国庆期间,在为某医疗设备的客户测试卡巴斯基的APT监测设备KATA时,发现一条可疑的告警信息,相关信息通过卡巴斯基的威胁情报判定,图片中标红的部分,即TA-related host(威胁情报相关联主机)。
通过对该告警事件的分析,疑似针对亚洲医疗实验室的间谍组织的记录。很大可能是通过钓鱼邮件的方式进行传播,目前并没有数据泄露发生,也没有证据确定其来源或与已知威胁行为者的关系,但据安全公司分析,该组织可能对涉及covid-19相关治疗或疫苗的行业垂直领域感兴趣,目前在收集情报阶段。
该威胁活动的突出之处在于没有数据泄露和自定义恶意软件,威胁行动者使用开源工具进行情报收集。通过使用已经可用的工具,使攻击更加隐蔽。研究人员说:“该组织使用的工具表明,他们希望能够持续和秘密地访问受害者的机器,并努力升级特权,并在受害者网络中横向传播。”
外国媒体的针对该组织的报告,赛门铁克、安博士曾有过报道。
https://thehackernews.com/2023/02/hydrochasma-new-threat-actor-targets.html
技术人员已经收集了该威胁的IOC指标,有需要的关注“大兵说安全”,在后台留言索取,部署有EDR的客户,将上述IOC文件导入即可进行全网防护。参考《从一次攻击过程看EDR的作用》。
*感谢卡巴斯基山东服务中心高进提供素材
历史文章:
欢迎关注:大兵说安全