料下載】處獲取
或可復(fù)制鏈接打開：http://www.czjwh.cn/product/cloud250.html
方式三：聯(lián)系安恒信息當(dāng)?shù)厣虅?wù)人員獲取
