【雲智維資安預警通知】

一、摘要
 

         資安業者Seqrite揭露攻擊行動Operation Cobalt Whisper，駭客針對香港與巴基斯坦而來，大部分的目標是關鍵基礎設施，其結合ClickFix手法網路釣魚從事新一波Operation AmberMist活動。駭客主要透過20種感染鏈對國防、電工、民航組織而來，但新一波的活動Operation AmberMist，他們將攻擊範圍延伸到電玩、軟體開發、學術機構，並使用Shadow RAT、Blister DLL、INET RAT等輕量級的作案工具。駭客偏好使用Windows捷徑檔（LNK）、VBScript指令碼，以及Cobalt Strike與Metsploit兩款滲透測試工具，並主要以應徵工作為誘餌接觸受害者。

二、存在風險

        Seqrite提及駭客運用的新手法，他們將運用幾個以假亂真的履歷來鎖定特定產業，例如：會冒充著名機構的遊戲UI設計師，或是計算機科學系學生；接著，他們會利用假的CAPTCHA圖靈驗證進行ClickFix攻擊，藉此引誘使用者上鉤，從而在受害電腦執行惡意PowerShell指令碼。

UNG0002採取多階段攻擊，藉由LNK檔、VBScript、批次檔、PowerShell來形成複雜的感染鏈，來植入惡意程式，然後濫用Rasphone、Node-Webkit等應用程式，以DLL側載手法執行惡意酬載。




 

IoC：

LNK (Shortcut)：
4ca4f673e4389a352854f5feb0793dac43519ade8049b5dd9356d0cbe0f06148
55dc772d1b59c387b5f33428d5167437dc2d6e2423765f4080ee3b6a04947ae9
4b410c47465359ef40d470c9286fb980e656698c4ee4d969c86c84fbd012af0d
SCT (Scriptlet)：
c49e9b556d271a853449ec915e4a929f5fa7ae04da4dc714c220ed0d703a36f7
VBS (VBScript)：
ad97b1c79735b1b97c4c4432cacac2fce6316889eafb41a0d97f2b0e565ee850
c722651d72c47e224007c2111e0489a028521ccdf5331c92e6cd9cfe07076918
2140adec9cde046b35634e93b83da4cc9a8aa0a71c21e32ba1dce2742314e8dc

Batch Script (.bat)：
a31d742d7e36fefed01971d8cba827c71e69d59167e080d2f551210c85fddaa5
PowerShell (.ps1)：
a31d742d7e36fefed01971d8cba827c71e69d59167e080d2f551210c85fddaa5


TXT – C2 Config：
2df309018ab935c47306b06ebf5700dcf790fff7cebabfb99274fe867042ecf0
b7f1d82fb80e02b9ebe955e8f061f31dc60f7513d1f9ad0a831407c1ba0df87e
Shellcode (.dat)：
2c700126b22ea8b22b8b05c2da05de79df4ab7db9f88267316530fa662b4db2c
Hash (SHA-256)：
Blister DLL Implant
c3ccfe415c3d3b89bde029669f42b7f04df72ad2da4bd15d82495b58ebde46d6
4c79934beb1ea19f17e39fd1946158d3dd7d075aa29d8cd259834f8cd7e04ef8
NET RAT
2bdd086a5fce1f32ea41be86febfb4be7782c997cfcb028d2f58fee5dd4b0f8a
Shadow RAT
90c9e0ee1d74b596a0acf1e04b41c2c5f15d16b2acd39d3dc8f90b071888ac99
      建議改善措施:
定期更新系統和軟體。
定期執行安全評估。
對內部員工實施教育訓練(如：勒索病毒、社交工程、惡意郵件)，藉以提供員工資安意識。
儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。


        情資報告連結：https://www.proofpoint.com/us/blog/threat-insight/phish-china-aligned-espionage-actors-ramp-up-taiwan-semiconductor-targeting