最新消息:本站介绍:国外VPS、云服务器,海外服务器,一手资源推荐平台

微软:黑客通过Telegram瞄准加密货币公司

网络安全 快米云 来源:快米云 42浏览

朝鲜黑客

微软表示,加密货币投资公司已成为其追踪为 DEV-0139 的威胁组织的目标,通过用于与公司的 VIP 客户进行通信的电报群。

“微软最近调查了一次攻击,其中被追踪为 DEV-0139 的威胁参与者利用 Telegram 聊天组将目标锁定在加密货币投资公司,”该公司的安全威胁情报团队 透露

“DEV-0139 加入了用于促进 VIP 客户和加密货币交易平台之间沟通的电报群,并从成员中确定了他们的目标。”

10 月 19 日,对加密投资行业有广泛了解的攻击者邀请了至少一个目标(冒充其他加密资产管理公司的代表)到另一个 Telegram 群,在那里他们要求对加密货币交易平台的费用结构提供反馈。

在获得目标的信任后,威胁行为者向他们发送了名为“OKX Binance & Huobi VIP fee comparison.xls”的恶意 Excel 电子表格,其中包含加密货币交易所公司 VIP 费用结构之间的数据比较(可能准确以提高可信度)。

恶意Excel工作表
恶意 Excel 工作表 (news.zzqidc.com)

一旦受害者打开文档并启用宏,文件中嵌入的第二个工作表将下载并解析 PNG 文件以提取恶意 DLL、异或编码的后门以及随后用于侧载 DLL 的合法 Windows 可执行文件。

该 DLL 将解密并加载后门,为攻击者提供对受害者受损系统的远程访问权限。

微软解释说:“Excel 文件中的主工作表受密码 dragon 保护,以鼓励目标启用宏。” 

“在安装并运行存储在 Base64 中的其他 Excel 文件后,工作表将不受保护。这很可能用于欺骗用户启用宏,而不是引起怀疑。”

作为此次活动的一部分,DEV-0139 还提供了第二个有效负载,即 CryptoDashboardV2 应用程序的 MSI 包,这表明他们还支持使用相同技术推送自定义有效负载的其他攻击。

攻击概述
攻击概述(微软)

虽然微软没有将这次攻击归因于特定的团体,而是选择将其与 DEV-0139 威胁活动集群联系起来,但威胁情报公司 Volexity 也在周末发布了自己关于这次攻击的调查结果,将其与朝鲜联系起来韩国 Lazarus 威胁组织。

据 Volexity 称,朝鲜黑客使用恶意加密货币交易费用比较电子表格来删除 AppleJeus 恶意软件 Lazarus 之前曾用于加密货币劫持和数字资产盗窃行动。

Volexity 还观察到 Lazarus 使用 HaasOnline 自动加密货币交易平台的网站克隆来分发木马化的 BloxHolder 应用程序,该应用程序将部署捆绑在 QTBitcoinTrader 应用程序中的 AppleJeus 恶意软件。

微软表示,它已通知受到攻击或成为这些攻击目标的客户,并分享了保护其帐户所需的信息。

Lazarus Group 是一个在朝鲜以外活动的黑客组织,至少从 2009 年开始活跃了十多年。

它的特工以攻击全球知名目标而闻名,包括银行、媒体组织和政府机构。

该组织被认为对备受瞩目的网络攻击负责,包括 2014 年的索尼影业黑客攻击和 2017 年 的 WannaCry 勒索软件攻击 。 

转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » 微软:黑客通过Telegram瞄准加密货币公司