破坏FlyingYeti针对乌克兰的网络钓鱼活动
内容提要
俄罗斯威胁行动者FlyingYeti在乌克兰网络钓鱼活动中被Cloudforce One成功阻止。FlyingYeti利用乌克兰市民对住房和公共事业服务失去访问权的焦虑，通过欠款主题的诱饵诱使目标打开恶意文件。Cloudforce One采取了内外合作措施，成功延长了FlyingYeti的操作时间。他们发现FlyingYeti主要针对乌克兰军事实体，使用动态DNS和云平台进行恶意内容的托管和控制。文章提供了防御建议和检测指标。
延伸解读
攻击时机与社会工程策略
FlyingYeti的钓鱼活动选择在乌克兰政府取消住房和公用事业债务支付暂停令后发起。该暂停令于2022年2月俄乌冲突爆发时实施，2024年1月9日解除，导致许多乌克兰民众面临债务压力。攻击者利用这一社会焦虑，以债务重组和缴费通知为主题，诱使目标打开恶意文件。这种策略表明攻击者紧密跟踪社会政策变化，并利用民众的财务困境提高钓鱼成功率。
技术手法与漏洞利用
攻击者结合了云平台和动态DNS等基础设施，并利用WinRAR漏洞CVE-2023-38831进行恶意软件传播。恶意RAR文件中包含一个使用Unicode字符U+201F隐藏扩展名的CMD文件，伪装成PDF文档。当受害者打开看似无害的PDF时，实际执行的是CMD文件，从而安装PowerShell恶意软件COOKBOX。该恶意软件会连接动态DNS域名进行命令控制，并持久化在系统中。这种多层次的欺骗手法增加了检测难度。
主动防御与协作响应
Cloudforce One通过内部检测、代码下架以及与GitHub、CERT-UA等第三方合作，成功破坏了FlyingYeti的钓鱼活动。防御措施包括实时监控恶意RAR文件、禁用Cloudflare Workers以及通知平台移除恶意内容。这些行动将攻击者的操作时间从几天延长到几周，例如一次导致攻击者花费近8小时调试代码。这种主动防御策略旨在增加攻击者的成本，从而阻止其达成目标。
检测与防御建议
文章提供了具体的检测方法和防御建议。用户可以使用PowerShell脚本检测WinRAR漏洞利用，部署Microsoft Sentinel分析规则或Splunk脚本监控异常进程。防御方面，建议实施零信任架构、确保系统更新、阻止WinRAR文件进入环境，并使用端点检测与响应工具。这些措施有助于组织识别和抵御FlyingYeti等威胁行为者的攻击，降低感染风险。
Q&A
FlyingYeti是哪个国家的网络威胁组织？
FlyingYeti是一个与俄罗斯相关的网络威胁组织。
Cloudforce One是如何阻止FlyingYeti的网络钓鱼活动的？
Cloudforce One通过内部检测、代码下架和与第三方合作，成功阻止了FlyingYeti的网络钓鱼活动。
FlyingYeti的网络钓鱼活动主要针对哪些目标？
FlyingYeti主要针对乌克兰的军事实体。
FlyingYeti使用了哪些技术进行网络钓鱼？
FlyingYeti利用动态DNS和云平台进行恶意内容的托管和控制，并利用WinRAR漏洞进行恶意软件传播。
用户如何防范FlyingYeti的网络钓鱼攻击？
用户应实施零信任架构，确保系统更新，并使用端点检测和响应工具以提高安全性。
FlyingYeti的恶意软件COOKBOX有什么特征？
COOKBOX是一种PowerShell恶意软件，旨在在受害者系统中持久存在，并执行远程命令。
