【安全圈】俄罗斯关联黑客滥用 Viber 攻击乌克兰军方和政府机构

关键词

恶意压缩包

据观察，与俄罗斯相关的威胁行为者UAC-0184一直在利用Viber即时通讯平台投递恶意ZIP压缩包，以此针对乌克兰军方和政府实体。

“该组织在2025年持续对乌克兰军方和政府部门进行高强度情报搜集活动”。

该黑客组织也被追踪为Hive0156，主要以在网络钓鱼邮件中利用战争主题诱饵，在针对乌克兰实体的攻击中投递Hijack Loader而闻名。该恶意软件加载器随后会成为感染Remcos远程访问木马的途径。

该威胁行为者最早由乌克兰计算机应急响应小组于2024年1月初记录。随后的攻击活动被发现利用Signal和Telegram等即时通讯应用作为恶意软件的传播载体。中国安全厂商的最新发现表明，这一战术得到了进一步演化。

攻击链包括将Viber用作初始入侵向量，分发包含多个Windows快捷方式文件的恶意ZIP压缩包。这些LNK文件伪装成Microsoft Word和Excel官方文档，以诱骗接收者打开它们。

这些LNK文件旨在向受害者展示一个诱饵文档以降低其怀疑，同时在后台通过PowerShell脚本从远程服务器获取第二个ZIP压缩包，从而静默执行Hijack Loader。

攻击通过一个多阶段过程在内存中重构并部署Hijack Loader，该过程采用了DLL侧加载和模块堆叠等技术来规避安全工具的检测。随后，该加载器通过计算相应程序的CRC32哈希值，扫描环境中安装的安全软件，例如卡巴斯基、Avast、BitDefender、AVG、Emsisoft、Webroot和微软的相关产品。

除了通过计划任务建立持久性外，该加载器还在通过将其注入”chime.exe”进程来隐蔽执行Remcos RAT之前，采取措施破坏静态签名检测。这款远程管理工具使攻击者能够管理终端、执行负载、监控活动并窃取数据。

“尽管作为合法的系统管理软件进行营销，但其强大的侵入能力使其经常被各种恶意攻击者用于网络间谍和数据窃取活动”，”通过Remcos提供的图形用户界面控制面板，攻击者可以对受害者的主机进行批量自动化管理或精确的手动交互操作。”

安全圈

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！