網(wǎng)絡(luò)安全公司趨勢科技(Trend Micro)發(fā)現(xiàn)了名叫Confucius的網(wǎng)絡(luò)犯罪團(tuán)伙最近進(jìn)行的惡意活動(dòng)。黑客們利用臭名昭著的以色列Pegasus(飛馬惡意軟件)誘餌發(fā)起了一場釣魚活動(dòng)，欺騙用戶點(diǎn)擊下載數(shù)據(jù)盜竊代碼的惡意文件。

攻擊以一封干凈的電子郵件開始，其中包含從巴基斯坦合法報(bào)紙文章中復(fù)制的文字。兩天后，受害者收到一封新的電子郵件，其中包含冒充巴基斯坦軍方官員關(guān)于PegASUS間諜軟件的警告，其中包括一個(gè)cutt.ly鏈接到加密的Word文檔和一個(gè)解密密碼。

無論受害者采取什么行動(dòng)，點(diǎn)擊其中任何一個(gè)鏈接都會(huì)下載Word文檔。如果目標(biāo)人物輸入了電子郵件中的密碼，電腦屏幕上就會(huì)出現(xiàn)一個(gè)帶有宏的文檔。如果該特定機(jī)器上啟用了宏，下一步就是簡單地加載惡意代碼。一個(gè)名為skfk.txt的.NET DLL文件就會(huì)在臨時(shí)目錄中被創(chuàng)建，該文件包含文檔注釋欄的材料。PowerShell被用來將該文件加載到內(nèi)存中，并用于竊取數(shù)據(jù)。

簡單地說，當(dāng)列出的擴(kuò)展名的MD5哈希值匹配時(shí)，該文件就會(huì)通過C&C服務(wù)器被檢索出來。沒有列出的文件被保存到同一C&C服務(wù)器的不同文件夾，使用機(jī)器名對(duì)應(yīng)用戶名字符串。

“Confucius”網(wǎng)絡(luò)犯罪團(tuán)伙過去曾使用幾個(gè)文件竊取工具對(duì)巴基斯坦軍隊(duì)進(jìn)行網(wǎng)絡(luò)間諜攻擊。開發(fā)者在創(chuàng)建惡意文件時(shí)使用創(chuàng)新技術(shù)，其中一些技術(shù)包括使用加密文件來防止自動(dòng)分析，或?qū)⒂泻Υa隱藏在評(píng)論部分。