一场复杂的网络攻击活动，被归因于名为“图书管理员食尸鬼”（Librarian Ghouls，又称“稀有狼人”和“Rezet”）的高级持续性威胁（APT）组织，一直在积极针对俄罗斯和独联体实体。该组织利用合法的第三方软件建立远程访问、窃取凭据并部署XMRig加密货币挖矿程序，影响了数百家工业企业和工程学校。
主要收获
-
复杂的网络钓鱼：“图书管理员食尸鬼”采用高度可信的网络钓鱼邮件，专门针对俄语使用者。
-
滥用合法软件：一个显著的特点是广泛使用合法的第三方工具，这使得检测和归因变得具有挑战性。
-
隐秘操作：计划的唤醒和关闭时间旨在向用户隐藏其活动。
-
双重目标：该组织旨在通过加密劫持实现数据窃取（凭据、加密钱包）和经济收益。
-
持续威胁：该活动仍在进行中，网络安全研究人员观察到其策略和工具不断完善。
图书管理员食尸鬼：一个持续的威胁
“稀有狼人”自2019年以来一直活跃，持续专注于俄罗斯和独立国家联合体（CIS）的组织。他们的行动持续到2025年5月，主要针对工业企业和工程学校，白俄罗斯和哈萨克斯坦也有受害者报告。该组织的策略表明其可能具有黑客行动主义动机，其特点是依赖现成的合法软件而非定制开发的恶意软件。
作案手法：网络钓鱼和合法工具
“图书管理员食尸鬼”的初始感染媒介是高度针对性的网络钓鱼邮件。这些邮件通常用俄语编写，包含俄语文件名和诱饵文档，伪装成官方通信或付款订单。它们包含受密码保护的压缩文件，其中包含恶意可执行文件。一旦受害者打开这些文件，就会启动一个复杂的感染链：
-
初始有效载荷：一个安装程序，通常使用Smart Install Maker创建，部署合法的软件，如4t Tray Minimizer，以掩盖其存在。
-
远程访问和数据外泄：中间有效载荷从远程服务器获取额外的工具，包括：
-
AnyDesk：用于远程控制受感染的机器。
-
Blat：用于通过SMTP发送被盗数据的实用程序。
-
Defender Control：用于禁用Windows Defender。
-
定制的WinRAR 3.80：用于数据压缩。
-
WebBrowserPassView：用于窃取浏览器中存储的凭据。
-
Mipko Personal Monitor：用于监控受害者，包括截图和按键记录。
-
ngrok：用于安全的网络服务连接。
-
NirCmd：用于秘密运行脚本。
-
-
计划操作：攻击者将受感染的设备编程为在当地时间凌晨1点唤醒，并在凌晨5点关闭。这个四小时的窗口允许他们进行活动，例如数据窃取和加密货币挖矿，同时最大限度地减少用户的怀疑。
-
数据窃取：该组织专门针对：
-
加密货币钱包凭据和助记词。
-
HKLM\SAM和HKLM\SYSTEM注册表项的转储。
-
-
加密货币挖矿：数据外泄后，安装XMRig加密货币挖矿程序。挖矿程序根据受害者的系统信息（CPU核心、RAM、GPU）进行配置，以优化挖矿操作。
敦促俄罗斯和独联体国家的组织加强其网络安全防御，实施强大的电子邮件安全措施，并教育员工了解网络钓鱼威胁，以减轻这个不断发展的APT组织带来的风险。
来源
-
稀有狼人APT在针对数百家俄罗斯企业的攻击中使用了合法软件，The Hacker News。
-
加密劫持组织入侵数百台设备进行加密货币挖矿，Cointelegraph。
-
“图书管理员食尸鬼”APT组织针对组织，GBHackers News。
-
“图书管理员食尸鬼”APT进行数据窃取和加密货币挖矿攻击，Securelist。
-
黑客组织“稀有狼人”劫持俄罗斯设备进行加密货币挖矿和数据窃取，Crypto News。
本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。