浙江
诱饵PDF文档|图片：ThreatBook
E安全消息，ThreatBook研究与响应团队揭露了APT35的复杂网络攻击活动。活动针对美国、泰国、阿联酋等多个国家的航空航天和半导体行业。
APT35也称为Magic Hound或Charming Kitten，这个由伊朗支持、与伊斯兰革命卫队（IRGC）有关联的组织，自2014年以来就有着一系列高调的网络攻击历史。
在其一个活动中，APT35推出一个虚假招聘网站，针对泰国航空航天领域的无人机设计专家。网站发布高薪职位，增加了骗局的合法性。
根据ThreatBook的说法，攻击者在他们的“授权访问”服务中混合了合法程序和恶意模块，“该网站提供的授权访问程序混合了两个白色和黑色的恶意样本，其中SignedConnection.exe是合法的OneDrive程序，secur32.dll，Qt5Core.dll分别是第一阶段和第二阶段的恶意程序。”
静默加载恶意程序
图片：ThreatBook
用C#编写的恶意模块secur32.dll，悄无声息地加载了恶意软件的后续阶段，采用了字符串重构等混淆技术来逃避检测。
APT35的方法包括通过重命名文件和注册表键操作来部署复杂的多阶段有效载荷，以实现持久性。该组织还利用Google Cloud、GitHub和OneDrive等合法平台进行命令与控制（C&C）通信。
“通过对相关样本、IP和域名的分析，提取了多个相关的IOC，用于威胁情报检测。”ThreatBook报告称。
恶意软件还利用GitHub存储库和预配置的备份C&C域名，以确保在主要地址被封锁时保持连通性。这种适应性表明APT35致力于保持运营的弹性。
另一个值得注意的策略是针对半导体公司的假冒VPN程序。VPN安装程序被设置为加载一个名为msvcp.dll的恶意DLL模块，该模块充当下载器，攻击者能够从合法云平台上的C&C服务器获取额外的有效载荷。
“利用VPN访问程序加载恶意DLL模块msvcp.dll，它与Qt5Core.dll是同类型的下载器。”ThreatBook指出。
APT35的行动展示了其利用知名品牌和工具（如OneDrive和GitHub）的信任，渗透到高价值行业的能力。该组织广泛使用社会工程学策略，加上技术复杂性，这凸显了处理敏感技术的行业需要提高警惕。
Trellix修补了关键漏洞：包括CVE-2024-11482（CVSS 评分9.8）
2024.12.3
全球首个！针对Linux系统的UEFI恶意引导工具：Bootkitty
2024.11.29
供应链管理商Blue Yonder遭攻击，星巴克转“人工运营”
2024.11.28
注：本文由E安全编译报道，转载请联系授权并注明来源。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
