与俄罗斯相关的Midnight Blizzard利用RDP文件通过鱼叉式网络钓鱼活动攻击了100多个组织

微软警告称，与俄罗斯相关的APT组织Midnight Blizzard（又名APT29、SVR集团、BlueBravo、Cozy Bear、Nobelium、Midnight Blizzard和The Dukes）正在进行大规模的鱼叉式网络钓鱼活动，目标是100多个组织的1000多名用户，目的是进行情报收集。

Midnight Blizzard组织与APT28网络间谍组织一起参与了民主党全国委员会的入侵以及针对2016年美国总统大选的一系列攻击。该组织以2020年袭击超过18000个客户组织（包括微软）的SolarWinds供应链攻击而闻名。最近的活动仍在进行中，已经针对多个领域的实体，包括政府、国防、学术界、非政府组织和其他部门。受害者遍布英国、欧洲国家、澳大利亚和日本。

2024年10月22日，微软发现了一次鱼叉式网络钓鱼活动，Midnight Blizzard向100多个组织的数千名用户发送了网络钓鱼邮件。这些邮件具有高度针对性，使用了与微软、亚马逊网络服务（AWS）和零信任概念相关的社会工程诱饵。

微软发布的报告中写道。“邮件包含一个使用Let's Encrypt证书签名的远程桌面协议（RDP）配置文件。RDP配置文件总结了成功连接到RDP服务器时建立的自动设置和资源映射。这些配置将本地系统的功能和资源扩展到由攻击者控制的远程服务器。”微软专家指出，使用签名的RDP配置文件访问目标设备是与该威胁行为者相关的战术、技术和规程(TTP)中的一个新颖之处。