安全圈 - 【安全圈】瑞星捕獲黑客組織Lazarus針對軍工行業最新攻擊行動－鑽石舞台

關鍵詞

黑客

近日，瑞星威脅情報中心捕獲到一起專門針對軍工領域從業人員發起的APT攻擊事件，通過分析發現此次事件的主謀為Lazarus組織，該組織通過偽造國際知名軍工企業洛克希德·馬丁公司的招聘文件為誘餌，誘騙軍工領域相關人員點擊並執行帶有惡意程序的文件，從而達到竊取機密信息、遠程控制的目的。

圖：攻擊流程

據悉，Lazarus組織是一個自2007年就開始對目標進行網絡攻擊的威脅組織，該組織又被稱為APT-C-26、T-APT-15等，是現今最活躍的威脅組織之一。該組織疑似來自朝鮮，具有國家背景。其除了擅長信息盜取、間諜活動外，還會蓄意破壞用戶主機，以牟取經濟利益，攻擊的國家包括中國、德國、澳大利亞和日本等，涉及的領域有航空航天、政府、醫療、金融和媒體等。

瑞星安全專家介紹，在此次攻擊事件中，Lazarus組織通過偽造的國際知名軍工企業洛克希德·馬丁公司的高級職務招聘文件作為誘餌，向軍工領域從業人員投放名為「LMCO_SeniorSystemsEngineer_BR09.doc 」的文檔，以此誘騙目標用戶點擊查看。

而該文檔內容則顯示為亂碼，其目的就是為了誘導用戶點擊「啟用內容」，一旦用戶點擊啟動了這個宏代碼，後台就會釋放並執行內嵌於文檔中的惡意程序，開啟攻擊行為。由於該文檔極具誘惑性和隱蔽性，因此普通用戶難以防範，極易受騙。

圖：誘餌文檔

瑞星安全專家表示，此次攻擊事件中的惡意樣本為遠程控制類病毒，具有收集本地敏感信息、連接遠程服務器、上傳信息並接受命令等基本功能，同時與遠程服務器的雙向通信數據都經過編碼處理，因此可以有效的逃避以檢測特徵碼為主要防禦手段的流量監控，其隱蔽性極高。而此次攻擊目標特別針對軍工領域從業人員，因此該類用戶應格外警惕，加強防範，避免攻擊。目前，瑞星ESM防病毒終端安全防護系統可攔截並查殺此次攻擊攜帶的相關病毒，廣大用戶可安裝使用，規避相應風險。