五起真实的APT攻击活动，仅有一种检测结果

APT34（又名OilRig）是一个涉嫌与伊朗政府有关联的威胁组织，活跃时间已逾十年。该组织以针对中东地区政府、能源及金融机构的定向网络间谍活动而闻名，通常依靠精心制作的鱼叉式网络钓鱼邮件来获取初始访问权限。

威胁情报报告显示，APT34 经常利用恶意文档投放定制恶意软件，并以此维持对受害者环境的长期访问权限。这些攻击活动旨在让收件人误以为是常规邮件，同时悄无声息地部署用于监控和数据收集的工具。

在此案例中，攻击者通过一封针对政府和海事组织的鱼叉式网络钓鱼邮件，散布了一份恶意的Microsoft Word文档。该文件的标题为阿拉伯语，内容围绕海军舰艇战备状态展开，这表明其制作初衷是让该文件看起来与该地区的军事或外交收件人相关。

文档打开后，会提示用户启用宏。启用后，该宏会创建一个伪装成合法谷歌相关文件夹的目录，并将更多文件植入系统。随后，该宏执行了一个小型 VBA 脚本，该脚本利用 PowerShell 和 .NET 反射技术加载了两个属于 Karkoff 恶意软件家族的 DLL 有效载荷。

此次攻击凸显了攻击者仍在利用基于文档的鱼叉式网络钓鱼手段渗透敏感环境。政府机构、外交组织和海事实体依然是频繁的攻击目标，因为它们掌握的信息具有战略情报价值。

这些行业的安全团队应将基于文档的威胁视为主要的入侵途径。即使是一份通过电子邮件发送的恶意文件，也可能成为更大规模间谍活动的切入点。

如需进一步了解此次攻击并查阅完整分析报告，请访问OPSWAT 报告。

APT-C-35（通常被称为“Donot”）是一个活动已久的威胁组织，以针对政府和战略性组织发起定向鱼叉式网络钓鱼攻击而闻名。安全研究人员观察到，该组织通常利用基于文档的诱饵和定制恶意软件框架渗透特定目标，而非发动大规模攻击。

近期报道还指出，该组织持续开发其攻击工具，包括对支持间谍活动和数据收集的Jaca框架进行改进。这些攻击活动表明，该组织如何调整技术手段以规避自动化分析，并维持在目标环境中的访问权限。

在此示例中，攻击者通过一封针对南亚制造业和政府部门相关组织的鱼叉式网络钓鱼邮件，发送了一份恶意的 Microsoft Office 文档。该文档包含一个受密码保护的宏，而邮件中恰好提供了正确的密码，以此诱使受害者启用该宏的执行。

一旦输入正确的密码，该宏便会执行隐藏的恶意逻辑，其设计初衷在于规避自动化分析。该代码包含旨在消耗分析资源的无意义循环、动态生成的shellcode，并最终通过Windows CryptEnumOIDInfoAPI 机制执行有效载荷，从而使攻击能够绕过传统的检测技术。

此次攻击表明，高度针对性的攻击活动往往会利用一些细微的技术手段来规避自动化防御系统。制造企业、政府机构以及与区域供应链相关的工业部门常成为攻击目标，因为攻击者认为这些机构的员工会经常交换文档和技术文件。

这些行业的安全团队应格外谨慎地对待受密码保护的文档和启用了宏的文件。即使是通过电子邮件发送的看似合法的文件，也可能隐藏着旨在绕过传统检测工具的复杂入侵技术。

如需进一步了解此次攻击并查阅完整分析报告，请访问OPSWAT 报告。

网络间谍活动通常以与政府及关键基础设施相关的组织为目标。与伊朗有关联的威胁活动屡次针对特定目标实施入侵，旨在从敏感网络中窃取凭证、内部文件和情报。

威胁情报报告还显示，此类攻击活动通常将窃取凭据作为首要目标，以此作为初始立足点。窃取到的凭据使攻击者能够悄无声息地扩大访问权限，并在目标环境中长期维持持久性。

在此示例中，攻击者发送了一份包含波斯语内容的恶意 Office 文档，旨在针对伊朗境内的组织。该文档旨在收集凭据和内部文件等敏感信息，同时还会从受感染的系统中截取屏幕截图。

在建立持久化连接后，该恶意软件会在继续执行其活动之前，对google.com等受信任的域名进行隐蔽的连接性检测。此步骤旨在确保系统拥有稳定的互联网连接，然后才发起进一步的通信或潜在的数据外泄。

此示例展示了凭证窃取威胁如何频繁地被用于针对关键基础设施环境的定向入侵。这些领域通常运行在受控网络中，攻击者在尝试收集数据之前必须先验证网络连通性。

负责关键系统的组织应密切监控可疑文档行为，以及新打开的文件触发的意外网络检测。这些早期迹象可能预示着更大规模入侵活动的开始。

如需进一步了解此次攻击并查阅完整分析报告，请访问OPSWAT 报告。

MuddyWater 是一个广受关注的威胁组织，据称与伊朗的网络间谍活动有关。研究人员已证实，该组织利用鱼叉式网络钓鱼邮件和恶意文档，针对中东地区的外交、电信、金融及政府机构展开攻击。

最新报道显示，该组织通过钓鱼邮件分发一种名为“RustyWater”的基于Rust的植入程序，这些邮件中夹带了伪装成网络安全指南的启用宏的Word文档。该攻击活动针对中东地区的各类组织，并利用极具诱惑力的诱饵诱使用户执行宏。

在此示例中，攻击者从一家区域性mobile 合法账户发送了一封标题为“网络安全指南”的鱼叉式网络钓鱼邮件。该邮件附带了一个恶意Word文档，其外观设计成常规政策或安全公告的样式。

启用宏后，该文档便会提取文件中嵌入的十六进制编码有效载荷，并将其重建为一个 Windows 可执行文件。该恶意软件会被写入磁盘，并通过混淆逻辑启动——该逻辑会在执行过程中重建关键字符串，从而增加对宏的分析难度。

该植入的可执行文件部署了一个基于Rust的植入程序，该程序具备反调试行为、加密的操作字符串，并在建立命令与控制通信之前会检查已安装的安全工具。

此次攻击表明，定向网络钓鱼活动往往利用逼真的政策或安全相关主题，以增加收件人打开附件的可能性。外交机构、电信运营商和金融机构仍是此类活动的常见目标。

这些行业的安全团队应谨慎对待启用了宏功能的文档，尤其是通过意外邮件发送的文档。即使那些看似包含常规网络安全指南的文件，也可能隐藏着旨在建立长期入侵通道的恶意软件。

如需进一步了解此次攻击并查阅完整分析报告，请访问OPSWAT 报告。

针对航空和交通运输组织的精准攻击活动日益增多，攻击者正试图寻找入侵敏感运营环境的方法。这些行业通常管理着复杂的系统和供应链，因此成为间谍活动和长期入侵的理想目标。

近期报道披露了一项名为“CraftyCamel”的攻击活动，该活动利用了能够同时兼具多种文件格式的多格式文件。这些文件旨在绕过传统检测工具，同时针对航空和运营技术环境发起攻击。

在此示例中，攻击者发送了一封精心制作的钓鱼邮件，并冒用一家遭入侵的正规公司名义发送，以增强可信度。该邮件包含一个 ZIP 压缩包，其中装有伪装成正规文档的文件，但这些文件实际上是设计用来执行隐藏代码的。

在该文件库中，攻击者使用了多种格式的文件，包括一个伪装成Excel文档的文件（实际上是Windows快捷方式（LNK）），以及PDF/HTA和PDF/ZIP组合文件。这些文件利用了mshta.exe等受信任的Windows实用程序来执行隐藏脚本，并最终加载伪装成图片的最终恶意软件有效载荷。

此次攻击表明，现代入侵活动越来越依赖复杂的文件结构来规避传统检测工具。航空、卫星、电信和交通运输领域的机构尤其面临风险，因为它们经常交换技术文档和运营文件。

这些行业的安全团队应意识到，看似无害的文档文件可能隐藏着多种嵌入式格式或隐蔽的执行路径。要检测此类威胁，需要进行深度检测，以揭示隐藏在复杂文件结构中的恶意行为。

如需进一步了解此次攻击并查阅完整分析报告，请访问OPSWAT 报告。