谷歌：疑似俄罗斯黑客组织部署新的 Spica 后门恶意软件
内容提要
谷歌发现俄罗斯支持的黑客组织ColdRiver使用伪装成PDF解密工具的有效载荷，推送后门恶意软件Spica。ColdRiver通过发送看似加密的PDF文档进行钓鱼攻击，一旦受害者回复无法阅读文档，就会下载一个看起来像PDF解密程序的可执行文件，实际上是Spica恶意软件。Spica可以进行后门攻击，窃取浏览器cookie等信息。谷歌已将攻击中使用的域、网站和文件添加到安全浏览网络钓鱼保护服务中，并通知受影响用户。ColdRiver组织被追踪为Callisto Group、Seaborgium和Star Blizzard，被认为与俄罗斯的FSB部门有关。美国国务院奖励1000万美元以找到ColdRiver组织的信息。
延伸解读
钓鱼手法：利用“加密PDF”制造交互陷阱
ColdRiver的钓鱼攻击并非直接发送恶意附件，而是先发送看似加密的PDF文档，诱导受害者主动回复“无法阅读”。这种交互设计能筛选出真实活跃的邮箱用户，并建立信任对话。随后攻击者提供伪装成PDF解密工具的可执行文件，实际为Spica后门。读者需警惕任何要求下载“解密器”或“专用阅读器”的邮件，尤其是来自陌生但声称有关联的发件人。
Spica后门能力：窃取Cookie与持久化控制
根据谷歌TAG的研究，Spica通过WebSocket与C2服务器通信，可执行任意shell命令、窃取Chrome、Firefox、Opera和Edge的Cookie、上传下载文件及泄露文档。它还会利用混淆的PowerShell命令创建名为“CalendarChecker”的计划任务以实现持久化。这意味着一旦感染，攻击者不仅能窃取浏览器会话，还能长期控制设备。用户应关注异常计划任务和不明PowerShell活动。
组织背景与应对：FSB关联及谷歌的缓解措施
ColdRiver被追踪为Callisto Group、Seaborgium和Star Blizzard，自2015年末活跃，以开源情报和社交工程著称，被五眼联盟关联至俄罗斯FSB的“18中心”。谷歌已将攻击中使用的域、网站和文件加入安全浏览网络钓鱼保护，并通知受影响用户。美国国务院自2023年12月起提供最高1000万美元奖励征集该组织信息。读者应启用谷歌安全浏览，并留意来自谷歌的异常登录警告。
Q&A
Spica后门恶意软件有什么功能？
Spica后门恶意软件可以运行任意shell命令、窃取Chrome、Firefox、Opera和Edge的cookie、上传和下载文件以及泄露文档。它通过websockets使用JSON与命令和控制（C2）服务器通信，并使用混淆的PowerShell命令创建'CalendarChecker'计划任务以建立持久性。
ColdRiver组织是如何诱骗受害者下载Spica恶意软件的？
ColdRiver组织冒充与受害目标有关联的用户发送看似加密的PDF文档。当收件人回复无法阅读时，攻击者会提供链接下载一个名为Proton decrypter.exe的可执行文件，该文件伪装成PDF解密程序，实际上是Spica恶意软件。
谷歌针对ColdRiver的攻击采取了哪些应对措施？
谷歌将攻击中使用的所有域、网站和文件添加到其安全浏览网络钓鱼保护服务中，并通知所有目标Gmail和Workspace用户他们已成为攻击目标。
ColdRiver组织与俄罗斯哪个部门有关联？
ColdRiver组织被'五眼联盟'与俄罗斯的'18中心'联邦安全局（FSB）部门联系起来，该部门是俄罗斯内部安全和反间谍部门。
美国国务院对ColdRiver组织提供了多少悬赏？
美国国务院提供最高1000万美元的奖励，以奖励能够找到或识别ColdRiver威胁组织的信息。
Spica恶意软件最早可追溯到什么时候？
虽然谷歌TAG研究人员在2023年9月观察到Spica恶意软件，但认为ColdRiver组织使用Spica后门的时间至少可以追溯到2022年11月。
