新型APT组织CloudSorcerer瞄准俄罗斯政府
内容提要
网络安全公司卡巴斯基发现新型APT组织CloudSorcerer通过滥用公共云服务攻击俄罗斯政府机构并窃取数据。该组织使用复杂的网络间谍工具，利用Microsoft Graph、Yandex Cloud和Dropbox进行监控、数据收集和泄露。卡巴斯基已发布检测该软件的入侵指标和Yara规则。
延伸解读
云服务成攻击跳板：隐蔽性升级
CloudSorcerer滥用Microsoft Graph、Yandex Cloud和Dropbox等公共云服务作为命令与控制基础设施，并利用GitHub页面作为死区解析器获取实际服务器地址。这种手法将恶意流量混入合法云服务中，增加了检测难度，因为传统安全设备可能不会拦截对这些知名服务的访问。同时，攻击者还尝试从俄罗斯云照片托管服务器获取数据，显示出对目标环境的适应性。
与CloudWizard的关联与差异
卡巴斯基指出CloudSorcerer的技术与CloudWizard相似，但恶意软件源代码不同。这表明两者可能共享某些战术、技术与程序（TTP），但并非同一代码库。这种相似性可能暗示攻击者之间存在知识共享或模仿，但具体关联尚不明确。安全团队在检测时需注意区分，避免仅凭行为相似就归因于同一组织。
恶意软件行为：动态调整与进程间通信
CloudSorcerer后门能够根据运行的进程动态调整行为，并通过Windows管道进行复杂的进程间通信。这种设计使其更难被静态检测，也增加了分析难度。后门组件可收集系统信息、枚举文件、执行shell命令、进行文件操作及运行其他有效载荷，赋予攻击者强大的远程控制能力。初始访问投放的C语言可执行文件可作为后门或注入shellcode到合法进程。
防御建议：关注IoC与Yara规则
卡巴斯基已发布检测CloudSorcerer的入侵指标（IoC）和Yara规则，安全团队应尽快部署以识别潜在威胁。同时，鉴于攻击滥用云服务，建议加强对云服务API异常访问的监控，特别是对Microsoft Graph、Yandex Cloud和Dropbox的非常规调用。此外，GitHub页面作为死区解析器的使用提醒防御者需留意对代码托管平台的异常请求。
Q&A
CloudSorcerer是什么组织，它的主要目标是什么？
CloudSorcerer是一个新型APT组织，主要目标是俄罗斯政府机构，通过滥用公共云服务进行攻击和数据窃取。
CloudSorcerer使用了哪些技术进行攻击？
CloudSorcerer使用复杂的网络间谍工具，利用Microsoft Graph、Yandex Cloud和Dropbox进行隐形监控和数据收集。
CloudSorcerer的恶意软件是如何工作的？
该恶意软件通过云资源作为命令和控制服务器，使用身份验证令牌的API进行访问，并通过C语言的可执行程序作为后门进行操作。
卡巴斯基对CloudSorcerer的发现有什么具体措施？
卡巴斯基已发布检测CloudSorcerer恶意软件的入侵指标和Yara规则，以帮助识别和防御该威胁。
CloudSorcerer与CloudWizard有什么相似之处？
CloudSorcerer的技术与CloudWizard相似，但其恶意软件的源代码不同。
CloudSorcerer的攻击对俄罗斯政府机构有什么潜在影响？
CloudSorcerer的攻击可能导致敏感数据泄露和国家安全风险，影响政府机构的正常运作。
