近期代號為APT29、UNC2452、Cozy Bear的俄羅斯駭客組織Midnight Blizzard攻擊行動頻頻,上週烏克蘭電腦緊急應變團隊(CERT-UA)警告這些駭客利用遠端桌面連線(RDP)組態檔案從事攻擊行動,並指出駭客在8月就開始架設基礎設施,本週微軟表示,這可能是全球大規模攻擊的一部分。
微軟威脅情報中心指出,他們從10月22日開始,發現Midnight Blizzard的大規模網釣攻擊行動,這些駭客向政府、學術界、國防、非政府組織等機構發送高度針對性的釣魚郵件,有超過100個組織、數千人成為目標。這些釣魚信的共通點在於,駭客挾帶了帶有簽章的RDP組態檔案。研究人員推測,這起攻擊的主要目標,是進行情報的收集。
這起攻擊行動的範圍相當廣,英國、歐洲、澳洲、日本是主要目標,但還有數十個國家也出現相關攻擊。
值得一提的是,駭客使用的誘餌當中,有部分會冒充微軟的員工來引誘收信人上當,但研究人員也看到假冒其他雲端服務業者,或是與零信任概念有關的誘餌。
針對釣魚信裡挾帶的附件檔案,研究人員指出是經Let's Encrypt憑證進行簽章的RDP檔,這些組態檔案內含多項敏感配置,很有可能引發資訊洩露。
一旦目標系統遭到入侵,將會與攻擊者控制的伺服器連線,並以雙向對應方式(bidirectionally mapped)將受害電腦連接的周邊裝置與暫存資料,掛載到攻擊者控制的伺服器。這些資源包含本機硬碟、剪貼簿內容、印表機與其他連接到電腦的外部裝置,甚至連Windows身分驗證功能相關的設施(如智慧卡),也在共享的範圍裡面。研究人員提及,使用者登入電腦的帳密資料,也可能會因此曝露給駭客。
接著,攻擊者便能在受害電腦或是共享的網路硬碟植入惡意軟體,尤其是可能部署RAT木馬程式等其他工具,以便在RDP連線中斷後持續存取受害電腦。
熱門新聞
2024-11-10
2024-11-10
2024-11-11
2024-11-10
2024-11-08
2024-11-08