黑客冒充美国政府机构，开展网络欺诈活动
内容提要
Proofpoint的安全分析师最近发现了一个名为TA4903的黑客组织，专门从事商业电子邮件欺诈（BEC）攻击。该组织冒充美国各个政府机构，诱使受害者打开带有虚假竞标链接的恶意文件。这些黑客自2019年以来一直活跃，并最近增加了他们的活动。他们使用附加在PDF附件上的QR码将受害者重定向到虚假政府网站。该组织的攻击纯粹出于经济动机，涉及未经授权访问网络，寻找金融欺诈机会和进行BEC攻击。他们已经针对多个美国组织进行了攻击，并最近将重点从欺骗政府实体转向冒充小型企业。
延伸解读
攻击手法的演变与特征
TA4903在近期攻击中采用了在PDF附件上附着二维码的新手段，受害者扫描后会被重定向到仿冒的美国政府机构网站。这些PDF具有统一风格和相同元数据，包括指向尼日利亚血统的作者姓名。这种手法结合了社会工程学和技术规避，利用用户对政府机构的信任，提高了攻击的成功率。
经济动机驱动的攻击链
该组织的攻击纯粹出于经济动机，其攻击链包括：先未经授权访问企业网络或电子邮件账户，然后在被入侵账户中搜索与银行信息、支付或商家相关的关键字，寻找金融欺诈机会，最后进行BEC攻击，如发送欺诈性付款或发票请求。这种模式表明攻击者具有明确的财务目标，而非其他政治或间谍目的。
目标转向小型企业的潜在风险
近期，TA4903从欺骗美国政府实体转向冒充小型企业，但尚不清楚这种转变是暂时的还是长期的。小型企业通常安全防护较弱，可能成为更容易得手的目标。这种策略调整可能意味着攻击者正在扩大攻击范围，以寻求更多财务收益，相关企业需提高警惕。
Q&A
TA4903黑客组织的主要活动是什么？
TA4903黑客组织专门从事商业电子邮件欺诈（BEC）攻击，冒充美国政府机构诱使受害者打开恶意文件。
TA4903是如何诱骗受害者的？
TA4903通过发送带有虚假竞标链接的恶意PDF文件，并在其中附加二维码，诱使受害者扫描并重定向到虚假政府网站。
TA4903黑客组织自何时开始活跃？
TA4903黑客组织自2019年以来一直活跃，并在2023年中到2024年期间增加了攻击频率。
TA4903的攻击动机是什么？
TA4903的攻击活动纯粹出于经济动机，主要寻找金融欺诈机会。
TA4903最近的攻击目标发生了什么变化？
近期，TA4903的攻击目标从美国政府实体转向冒充小型企业。
TA4903使用了哪些技术手段进行攻击？
TA4903使用了附加二维码的PDF文件，并曾依靠EvilProxy绕过多因素身份验证，但近期未观察到使用反向代理。
