土耳其海龟APT瞄准荷兰IT和电信公司
内容提要
近日，海龟网络间谍组织在欧洲和中东地区针对荷兰电信、媒体和互联网服务提供商进行攻击，利用DNS劫持技术进行供应链和岛屿跳跃攻击，收集个人信息用于监视和情报搜集。研究人员建议部署端点检测和响应系统，执行密码策略，启用双因素认证，保持软件更新，减少通过互联网使用SSH访问的系统数量，并实施出口网络过滤。
延伸解读
DNS劫持与供应链攻击的长期结合
海龟组织自2017年起活跃，早期使用DNS劫持技术，近期转向供应链和岛屿跳跃攻击。这种演变表明该组织在持续调整战术，以绕过传统边界防御。DNS劫持可拦截流量，而供应链攻击能扩大影响范围，两者结合增加了检测难度。读者应关注自身网络流量异常，尤其是DNS解析结果是否被篡改。
攻击目标与地缘政治动机的关联
文章指出该组织收集少数群体成员和持不同政见者的个人信息，被盗信息可能用于监视，这与土耳其战略利益一致。攻击目标包括库尔德政治团体、政府实体及电信媒体等。这提示相关行业组织需评估自身是否处于地缘政治敏感领域，并加强针对性的威胁情报收集和员工隐私保护。
从SnappyTCP看Linux/Unix系统的风险
2023年行动中，该组织使用SnappyTCP反向TCP shell攻击Linux/Unix系统，并利用公开GitHub账户中的代码。反向shell可绕过出口过滤，建立持久访问。使用公开代码降低了攻击门槛，但也留下可追踪痕迹。管理员应监控异常外连，实施出口网络过滤，并限制SSH的互联网暴露面。
防御建议的落地要点
研究人员建议部署EDR并集中存储日志、执行密码策略、启用2FA、保持软件更新、减少SSH暴露及实施出口过滤。这些措施覆盖检测、访问控制和漏洞管理。其中出口过滤能阻止反向shell外连，而集中日志便于历史取证。组织应优先检查SSH暴露情况，并确保2FA覆盖所有对外账户。
Q&A
海龟APT组织主要针对哪些类型的目标？
海龟APT组织主要针对政府实体、库尔德政治团体（如库尔德工人党PKK）、电信、互联网服务提供商、IT服务提供商（包括安全公司）、非政府组织，以及媒体与娱乐行业。近期还针对荷兰的电信、媒体、互联网服务提供商、IT服务提供商以及库尔德语网站进行了攻击。
海龟APT组织与哪个国家有关联？其活动目的是什么？
海龟APT组织与土耳其有关联。其情报收集活动与土耳其的战略利益一致，被盗取的信息很可能用于对特定团体或个人进行监视或情报搜集，尤其是对土耳其具有地缘政治重要性的国家。
海龟APT组织使用了哪些攻击手法？
海龟APT组织使用DNS劫持技术、供应链攻击和岛屿跳跃攻击，拦截互联网流量，并可能未经授权获取政府网络访问权限。在2023年的行动中，使用了SnappyTCP反向TCP shell攻击Linux/Unix系统，还使用了GitHub账户中的代码，入侵cPanel账户并利用SSH技术初步访问目标环境。
如何防范海龟APT组织的攻击？
建议部署端点检测和响应（EDR）系统，监控网络连接、进程、文件活动和账户活动，并集中存储日志；制定并执行密码策略，使用秘密管理系统存储密码，限制登录尝试次数；在所有对外开放账户上启用双因素认证（2FA）；保持软件更新；减少可通过互联网使用SSH访问的系统数量，实施SSH登录速率限制；实施出口网络过滤，防止恶意进程向未授权IP发送流量。
海龟APT组织自何时开始活跃？主要针对哪些地区？
海龟APT组织自2017年以来一直保持活跃状态，主要针对欧洲和中东地区的组织。
海龟APT组织在2023年的行动中使用了什么恶意工具？
在2023年最近的一次行动中，海龟APT组织使用了一个名为SnappyTCP的反向TCP shell攻击Linux/Unix系统。此外，还使用了可能受威胁行为者控制的公开可访问的GitHub账户中的代码。
