The Hacker News 網(wǎng)站披露，一個(gè)名為 GoldenJackal 的 APT 團(tuán)伙正以中東和南亞的政府、外交等實(shí)體組織為目標(biāo)，開展大規(guī)模網(wǎng)絡(luò)攻擊活動。
(資料圖片)
俄羅斯網(wǎng)絡(luò)安全公司卡巴斯基表示自 2020 年年中以來一直在密切關(guān)注 Golden Jackal 組織的活動，其目標(biāo)范圍主要集中在阿富汗、阿塞拜疆、伊朗、伊拉克、巴基斯坦和土耳其等國，團(tuán)伙成員除了使用定制的惡意軟件感染受害者竊取數(shù)據(jù)，還通過可移動驅(qū)動器在系統(tǒng)中傳播，并進(jìn)行持續(xù)監(jiān)視。
GoldenJackal 疑似與 APT 組織 Turla 有聯(lián)系盡管業(yè)內(nèi)人士對 GoldenJackal 團(tuán)伙知之甚少，但不少人都懷疑其已經(jīng)活躍了至少四年時(shí)間，卡巴斯基指出目前尚無法確定其來源以及與知名黑客組織者的關(guān)系，但從其作案手法來看，帶有強(qiáng)烈的間諜動機(jī)。更重要的是，GoldenJackal 團(tuán)伙還一直試圖保持低調(diào)，這樣的舉動符合具有國家背景黑客團(tuán)體的所有特征。
研究人員在 GoldenJackal 和疑似俄羅斯背景的 APT 組織 Turla 之間已經(jīng)觀察到了一些戰(zhàn)術(shù)上的重疊。在一個(gè)案例中，一臺受害者的機(jī)器被 Turla 和 GoldenJackal 感染的時(shí)間僅僅相差兩個(gè)月。目前，雖然不知道用于入侵目標(biāo)計(jì)算機(jī)的確切初始路徑尚不清楚，但迄今為止收集的證據(jù)表明攻擊者使用了被黑客入侵的 Skype 安裝程序和惡意 Microsoft Word 文檔。
安裝程序充當(dāng)了傳遞名為 JackalControl 的基于.NET 的特洛伊木馬的渠道。此外，有人觀察到 Word 文件將Follina漏洞（CVE-2022-30190）武器化，以刪除相同的惡意軟件。
顧名思義，JackalControl 使攻擊者能夠遠(yuǎn)程征用機(jī)器，執(zhí)行任意命令，以及從系統(tǒng)上傳和下載到系統(tǒng)。
受害目標(biāo)的地理位置分布
GoldenJackal部署的其它一些惡意軟件如下：
JackalSteal： 一種植入物，用于尋找感興趣的文件，包括位于可移動 USB 驅(qū)動器中的文件，并將它們傳輸?shù)竭h(yuǎn)程服務(wù)器。JackalWorm：一種蠕蟲病毒，被設(shè)計(jì)用來感染使用可移動 USB 驅(qū)動器的系統(tǒng)，并安裝 JackalControl 木馬。JackalPerInfo：一種惡意軟件，具有收集系統(tǒng)元數(shù)據(jù)、文件夾內(nèi)容、已安裝的應(yīng)用程序和正在運(yùn)行的進(jìn)程，以及存儲在網(wǎng)絡(luò)瀏覽器數(shù)據(jù)庫中憑證的功能。JackalScreenWatcher：一個(gè)根據(jù)預(yù)設(shè)時(shí)間間隔抓取屏幕截圖并將其發(fā)送到攻擊者控制的服務(wù)器的實(shí)用程序。GoldenJackal 團(tuán)伙另一個(gè)值得注意的是它依靠被黑的 WordPress 網(wǎng)站作為中轉(zhuǎn)站，通過注入網(wǎng)站的流氓PHP 文件，將網(wǎng)絡(luò)請求轉(zhuǎn)發(fā)到實(shí)際的命令和控制（C2）服務(wù)器上。
最后，卡巴斯基研究員 Giampaolo Dedola 強(qiáng)調(diào)：GoldenJackal 團(tuán)伙的工具包似乎還在持續(xù)開發(fā)中，變種的數(shù)量增加表明他們?nèi)栽谧芳印巴顿Y”，但該組織可能正試圖通過限制受害者的數(shù)量來降低其知名度。
參考文章：https://thehackernews.com/2023/05/goldenjackal-new-threat-group-targeting.html
標(biāo)簽：
