自2024年下半年以来，复杂的网络攻击一直针对各组织，特别是俄罗斯IT行业。攻击者正在采用先进的规避技术，利用GitHub、Quora和社交媒体等热门在线平台来传递恶意负载，最终部署Cobalt Strike Beacon。
一次隐秘的渗透
该活动在2024年11月至2025年4月期间最为活跃，始于极具说服力的鱼叉式网络钓鱼邮件。这些邮件模仿大型国有企业（通常是石油和天然气行业）的通信，诱骗收件人打开恶意附件。这些附件通常是RAR压缩包，包含欺骗性结构：一个恶意.lnk文件、诱饵PDF文档，以及一个隐藏目录，其中包含伪装成PDF的可执行文件。
鱼叉式网络钓鱼电子邮件示例
一旦执行.lnk文件，恶意软件就会在用户环境中复制并重命名这些文件，为进一步的入侵做好准备。采用的关键技术是DLL劫持，利用合法的BugSplat崩溃报告工具（BsSndRpt.exe）。攻击者重命名了该工具，并将其与一个恶意DLL配对，强制该工具加载恶意代码而非其真实对应文件。
快捷方式“Requirements.lnk”的执行流程图
nau.exe进程的运行流程图
利用合法平台达到恶意目的
为了进一步逃避检测，恶意DLL利用动态API解析和XOR加密哈希，使静态分析变得困难。它还钩取了Windows API函数，将调用重定向到恶意库中的自定义函数。这些函数随后从基于网络的来源获取shellcode，具体来说，是在Microsoft Tech Community、Quora、GitHub和俄罗斯社交网络等平台的用户资料中发现的HTML内容中嵌入命令和控制（C2）信息和负载URL。
各种热门资源上的恶意配置文件
这种将恶意数据隐藏在合法用户生成内容中的方法，使攻击者能够创建复杂且具有弹性的执行链。shellcode（一个反射式加载器）旨在将Cobalt Strike Beacon直接注入进程内存，从而与C2服务器建立通信。虽然已识别的账户是专门为此次攻击而构建的，但这些技术可以很容易地被修改，以危害合法的用户帖子或评论。
主要发现
-
威胁行为者正越来越多地使用复杂方法来隐藏Cobalt Strike等知名工具。
-
合法在线平台正被滥用，以托管命令和控制基础设施并传递恶意负载。
-
DLL劫持和动态API解析是常见的规避技术。
-
鱼叉式网络钓鱼邮件仍然是主要的初始访问途径。
该活动虽然主要针对俄罗斯IT公司，但在中国、日本、马来西亚和秘鲁也发现了活动迹象。建议各组织保持警惕监控，加强员工的网络安全意识培训，并部署强大的安全解决方案，以检测和阻止此类高级威胁。入侵指标包括存在未签名的BugSplatRc64.dll文件或BugSplat工具以非标准文件名出现。
来源
-
针对性攻击利用热门在线平台账户作为C2服务器, Securelist.
-
黑客利用GitHub和社交媒体传递Cobalt Strike Beacon, Cyber Press.
-
黑客利用GitHub和社交媒体部署Cobalt Strike Beacon, GBHackers News.
-
卡巴斯基发现网络攻击从GitHub、Quora和社交网络获取信息以针对
组织, Kaspersky.
本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。