近日，瑞星威脅情報(bào)平臺(tái)捕獲到一起針對(duì)中國的APT攻擊事件，根據(jù)關(guān)聯(lián)分析發(fā)現(xiàn)，攻擊者為Patchwork組織。該組織以國內(nèi)某超大型水電能源企業(yè)的新聞為誘餌，對(duì)國內(nèi)用戶（特別是能源行業(yè)用戶）進(jìn)行釣魚郵件攻擊，一旦有用戶激活郵件附件中的惡意代碼，就會(huì)被攻擊者遠(yuǎn)程控制，盜取電腦內(nèi)所有的機(jī)密信息。

瑞星EDR已將此次攻擊的全部過程進(jìn)行可視化還原，幫助用戶看清攻擊者的每一步操作，并結(jié)合RGPT人工智能技術(shù)對(duì)攻擊流程進(jìn)行精準(zhǔn)分析，定位、查看、了解攻擊的方向以及惡意代碼活動(dòng)的關(guān)鍵鏈條。

圖：瑞星EDR還原APT攻擊過程

APT組織介紹：

Patchwork組織又名摩訶草、白象、APT-Q-36、Dropping Elephant，是一個(gè)疑似具有南亞政府背景的APT組織，其最早攻擊活動(dòng)可追溯到2009年，至今依然活躍。該組織主要針對(duì)中國、巴基斯坦、孟加拉國等亞洲地區(qū)國家，以政府、軍事、電力、工業(yè)、科研教育、外交和 經(jīng)濟(jì) 等高價(jià)值機(jī)構(gòu)為攻擊目標(biāo)。

由于在攻擊中使用的誘餌文檔為國內(nèi)某超大型水電能源企業(yè)相關(guān)新聞，因此可以判斷出此次目標(biāo)為國內(nèi)相關(guān)企業(yè)用戶。

圖：瑞星EDR已將Patchwork等攻擊組織收錄到威脅情報(bào)中

攻擊方式：

在此次攻擊中，Patchwork組織會(huì)通過釣魚郵件等方式向目標(biāo)投遞名為《某集團(tuán)與廣東省陽江市座談》的PDF文檔，而這個(gè)文檔實(shí)際是一個(gè).lnk的快捷方式，攻擊者故意將其偽裝成PDF格式，就是為了誘導(dǎo)目標(biāo)去點(diǎn)擊。一旦有受害者點(diǎn)擊了這個(gè)快捷方式，就會(huì)下載與文檔同名的新聞稿和惡意程序，從而激活名為NorthStarC2的遠(yuǎn)控后門程序，被攻擊者遠(yuǎn)程控制并盜取電腦內(nèi)所有的資料和信息。

圖：Patchwork組織在攻擊中投遞的誘餌文檔

攻擊技術(shù)：

瑞星安全專家介紹，Patchwork組織在此次攻擊中，運(yùn)用了與以往不同的攻擊技術(shù)，通過Rust語言編寫惡意程序，并執(zhí)行開源工具Donut和遠(yuǎn)控工具NorthStarC2。這樣做的好處是，Rust語言具有易用性、靈活性、內(nèi)存安全性等優(yōu)勢(shì)；而Donut則能夠?qū)⑷我鈋xe、dll、.net程序集或腳本生成一個(gè)與執(zhí)行位置無關(guān)的可執(zhí)行代碼，很好地隱藏了自身；NorthStarC2是現(xiàn)成的遠(yuǎn)控程序，可拿來即用，攻擊效率高。這樣的組合既隱蔽性強(qiáng)、安全性高，又可以讓攻擊者向目標(biāo)投遞不同類型的攻擊武器，實(shí)現(xiàn)遠(yuǎn)控或者其他惡意行為。

防范建議：

由于此次攻擊中所使用的誘餌文檔提及了國內(nèi)某超大型水電能源企業(yè)，被攻擊目標(biāo)極有可能是國家重要的能源、基建行業(yè)，因此相關(guān)部門或企業(yè)要格外重視，做到以下幾點(diǎn)：

1. 不打開可疑文件。

不打開未知來源的可疑的文件和郵件，防止社會(huì)工程學(xué)和釣魚攻擊。

2. 部署EDR、NDR產(chǎn)品。

利用威脅情報(bào)追溯威脅行為軌跡，進(jìn)行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網(wǎng)絡(luò)威脅，最大范圍內(nèi)發(fā)現(xiàn)被攻擊的節(jié)點(diǎn)，以便更快響應(yīng)和處理。

3. 安裝有效的殺毒軟件，攔截查殺惡意文檔和惡意程序。

殺毒軟件可攔截惡意文檔和惡意程序，如果用戶不小心下載了惡意文件，殺毒軟件可攔截查殺，阻止病毒運(yùn)行，保護(hù)用戶的終端安全。

圖：瑞星ESM防病毒安全軟件查殺相關(guān)病毒

4. 及時(shí)修補(bǔ)系統(tǒng)補(bǔ)丁和重要軟件的補(bǔ)丁。

許多惡意軟件經(jīng)常使用已知的系統(tǒng)漏洞、軟件漏洞來進(jìn)行傳播，及時(shí)安裝補(bǔ)丁將有效減少漏洞攻擊帶來的影響。