20230801第51期｜安全漏洞一周播报

参考链接：

披露时间：2023年7月25日

情报来源：

https://www.avertium.com/resources/threat-reports/evolution-of-russian-apt29-new-attacks-and-techniques-uncovered

APT29组织又名Cozy Bear、The Dukes，是具有东欧背景的APT组织，该组织自2008年开始活跃，主要从事以情报收集为主的间谍活动。活动目标为西方政府和相关组织，尤其关注政治、外交和智库部门。

研究人员在对该组织的持续追踪时发现，APT29在俄乌冲突时期加大了对各国相关部门的攻击活动。今年先后仿冒了波兰、乌克兰、土耳其、挪威等欧盟国家大使馆，进行鱼叉式网络钓鱼邮件攻击。该组织在活动中利用合法服务DropBox、GoogleDrive、Slack、Trello、Notion API进行通信，最后下发CobaltStrike、BruteRatel等恶意负载。

近期再次捕获到APT29仿冒德国大使馆的攻击活动，活动攻击流程大致如下：

1. 邮件附件为包含HTML代码的PDF文件，运行后将在本地释放zip文件；

2. zip文件包含同名HTA文件，运行后在本地释放白文件、恶意DLL文件以及诱饵文件；

3. 恶意DLL文件加载之后将连接开源聊天软件Zulip的API接口进行数据传输，获取后续负载到本地执行。

研究人员在2023年4月发现月光鼠组织再次活跃的痕迹，此次捕获到的样本依旧伪装成谷歌应用商店。对比2021年月光鼠组织被披露的三个版本的RAT木马，本次样本属于月光鼠家族的第二代安卓RAT：2018年3月开始出现，恶意功能模块化进行了拆分，c2地址采用了AES加密，并增加了混淆对抗保护。样本使用c2为http://app.pal4u.net，此二级域名在2021年曝光，近期再次被攻击者使用。因攻击者服务器的不安全设置，发现了74名受害者资料，主要受害区域为巴勒斯坦。

月光鼠APT组织又名“Gaza Hackers Team”、“Molerats”、“灵猫”等，2012年起在中东地区活跃，主要针对以色列、巴勒斯坦加沙地区与政党相关组织和个人，多采用政治相关主题作为诱饵对目标进行鱼叉式钓鱼攻击。

披露时间：2023年7月21日

情报来源：

https://mp.weixin.qq.com/s/XVV3BoAd7CdPaZ0na8ID1Q

4、SideCopy组织针对印度政府部门的攻击活动分析

披露时间：2023年7月19日

情报来源：

https://mp.weixin.qq.com/s/qkWD_X3aFPURThJqu7lbvg