针对韩国数百家工业系统的APT攻击正波及全球

一波未平一波又起，以关键基础设施为主的工业企业俨然成了APT攻击的核心靶场。

【导语】昨天，多家外媒爆出一项持续进行的工业网络间谍活动。该APT组织使用Separ恶意软件新版本窃取敏感数据和文件，包括工程布局、有关工业设备设计的专有信息等。截至目前，已影响了至少200个系统，受害者约60％的企业为韩国工业企业。此外，泰国、中国、日本、印度尼西亚、土耳其、厄瓜多尔、德国、英国等多国工业企业也不同程度受到影响。

韩数百家工业企业受APT重创，持续性高级威胁已波及全球关键基础设施

近日，CyberX威胁情报小组公布了一项针对韩国工业企业的高级持续性间谍活动。据介绍，攻击者会使用带有恶意附件的鱼叉式网络钓鱼电子邮件，伪装成PDF文件发动攻击。成功入侵后，攻击者会从浏览器和电子邮件客户端中窃取登录数据，还会搜寻各种类型的文档和图像。

值得注意是，一旦有关工业设备设计的专有信息、商业秘密、知识产权被窃取，轻则攻击者会对攻击目标进行网络侦察，发动勒索攻击，或者将这些信息出售给竞争对手和寻求提高其竞争地位的国家；重则攻击者可以凭借对IoT / ICS网络的远程RDP访问权限，对该国重要且具有军事意义的工厂布局了如指掌，并可在某关键时刻，直接对该国的工业企业和关键基础设施进行破坏性打击。

此外，危机比我们想象的还要快。据统计，已有数百家韩国工业企业受到影响。其中，最大受害者为一家关键基础设施设备的制造商，它专为化工厂，输电、配电设施或可再生能源行业的公司提供产品。此外，钢铁制造商、化工厂建设公司、管道制造商、阀门制造商、工程公司等相关企业也确认受到影响。

更糟糕的是，攻击活动已波及全球。数据显示：泰国、中国、日本、印度尼西亚、土耳其、厄瓜多尔、德国、英国等多国工业系统也不同程度受到影响。

精心伪造钓鱼电子邮件，为攻破工业系统费劲心机

有意思的是，研究员发现：攻击链始于精心制作的网络钓鱼电子邮件。这些“邮件”，不仅带有浓郁的工业主题风，而且善用伪造RFQ（报价单）这一方式。

1. 伪造RFQ：为捷克一家发电厂的设计询价

这封钓鱼邮件，不仅冒充西门子子公司的雇员发送，邮件内容也极为详实，包含：发电厂的示意图、有关如何使用燃气运行该工厂的公开技术白皮书。

2. 伪造RFQ：用于设计印尼的一家燃煤电厂

在这份伪造的RFD中，攻击者假装是日本一家大型工程企业集团的子公司，并表达出其了在印尼建造燃煤电厂的兴趣，此外，为了增加合法性，该电子邮件还提供了关于其公司对外介绍的信息资料（附件中的PDF文件）。

此外，还有一封似乎来自欧洲某大型工程公司买方的电子邮件，该公司设计天然气加工和生产工厂。

进一步探究攻击“武器”，Separ恶意软件新版本浮出水面

进一步探究中，研究员发现：该APT组织使用了Separ恶意软件的新版本。其具体攻击流程如下：

首先，该恶意软件隐藏在网络钓鱼电子邮件的zip文件中。目标用户解压后，恶意软件就开始“运作”起来。

具体而言，它将会窃取浏览器和电子邮件凭据，搜索具有一系列扩展名的文档，包括Office文档和图像等。同时，它通过FTP将所有被泄露的信息上传到一个免费的虚拟主机服务（freehostia.com）。此外，该恶意软件还将运行ipconfig命令来映射连接到受感染系统的网络适配器，并尝试禁用Windows防火墙。