疫情來襲 這些國外黑客對我們趁火打劫_風聞

2020實在是太難了。

開年之初，新冠肺炎以迅雷不及掩耳之勢迅速攻擊了全人類，截止目前，確診病例35982例，累計治癒出院病例3281例，累計死亡病例908例，而這些數字還在以不可知的速度上漲着，疫情的拐點也暫未出現。

更糟心的是，最近，編輯發現黑客團伙居然趁火打劫，借疫情攻入了我國的醫療系統、政府機構，實在可恨。今天就一起來看看這些“黑心”的團伙。

一、疑似中國台灣綠斑黑客團伙

據微步在線爆料，從1月下旬開始，微步在線就監測發現了多個可疑文件。這些可疑文件有的是政府工作表格-“基層黨組織和黨員防控疫情重大事項日報表”，而且和防疫有關，有的還是中醫藥相關的知識，而這些看起來沒有任何問題的表格，實際上是黑客們設的陷阱。

他們偽造了一個假的QQ郵箱，而這個郵箱地址是假的，頁面是假的，所謂的安全驗證也是假的，黑客只想要你的賬號和密碼——一旦你填寫了你的賬號和密碼，黑客在屏幕的另一端馬上就能收到。

更為可怕的是，這三個文件中沒有夾帶木馬病毒，殺毒軟件也不會發現，這意味着普通的殺毒軟件是無法排查的，一旦你不小心點擊，那麼你的信息就會完全暴露在黑客面前，而黑客們攻擊的目標還是政府部門，安全風險將會更大。

微步在線根據長期跟蹤境外黑客團伙的經驗，初步判斷這夥黑客的手法與我國台灣地區某個具有政治背景的黑客團伙“綠斑”高度一致，建議相關各單位引起重視，並進行對郵箱等個人賬號的嚴格排查，增強網絡安全意識，保護好賬號密碼，必要時通過第三方認證登錄。

二、印度APT黑客組織

2月4日，360安全大腦捕獲了一例利用新冠肺炎疫情相關題材投遞的攻擊案例，攻擊者利用肺炎疫情相關題材作為誘餌文檔，對抗擊疫情的醫療工作領域發動APT攻擊。

該攻擊組織採用魚叉式釣魚攻擊方式，通過郵件進行投遞，利用當前肺炎疫情等相關題材作為誘餌文檔，部分相關誘餌文檔如：武漢旅行信息收集申請表.xlsm，進而通過相關提示誘導受害者執行宏命令。

宏代碼如下：

攻擊者將關鍵數據存在worksheet裏，worksheet被加密，宏代碼裏面使用key去解密然後取數據。然而，其用於解密數據的Key為：nhc_gover，而nhc正是國家衞生健康委員會的英文縮寫。

一旦宏命令被執行，攻擊者就能訪問hxxp://45.xxx.xxx.xx/window.sct，並使用scrobj.dll遠程執行Sct文件。

攻擊者利用新冠肺炎疫情相關題材作為誘餌文檔，進行魚叉式攻擊時，醫療機構、醫療工作領域成為此次攻擊的最大受害者。

一旦其“攻擊陰謀”得逞，輕則丟失數據、引發計算機故障，重則影響各地疫情防控工作的有序推進，危及個人乃至企業政府等各機構的網路安全。尤其面對這等有着國家級背景的APT組織的攻擊，後果簡直不堪設想。

據悉，此次攻擊所使用的後門程序與之前360安全大腦在南亞地區APT活動總結中已披露的已知的印度組織專屬後門cnc_client相似，通過進一步對二進制代碼進行對比分析，其通訊格式功能等與cnc_client後門完全一致。可以確定，攻擊者來源於印度的APT組織。

對此，專家建議：

1、及時升級操作系統以及應用軟件，打全補丁，尤其是MS17-010、CVE-2019-0708等高危漏洞的補丁。由於Windows7操作系統已經停止推送更新補丁，建議有條件的更新到Windows10操作系統。

2、及時更新已部署的終端、邊界防護產品規則。

3、儘量減少各種外部服務的暴露面（如RDP，VNC等遠程服要設置白名單訪問策略，設置足夠強壯的登陸密碼，避免黑客利用遠程服務攻入。

4、增強人員的網絡安全意識，不打開不明郵件，郵件中的不明鏈接、附件等。

5、常用辦公軟件應保持嚴格的安全策略，如禁止運行Office宏等。

三、其他利用“新冠肺炎”的網絡釣魚攻擊

在美國，黑客冒充疾病預防控制中心和病毒專家，針對個人進行網絡釣魚攻擊。

網絡釣魚模擬和安全意識培訓機構KnowBe4的研究人員發現了這些網絡釣魚活動，攻擊者號稱會提供周圍區域的感染列表，以此誘騙潛在的受害者點擊郵件中嵌入的鏈接並進入釣魚頁面。

在KnowBe4發現的網絡釣魚電子郵件樣本中，攻擊者嘗試將其垃圾郵件偽裝成由CDC（疾病預防控制中心）的HealthAlertNetwork（健康警報網絡）分發的官方警報。然後，告知攻擊目標——疾病預防控制中心已經建立了事件管理系統，以協調國內外公共衞生對策。然後，攻擊者以鏈接的形式誘使他們接收其城市周圍新感染病例的更新列表。而結果是，攻擊者通過釣魚頁面收集並竊取了用户憑證。

安全公司Mimecast也發現了另一起利用新型冠狀病毒誘餌的網絡釣魚活動，這次是針對美國和英國人。在這一系列的網絡釣魚電子郵件中，則要求收件人“仔細閲讀所附文件中有關冠狀病毒傳播的安全措施”，並強調這些安全措施的重要性促使攻擊目標下載惡意PDF，而該PDF中的惡意軟件有效載荷將感染其計算機。

以上提到的網絡安全攻擊或許只是冰山一角，還有很多我們未曾監測到的，所以雷鋒網(公眾號：雷鋒網)在這裏還是要建議大家對郵件或其他渠道傳播的含有冠狀病毒感染解決方法或安全措施的文件保持警惕，不要隨意下載或打開文件名中帶有“武漢疫情”、“新型冠狀病毒”等熱點詞彙的exe、csr等可執行文件。

在技術上，實施可靠的網絡安全解決方案，例如防病毒解決方案；在電子郵件網關上實施過濾器，並在防火牆處阻止可疑IP地址。

在個人網絡衞生習慣上，建議使用強密碼並且不啓用附件宏。

----------

還是傳不上圖，請見諒