針對義大利海軍的MartyMcFly惡意軟體

惡意軟體 · 發表 2018-10-20 09:15:26

摘要：一、背景上週，Yoroi CERT的分析人員發現了幾起針對義大利海軍和國防工業的攻擊。攻擊者使用電子郵件作為傳播媒介，通過傳送特製的xls檔案來感染受害者。已識別的攻擊觸發內部defcon升級，據此評估威脅程度並最終分析此特殊惡意軟體。 10月9日至15日，在我們的CSDC...

一、背景

上週，Yoroi CERT的分析人員發現了幾起針對義大利海軍和國防工業的攻擊。攻擊者使用電子郵件作為傳播媒介，通過傳送特製的xls檔案來感染受害者。已識別的攻擊觸發內部defcon升級，據此評估威脅程度並最終分析此特殊惡意軟體。

10月9日至15日，在我們的CSDC（網路安全防禦中心）運營期間，分別攔截了兩起不同行動的可疑電子郵件，每起行動都有一次或多次嘗試，社會工程技巧略有不同。

二、惡意郵件

第一個截獲的惡意電子郵件的發件人為“markvanschaick.nl @qixnig .com”。攻擊者選擇特定人名試圖利用荷蘭海運服務公司“Mark Van Schaick”的名譽，但發件人的域名和IP地址與該組織沒有直接關係。

圖1. 第一波攻擊SMTP頭部詳細資訊

該訊息從Roundcube Webmail伺服器lord.vivawebhost .com（173.237.190.12 COLO4-BLK7 US）傳送，這顯然與發件人的域名無關。此外，“qixnig .com”（發件人域名）解析為另一個不同的IP地址66.45.243.148（INTERSERVER US）。有趣的是對所有訪問使用者精心設計的重定向：HTTP 301程式碼重定向到Dan Marine Group的官方入口網站。

圖2.重定向到Dan Marine Web門戶

第二起電子郵件活動與第一起活動略有不同。它起源於mail.dbweb .se（52.58.78.16 AT-88-Z US）託管的另一個Roundcube網路郵件服務：

圖3. 第二波的SMTP頭部詳細資訊

在此情況下，虛假的通聯過程模仿“Naviera Ulises Ltd <[email protected]>”和“Evripidis Mareskas（Mr）<supplies.ulisnav @ kiramko .com>”之間的互動。提取的域名r恰好是“kiramko .com”並且它解析為在第一個波中發現的相同遠端IP地址（“qixnig .com”，66.45.243.148 INTERSERVER US）。所以可以認為這些行動密切相關。在撰寫本文時，“ulisnav .gr”似乎並未註冊。

截獲的電子郵件提出了精心準備的網路釣魚計劃，專門針對義大利海軍部門。觀察到的標題和網路環境顯示，攻擊者試圖冒充海事部門和海軍服務供應商，誘使受害者開啟附件。

例如，前兩次檢測到的嘗試試圖模仿中國丹海洋集團的詢問，假裝驗證發件人的域名“qixnig .com”由該集團擁有。然後，它試圖將訪客重定向到Dan Marine官方網站。另一個截獲的電子郵件將受害者作為BCC插入希臘Naviera Ulises有限公司的技術支援與其僱主之一（在linkedin上公開的資料）之間的虛假通訊。

這些通訊中沒有一個是真實合法的，實際上截獲的資料並不表明攻擊者可以訪問任何實際目標。