信息來源：FreeBuf

研究人員最近發(fā)現(xiàn)了新的黑客組織攻擊活動，被命名為TA2101，其目標(biāo)是在德國公司和組織安裝后門惡意軟件。

概述

攻擊者冒充德國聯(lián)邦財政部的聯(lián)邦議員（Bundeszentralamt fur Steuern），并在電子郵件中使用了相似的域名。

對德國的攻擊中，攻擊者選擇了Cobalt Strike，這是一種商業(yè)許可的軟件工具，通常用于滲透測試。盡管該產(chǎn)品廣泛用作模擬工具，但許多攻擊者如Cobalt Group，APT32和APT19仍將其用作為惡意軟件來部署和執(zhí)行活動。

研究人員還發(fā)現(xiàn)攻擊者在傳播Maze勒索軟件時采用了與Cobalt Strike相似的社會工程技術(shù)，在對意大利組織攻擊時冒充了意大利稅務(wù)局Agenzia Delle Entrate。最近還發(fā)現(xiàn)該組織在假冒美國郵政服務(wù)（USPS），針對美國相關(guān)目標(biāo)傳播IcedID銀行木馬。

攻擊活動分析

在2019年10月16日至11月12日之間，研究人員觀察到攻擊者向德國，意大利和美國的組織發(fā)送惡意電子郵件消息，這些攻擊對象沒有特定的垂直領(lǐng)域，但收件人多為商業(yè)、IT業(yè)，制造業(yè)和衛(wèi)生保健相關(guān)行業(yè)。

2019年10月16日至23日

10月16日至23日，研究人員發(fā)現(xiàn)數(shù)百封冒充德國聯(lián)邦財政部的電子郵件，郵件帶有德國相關(guān)的惡意Microsoft Word附件。

惡意郵件正文為退稅相關(guān)內(nèi)容，并誘騙收件人在三天內(nèi)應(yīng)提交退款申請（使用附件Microsoft Word文檔表單），這些電子郵件主要針對IT服務(wù)公司。

打開Microsoft Word附件后，將執(zhí)行Microsoft Office宏，進而執(zhí)行PowerShell腳本，該腳本會將Maze勒索軟件下載并安裝到受害者的系統(tǒng)上。

2019年10月29日

10月29日，研究人員發(fā)現(xiàn)數(shù)十封冒充意大利稅務(wù)部電子郵件，郵件帶有意大利相關(guān)的惡意Microsoft Word附件。 

該郵件正文為執(zhí)法活動通知，通知收貨人打開并閱讀隨附文件，以避免進一步的稅費和罰款。

這些電子郵件主要針對制造公司，攻擊者將Microsoft Office宏的感染鏈用于PowerShell腳本中，該腳本最終下載并安裝了Maze勒索軟件。

下圖惡意文檔自稱是意大利稅收部使用的RSA SecurID密鑰。

2019年11月6日

在2019年11月6日，研究人員觀察到數(shù)百封冒充德國聯(lián)邦財政部電子郵件，郵件傳遞帶有德國相關(guān)的惡意Microsoft Word附件。 該惡意文檔聲稱是德國財政部使用的RSA SecurID密鑰。這些電子郵件主要針對商業(yè)和IT服務(wù)公司，并使用與以前的攻擊活動相同的感染鏈。

打開Microsoft Word文檔并啟用宏會在用戶的系統(tǒng)上安裝Maze勒索軟件，對受害者所有文件進行加密，并在每個目錄中以TXT格式保存以下勒索內(nèi)容。

2019年11月7日

在2019年11月7日，研究人員觀察到數(shù)百封冒充了德國互聯(lián)網(wǎng)服務(wù)提供商電子郵件，郵件帶有德國相關(guān)的惡意Microsoft Word附件。

與11月6日的攻擊活動一樣，攻擊者采用了相似的.icu域作為發(fā)件人的電子郵件地址。 惡意的Microsoft Word附件帶有所謂的RSA SecurID密鑰，其格式類似于11月6日的發(fā)現(xiàn)的附件內(nèi)容。電子郵件主要針對商業(yè)和IT服務(wù)公司。

2019年11月12日

在2019年11月12日，研究人員觀察到數(shù)千封冒充美國郵政服務(wù)（USPS）的電子郵件，郵件帶有英語相關(guān)的惡意Microsoft Word附件，并試圖傳播IcedID銀行木馬。

之前的歐洲攻擊活動不同，攻擊者選擇了一個類似.com的uspsdelivery-service.com域，而不是.icu域。 惡意Microsoft Word附件帶有RSA SecurID密鑰，其格式與以前活動中使用的相似。

這些電子郵件使用相同的感染鏈主要針對醫(yī)療保健行業(yè)。

域和URL分析

研究人員觀察到了一系列相同的TTP（戰(zhàn)術(shù)，技術(shù)和程序）， 這些措施包括使用.icu域，這些活動中域DNS的SOA記錄了相同的電子郵件地址。

攻擊者使用的規(guī)范URL的格式可重復(fù)，且字符串中的word _ /.tmp隨時間略有變化，該word_ / .tmp的使用情況可能與infosec社區(qū)在2019年發(fā)現(xiàn)的攻擊活動有關(guān)。

與記錄的gladkoff1991@yandex.ru之間的聯(lián)系不只是最近的Cobalt Strike活動，還涉及2019年9月以“ eFax”為主題的Buran惡意軟件攻擊活動。

German Cobalt Strike/German Tax Office spoof (10.23)

email address: antwortensienicht@bzst-informieren.icu

SOA: gladkoff1991@yandex.ru

Italian Maze Campaign/Italian Ministry of Taxation spoof (10.29)

email address: info@agenziaentrate.icu

SOA: gladkoff1991@yandex.ru

IP: 91.218.114[.]37

German Maze Campaign/German Tax Office spoof (11.6)

此攻擊活動使用與10月23日相同的誘餌，包括相同的“ RSA Key”惡意Microsoft Word附件。 

German Maze Campaign/German ISP spoof (11.7)

email address: antwortensienicht@bzstinform.icu

SOA: gladkoff1991@yandex.ru

US IcedID Campaign / USPS Spoof (11.12)

Domain:uspsdelivery-service[.]com

SOA: gladkoff1991@yandex.ru

總結(jié)

以稅務(wù)為主題的電子郵件攻擊目標(biāo)為2019稅務(wù)申報人，與財務(wù)相關(guān)的誘餌已按季節(jié)性使用，與稅收相關(guān)的惡意軟件和網(wǎng)絡(luò)釣魚活動呈上升趨勢。

在2017年，這些活動集中于網(wǎng)絡(luò)釣魚和復(fù)雜的社會工程學(xué)以及銀行木馬和勒索軟件，2018年，這些活動以稅收為主題。

隨著德國和意大利出現(xiàn)利用類似的稅收和退款相關(guān)的攻擊活動，研究人員已經(jīng)觀察到類似的詐騙，并且攻擊者在歐洲分嘗試傳播木馬。最近，攻擊者又假冒美國郵政局攻擊了美國相關(guān)組織。這些誘餌文件越來越復(fù)雜，反映出社會工程在在全球電子郵件攻擊領(lǐng)域中不斷改進，攻擊者注重有效性性而不是數(shù)量。