前沿追踪 | 深度分析新型APT组织CloudSorcerer
内容提要
2024年5月，卡巴斯基全球研究与分析团队发现了一个名为CloudSorcerer的新的高级持续性威胁组织，该组织一直在积极针对俄罗斯政府实体进行攻击。CloudSorcerer使用云服务和GitHub作为其主要C2服务器，具有动态调整行为和复杂的进程间通信的能力。尽管与之前的CloudWizard APT有相似之处，但CloudSorcerer很可能是一个新的攻击者，正在开发自己独特的工具。
延伸解读
云服务作为C2的隐蔽性
CloudSorcerer利用Microsoft Graph、Yandex Cloud和Dropbox等公共云服务作为C2服务器，并通过GitHub页面进行初始通信。这种手法将恶意流量混入正常的云服务访问中，增加了检测难度。企业安全团队应监控对云服务的异常API调用，尤其是使用认证令牌访问云资源的行为，并留意GitHub等代码托管平台上的可疑页面。
多进程伪装与模块化执行
该恶意软件根据运行进程名（如mspaint.exe、msiexec.exe）激活不同功能模块，并通过进程注入和Windows管道进行通信。这种设计使其行为更加隐蔽，难以通过单一进程分析发现。防御方需关注进程间异常通信，特别是命名管道的使用，并加强对系统进程（如mspaint.exe）异常行为的监控。
与CloudWizard的异同与归因
虽然CloudSorcerer与CloudWizard APT在云服务交互技术上相似，但源代码和功能存在显著差异，因此被推测为新的攻击者。这提醒我们，攻击者可能借鉴公开技术但独立开发工具。在威胁归因时，不能仅凭战术相似性下结论，需结合代码、基础设施和受害者特征综合判断。
针对政府实体的间谍活动
CloudSorcerer主要针对俄罗斯政府实体，进行秘密监控和数据收集。其后门模块能收集系统信息、执行命令、读写文件，并通过云服务泄露数据。政府机构应加强终端检测与响应，限制不必要的云服务访问，并定期审查GitHub等平台上的可疑活动，以防范此类高级持续性威胁。
Q&A
CloudSorcerer是什么类型的网络威胁组织？
CloudSorcerer是一个新的高级持续性威胁（APT）组织，主要针对俄罗斯政府实体进行攻击。
CloudSorcerer使用哪些技术进行攻击？
CloudSorcerer使用云服务和GitHub作为其主要命令和控制（C2）服务器，具有动态调整行为和复杂的进程间通信能力。
CloudSorcerer与CloudWizard APT有什么相似之处？
CloudSorcerer的攻击技术与CloudWizard APT相似，但其源代码和功能存在显著差异，推测为新的攻击者。
CloudSorcerer如何进行数据收集和泄露？
CloudSorcerer通过API使用认证令牌访问云资源，进行数据收集和泄露，使用Windows管道进行数据交换。
CloudSorcerer的基础设施包括哪些组件？
CloudSorcerer的基础设施包括GitHub和Mail.ru照片托管，展示了其精心规划的攻击手法。
CloudSorcerer的恶意软件是如何执行的？
CloudSorcerer的恶意软件由攻击者在已感染机器上手动执行，功能根据运行的进程而变化。
