军事坦克手册，2017 年零日锚点最新乌克兰网络攻击

到 2023 年底，一个未知的威胁行为者使用 2017 年的旧 Microsoft Office 远程代码执行 (RCE) 漏洞攻击乌克兰政府实体（CVE-2017-8570）作为初始向量，军用车辆作为诱饵。

威胁行为者使用恶意 PowerPoint 文件 (.PPSX) 发起攻击，该文件通过安全消息平台 Signal 上的消息作为附件发送。该文件伪装成美国陆军坦克扫雷刀片的旧说明书，实际上与受 Cloudflare 保护的俄罗斯虚拟专用服务器 (VPS) 提供商域上托管的外部脚本存在远程关系。

根据一份报告，该脚本执行了 CVE-2017-8570 漏洞以实现 RCE 深层本能博客文章 本周的攻击旨在窃取信息。

棘手网络攻击的幕后黑手

就技术细节而言，混淆的脚本伪装成 Cisco AnyConnect APN 配置，负责设置持久性、解码并将嵌入的有效负载保存到磁盘，这分几个阶段发生以逃避检测。

有效负载包括一个名为“vpn.sessings”的加载器/加壳器动态链接库（DLL），它将 Cobalt Strike Beacon 加载到内存中并等待来自攻击者的命令和控制（C2）服务器的指令。

Deep Instinct 威胁实验室团队负责人 Mark Vaitzman 指出，渗透测试工具 Cobalt Strike 在威胁行为者中非常常用，但这个特定的信标使用了自定义加载程序，该加载程序依赖于多种会减慢分析速度的技术。

他说：“它会不断更新，以便为攻击者提供一种在初始足迹确定后进行横向移动的简单方法。” “[并且]它是通过多种反分析和独特的规避技术实现的。”

Vaitzman 指出，2022 年，Cobalt Strike 中发现了允许 RCE 的严重 CVE，许多研究人员预测威胁行为者将改变该工具以创建开源替代品。

“在地下黑客论坛上可以找到几个破解版本，”他说。

他说，除了 Cobalt Strike 的调整版本之外，该活动还因威胁行为者不断尝试将其文件和活动伪装成合法的常规操作系统和常见应用程序操作而引人注目，以保持隐藏并保持控制尽可能长时间地控制受感染的机器。他说，在这次活动中，攻击者利用了这个 “靠土地谋生”战略 更进一步。

“这次攻击活动展示了几种伪装技术和一种尚未被记录的聪明的持久方式，”他解释道，但没有透露细节。

网络威胁组织的品牌和型号未知

乌克兰已成为目标 在与俄罗斯的战争期间，多次受到多个威胁行为者的攻击， 沙虫集团 作为攻击者的主要网络攻击单位。

但与战争期间的大多数攻击活动不同，威胁实验室团队无法将这项工作与任何已知威胁组织联系起来，这可能表明这是一个新组织的工作或代表已知威胁的完全升级的工具集演员。

Qualys威胁研究部安全研究经理Mayuresh Dani指出，利用不同地理位置的来源来帮助威胁行为者消除归因，也让安全团队难以根据地理位置提供针对性的保护。

“样本是从乌克兰上传的，第二阶段由俄罗斯 VPS 提供商托管和注册，钴信标 [C2] 在波兰华沙注册，”他解释道。

他说，他发现攻击链中最有趣的是最初的妥协是通过安全的 Signal 应用程序完成的。

“ 信号信使主要由专注于安全的人员使用 或者那些参与分享秘密信息的人，例如记者，”他指出。

通过安全意识和补丁管理增强网络装甲

Vaitzman 表示，由于大多数网络攻击都是通过电子邮件或消息进行网络钓鱼或链接诱骗开始的，因此更广泛的员工网络意识在减轻此类攻击企图方面发挥着重要作用。

对于安全团队来说，“我们还建议扫描网络中提供的 IoC，并确保 Office 已修补到最新版本，”Vaitzman 说。

Critical Start 网络威胁研究高级经理 Callie Guenther 表示，从防御角度来看，对旧漏洞的依赖也强调了强大的补丁管理系统的重要性。

“此外，攻击的复杂性强调了对先进检测机制的需求，这些机制超越了 基于签名的网络防御方法，”她说，“结合行为和异常检测来识别经过修改的恶意软件。”

• SEO 支持的内容和 PR 分发。 今天得到放大。
• PlatoData.Network 垂直生成人工智能。 赋予自己力量。 访问这里。
• 柏拉图爱流。 Web3 智能。 知识放大。 访问这里。
• 柏拉图ESG。 碳， 清洁科技, 能源， 环境， 太阳能， 废物管理。 访问这里。
• 柏拉图健康。 生物技术和临床试验情报。 访问这里。
• Sumber: https://www.darkreading.com/cyberattacks-data-breaches/military-tank-manual-zero-day-ukraine-cyberattack