潜藏系统2个月未被发现，新型网络攻击瞄准中国高价值目标
内容提要
最近，针对中文企业的网络攻击活动引起广泛关注。攻击者使用Cobalt Strike载荷，通过鱼叉式钓鱼和隐蔽通信手段成功渗透和控制目标系统。攻击代号为SLOW#TEMPEST，尚未归因于任何已知的威胁行为者。攻击导致数据泄露、系统控制和业务中断等问题。近年来，中国企业遭受的网络攻击频次和强度增加，受害行业多样化，新型攻击手段不断涌现。
延伸解读
攻击者的隐蔽持久化策略
攻击者通过提升内置访客账户权限，将其加入管理员组并分配新密码，从而获得强大访问点。访客账户通常被禁用且权限最小化，不易受监控，这使攻击者能以最小检测维持访问。此外，定期执行恶意文件lld.exe在内存中运行shellcode，减少磁盘足迹，进一步增强了隐蔽性。
Cobalt Strike在攻击中的角色
Cobalt Strike的Beacon与C2服务器通信，接收并执行任务，Listener模块转发请求。它支持HTTP、HTTPS、DNS和SMB等多种协议，确保通信隐蔽稳定。分段载荷技术防止shellcode过长导致异常，并通过多阶段下载规避检测。其模块化设计允许定制payload，绕过本地安全检测。
攻击影响与业务中断
攻击导致数据泄露、系统控制和业务中断。企业敏感数据如员工和客户个人信息被获取，系统行为被控制，甚至文件被加密勒索。一些企业系统中断，员工不得不重新使用纸张和笔记录，经销商让员工回家，无法正常工作，造成巨大经济损失。
针对中文企业的攻击趋势
2024年上半年，针对中文企业的网络攻击频次和强度增加，受害行业多样化，新型攻击手段不断涌现。与2023年同期相比，APT攻击和勒索软件攻击次数大幅上涨，表明这些攻击方式仍是网络安全领域的主要威胁。攻击者可能针对具有较高商业和数据价值的企业或政府部门。
Q&A
SLOW#TEMPEST攻击的主要手段是什么？
攻击者使用Cobalt Strike载荷，通过鱼叉式钓鱼和隐蔽通信手段渗透目标系统。
这次网络攻击对受害企业造成了哪些影响？
攻击导致数据泄露、系统控制和业务中断，给企业带来经济损失。
攻击者是如何在系统内保持隐蔽的？
攻击者通过提升内置访客用户帐户的权限和定期执行恶意文件任务，隐藏在系统中。
Cobalt Strike的通信协议有哪些？
Cobalt Strike支持HTTP、HTTPS、DNS和SMB等多种通信协议，确保通信的隐蔽性和稳定性。
针对中文企业的网络攻击频次和强度有什么变化？
2024年上半年，针对中文企业的网络攻击频次和强度均有所增加，受害行业多样化。
攻击者是如何诱导受害者下载恶意文件的？
攻击者通过发送精心设计的钓鱼邮件，诱导受害者下载并执行恶意ZIP文件。
