俄罗斯威胁组织COLDRIVER扩大其对西方官员的攻击范围，开始使用恶意软件
内容提要
COLDRIVER是一个俄罗斯威胁组织，专注于针对非政府组织、前情报和军事官员以及北约政府的高调个人进行凭证钓鱼活动。他们最近开始使用恶意软件，并继续针对乌克兰、北约国家、学术机构和非政府组织进行凭证钓鱼。TAG观察到他们使用了名为SPICA的自定义恶意软件。TAG已经采取措施阻止了这些活动，并将相关信息添加到安全浏览的黑名单中。
延伸解读
从钓鱼到恶意软件：COLDRIVER 的能力升级
COLDRIVER 此前主要以凭证钓鱼窃取账号，但 TAG 发现其已开始投递恶意软件。自 2022 年 11 月起，该组织通过冒充账户发送看似加密的 PDF，诱导目标索要“解密工具”，而该工具实为 SPICA 后门。这标志着其攻击链从单纯窃取密码扩展到直接控制受害者机器，威胁程度显著提高。
SPICA 后门：Rust 编写，功能全面
SPICA 是首个被归因于 COLDRIVER 的自定义恶意软件，使用 Rust 语言编写，通过 WebSocket 和 JSON 进行命令控制。它支持执行任意 Shell 命令、窃取 Chrome、Firefox、Opera 和 Edge 的 Cookies、上传下载文件、遍历文件系统并打包窃取文档。执行后还会释放内嵌 PDF 作为诱饵，并通过计划任务“CalendarChecker”实现持久化。
攻击目标与规避手段
COLDRIVER 持续针对乌克兰、北约国家、学术机构和非政府组织，尤其关注前情报和军事官员等高风险个体。为取得信任，该组织使用冒充账户，伪装成目标所在领域的专家或有关联的人，先建立联系再发送钓鱼链接或文档。近期公开信息还显示其不断改进战术以规避检测，TAG 已将持续演变的攻击指标纳入安全浏览黑名单。
防御建议与局限
TAG 已将所有已知域名和文件哈希加入 Safe Browsing 黑名单，并向受影响的 Gmail 和 Workspace 用户发送政府支持攻击者警报，建议启用 Chrome 增强安全浏览并保持设备更新。但文章也指出，目前仅成功获取一个 SPICA 样本，且可能存在多个版本，每个版本嵌入不同的诱饵文档，这意味着基于单一哈希的检测可能不足，需结合行为特征进行防御。
Q&A
COLDRIVER是什么组织？主要攻击目标有哪些？
COLDRIVER是一个俄罗斯威胁组织，专注于针对非政府组织、前情报和军事官员以及北约政府的高调个人进行凭证钓鱼活动。
COLDRIVER最近在攻击手法上有什么变化？
COLDRIVER最近开始使用恶意软件，而不仅仅是凭证钓鱼。他们通过使用PDF作为诱饵文档来传递恶意软件，并继续针对乌克兰、北约国家、学术机构和非政府组织进行攻击。
COLDRIVER如何利用冒充账户进行攻击？
COLDRIVER经常使用冒充账户，假装是特定领域的专家或与目标有某种关联，与目标建立融洽关系，提高钓鱼活动的成功率，最终发送钓鱼链接或包含链接的文档。
SPICA恶意软件是什么？它有哪些功能？
SPICA是COLDRIVER使用的自定义后门程序，用Rust编写，使用JSON over websockets进行命令控制。它支持执行任意Shell命令、窃取浏览器Cookies、上传下载文件、列出文件系统内容、枚举文档并打包外泄等功能。
SPICA恶意软件如何实现持久化？
SPICA通过一个混淆的PowerShell命令创建名为CalendarChecker的计划任务来实现持久化。
TAG采取了哪些措施来阻止COLDRIVER的攻击？
TAG将所有已知的域名和哈希添加到安全浏览的黑名单中，并向目标Gmail和Workspace用户发送政府支持的攻击者警报，鼓励潜在目标启用Chrome的增强安全浏览并确保设备更新。
