近日，瑞星威脅情報平臺捕獲到一起疑似針對中韓兩國食品行業的APT攻擊事件。通過分析發現攻擊者為APT37組織，該組織使用名為韓語、內容為中文的設備清單作為誘餌，通過釣魚郵件向涉及到面包生產線的食品行業發送惡意文件，企圖遠程控制系統并竊取企業數據。

目前，瑞星終端威脅檢測與響應系統（EDR）已記錄并可視化地還原了整個攻擊過程，廣大用戶可使用威脅調查功能，從任意節點和關鍵元素全方位了解每一步攻擊進程，以此來提升防御APT攻擊的能力。

圖：瑞星EDR還原APT37組織的整個攻擊流程

具有國家背景的攻擊組織

APT37是一個至少從2012年就開始對目標進行網絡攻擊的威脅組織，該組織又被稱為Konni、Group123、TEMP.Reaper等。APT37組織疑似來自朝鮮，具有國家背景，其目的主要是信息盜竊和間諜活動，目標包括中國、俄羅斯、印度、日本和韓國等，涉及的領域涵蓋政府、航空航天、汽車、化工、金融、醫療保健、制造和運輸等。

中韓語混合的誘餌文檔

瑞星安全專家介紹，在此次攻擊中，APT37組織會通過釣魚郵件向受害者投遞一個壓縮包，該壓縮包中包含一個名稱為韓語的快捷方式，該快捷方式會指向惡意的PowerShell代碼。此PowerShell代碼不僅會釋放多個文件，還會釋放出一個關于設備清單的誘餌文檔。

圖：APT37組織在此次攻擊活動中使用的誘餌文檔

該誘餌文檔雖然名稱為“????.doc”（設備清單），但點開文檔后會發現，其內容為中文編寫，詳細列出了面包生產線中多個機械設備的參數信息。根據該誘餌文檔的內容猜測，此次攻擊的目標極有可能與中韓兩國有關，且針對于面包生產線相關的食品行業。

圖：攻擊流程

常被攻擊組織使用的遠控木馬

瑞星安全專家表示，誘餌文檔只是為了迷惑受害者，與其同時釋放出的bat和dat文件才是關鍵，攻擊者可以利用這些文件在內存中隱秘地執行RokRAT遠控木馬，對受害者主機進行控制，竊取指定文件或信息，下發并執行其他惡意程序。

由于RokRAT木馬是一種基于云的遠程訪問工具，能夠借助dropbox、pCloud等云存儲平臺作為指揮和控制服務器，因此可以降低被殺毒軟件檢測到的風險，而常常被APT攻擊組織所使用。

能夠防御APT攻擊的幾種方法

鑒于APT37組織近期較為活躍，且目標已涉及到我國，因此瑞星安全專家提醒廣大用戶應加強防御，做到以下幾點：

1. 不打開可疑文件。

不打開未知來源的可疑的文件和郵件，防止社會工程學和釣魚攻擊。

2. 部署EDR、NDR產品。

利用威脅情報追溯威脅行為軌跡，進行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網絡威脅，最大范圍內發現被攻擊的節點，以便更快響應和處理。

3. 安裝有效的殺毒軟件，攔截查殺惡意文檔和惡意程序。

殺毒軟件可攔截惡意文檔和惡意程序，如果用戶不小心下載了惡意文件，殺毒軟件可攔截查殺，阻止病毒運行，保護用戶的終端安全。

4. 及時修補系統補丁和重要軟件的補丁。

許多惡意軟件經常使用已知的系統漏洞、軟件漏洞來進行傳播，及時安裝補丁將有效減少漏洞攻擊帶來的影響。

免責聲明：市場有風險，選擇需謹慎！此文僅供參考，不作買賣依據。

關鍵詞：