CoralRaider勒索组织窃取亚洲金融机构数据事件解析
内容提要
网络安全公司Cisco Talos发现了名为CoralRaider的新型网络攻击组织，活动自2023年起，主要针对亚洲和东南亚金融机构。CoralRaider使用定制的QuasarRAT变体和XClient窃取器，通过死信投递技术和不常见的二进制文件隐藏攻击活动。组织位于越南，使用RotBot作为主要恶意软件载荷。目标包括中国、印度、韩国等。
延伸解读
攻击者的溯源线索
CoralRaider的溯源主要依靠攻击者留下的语言痕迹。其Telegram机器人名称、PDB字符串和硬编码数据均使用越南语，且一个调试机器人图片中暴露了位于越南河内的IP地址。此外，攻击者使用的Telegram群组和OneDrive文件夹也以越南语命名，这些线索共同指向该组织位于越南。
针对金融机构的窃密重点
该组织主要窃取金融机构的账户凭证和财务数据，同时广泛收集社交媒体账户信息，尤其是商务和广告账户。其XClient窃取器能够针对Facebook广告账户提取access_token、assetID等关键信息，并自动截屏和压缩数据，通过Telegram机器人外传，显示出对高价值账户的明确针对性。
攻击链与隐蔽技术
攻击始于一封携带恶意Windows快捷方式文件的诱饵，用户打开后触发HTA文件，进而执行多阶段PowerShell脚本，最终下载RotBot。RotBot伪装成spoolsv.exe，并利用Telegram机器人作为C2通道，使用死信投递技术和不常见的系统二进制文件来隐藏活动，增加了检测难度。
对防御者的启示
防御者应警惕异常的Windows快捷方式文件，并监控HTA和PowerShell的异常执行。由于攻击者滥用Telegram等合法服务进行C2通信，传统网络边界防御可能失效，需加强对出站流量的检测。同时，关注越南语相关的恶意软件特征和IP地址，有助于及时发现类似威胁。
Q&A
CoralRaider组织的主要目标是什么？
CoralRaider组织主要针对亚洲和东南亚的金融机构，窃取账户凭证和财务数据。
CoralRaider使用了哪些恶意软件进行攻击？
CoralRaider使用了定制的QuasarRAT变体RotBot和XClient窃取器进行攻击。
CoralRaider组织是如何隐藏其攻击活动的？
该组织使用死信投递技术和不常见的二进制文件来隐藏攻击活动。
CoralRaider组织如何与受害者进行数据交易？
该组织通过Telegram机器人作为C2渠道，与受害者进行数据交易。
RotBot恶意软件的主要功能是什么？
RotBot能够绕过系统检测，收集用户的浏览器数据和社交媒体账户信息。
XClient窃取器具备哪些信息窃取能力？
XClient窃取器能够窃取社交媒体凭据、财务信息，并将数据发送至攻击者控制的Telegram机器人。
