伊朗黑客利用新的 MediaPl 恶意软件攻击研究人员
内容提要
微软发现伊朗支持的威胁攻击者针对欧美研究机构和大学高级雇员发起网络钓鱼攻击，使用定制的钓鱼邮件和新的后门恶意软件。这些攻击者是伊朗网络间谍组织APT35的子组织，主要攻击高价值目标，窃取敏感数据。APT35和APT33是两个活跃的伊朗组织，入侵公司和国防组织。
延伸解读
攻击者的身份与目标选择
文章指出，发动此次攻击的是APT35（又称Charming Kitten）的子组织，疑似与伊朗伊斯兰革命卫队有关联。其目标并非随机，而是欧美及中东地区大学和研究机构中从事中东事务的知名人士，包括研究人员、教授和记者。这类人群因与情报界和政策界存在联系，对试图为伊朗收集情报的攻击者具有较高价值。自2023年11月以来，微软持续观察到相关活动，说明这是一场有明确情报目的、持续进行的定向攻击。
钓鱼手法与恶意软件的新变化
攻击者利用此前已入侵的账户发送定制钓鱼邮件，这种“熟人”来源使邮件更难被识别和拦截。一旦得手，攻击者会部署新后门MediaPl，它伪装成Windows媒体播放器，使用AES CBC加密和Base64编码与C2服务器通信，并具备自动终止、暂停重试及执行命令的能力。另一个PowerShell后门MischiefTut则用于投放更多工具和侦察。这些设计表明攻击者在规避检测和维持访问方面投入了较多精力。
伊朗相关APT组织的整体活跃态势
文章将此次攻击置于更广泛的背景中：2021年3月至2022年6月，APT35利用未知恶意软件至少在34家公司设置后门；该组织还使用NokNok恶意软件攻击macOS系统以收集和外泄数据。另一个伊朗组织APT33自2023年2月以来在全球范围进行密码喷射攻击，目标包括国防组织，并试图用FalseFont恶意软件入侵国防承包商。这表明伊朗相关网络间谍活动在多条线上同时展开，防御方需关注不同组织的手法和目标差异。
Q&A
伊朗黑客最近针对哪些目标发动了网络钓鱼攻击？
微软发现伊朗支持的威胁攻击者主要针对欧洲和美国研究机构及大学的高级雇员，特别是从事中东事务的知名人士，目标国家包括比利时、法国、加沙、以色列、英国和美国。
MediaPl恶意软件有什么特点？
MediaPl是一种新的定制后门，伪装成Windows媒体播放器以逃避检测，使用AES CBC加密和Base64编码与指挥控制服务器通信，具有自动终止、暂停、重试通信及执行命令的能力。
APT35组织与伊朗政府有什么关系？
APT35（又称Charming Kitten和Phosphorus）疑似与伊斯兰革命卫队（IRGC）有关联，是伊朗网络间谍组织，其子组织专门攻击高价值目标以窃取敏感数据。
除了MediaPl，攻击者还使用了哪些恶意工具？
攻击者还使用了基于PowerShell的后门MischiefTut，它帮助投放额外恶意工具并提供侦察能力，允许攻击者在被入侵系统上运行任意命令并将输出发送到控制服务器。
APT35在2021年至2022年间有哪些攻击活动？
2021年3月至2022年6月间，APT35利用以前未知的恶意软件，针对政府、医疗保健、金融、工程、制造、技术、法律、电信等行业公司发动攻击，至少在34家公司中设置了后门。
伊朗黑客组织在macOS系统上使用了什么恶意软件？
伊朗黑客组织在针对macOS系统的攻击中使用了名为NokNok的恶意软件，旨在收集、加密和外泄被入侵Mac的数据。
APT33组织最近有哪些攻击行动？
APT33（又名Refined Kitten或Holmium）自2023年2月以来在全球范围内针对数千个组织进行密码喷射攻击，入侵了国防组织，最近还试图利用新的FalseFont恶意软件入侵国防承包商。
