APT组织开“黑店” 腾讯智慧安全“御界”展开全面防御

近年来，随着数据价值的突显，不法黑客逐渐瞄准政府机构和重要行业发起APT攻击。此前，腾讯智慧安全御见威胁情报中心曾曝光出持续针对高端商务人士、重要人士实施精准攻击的APT组织——DarkHotel（黑店）。近期，该中心再次发现DarkHotel（黑店）APT组织针对东北亚相关人物或要害部门的APT攻击。目前，尽管暂未发现该木马在国内活动，但腾讯电脑管家提醒广大用户和相关机构，仍需做好网络安全相关防御工作。

据了解，DarkHotel（黑店）APT组织的攻击目标是入住高端酒店的商务人士或有关部门重要人士，攻击入口是酒店WiFi网络，当目标用户接入酒店WiFi时便会遭遇攻击。该组织技术实力深厚，曾在多次攻击行动中使用0day进行攻击，比如今年新曝光的CVE-2018-8174、CVE-2018-8373等。腾讯智慧安全御见威胁情报中心对其SYSCON/SANNY后门程序进行长期跟踪后发现，该后门一直以来使用FTP协议进行C&C通信，并且有很强的躲避技术和绕UAC技术，而最新版本的后门采用了多阶段执行、云控、绕最新UAC等技术，使得攻击更加隐蔽和难以发现。

分析显示，在新的攻击活动中，该组织依然采用了最常见的鱼叉攻击方式，攻击的诱饵有两个，均与东北亚问题相关。在攻击载体的选择上，该组织选取传统的Word文件，通过在Word文档中嵌入恶意宏代码来实现攻击。为了诱使用户启用宏，特意将字体修改成非常浅的颜色导致用户无法阅读，而用户启用宏以后才会显示为方便阅读的黑色。

与以往的攻击相比，本次攻击的大部分代码被放到云端，在VBA脚本中只保留非常简单的几行代码，云控化的安装过程使得木马的传播和感染过程灵活可控。同时，CAB压缩包文件也被分为两个存放在云端，由bat脚本判断本地系统后按需进行下载。此外，通过对比发现，SYSCON后门与另一款针对东北亚重要人士攻击的KONNI后门有着非常大的相同点，因此腾讯安全技术专家判断，这两款后门，属于一个攻击组织。

（腾讯智慧安全御界高级威胁检测系统）

对此，腾讯电脑管家安全专家、腾讯安全反病毒实验室负责人马劲松提醒广大用户，建议用户不要打开来源不明的邮件附件，谨慎连接公用的Wi-Fi网络进行软件升级等操作，若必须连接公用Wi-Fi网络，尽量避免进行可能泄露机密信息或隐私信息的操作，如收发邮件、IM通信、银行转账等；同时建议政府及企业用户选择使用腾讯智慧安全御界高级威胁检测系统，通过“御界防APT邮件网关”，解决恶意邮件的攻击威胁，切实保护好企业自身的网络安全。