自 2021 年以来，一项名为“Stayin' Alive”的运动一直在积极针对亚洲各地的政府机构和电信服务提供商。
袭击目的
该攻击活动利用各种“一次性”恶意软件来逃避检测，主要针对哈萨克斯坦、乌兹别克斯坦、巴基斯坦和越南的实体，网络安全公司 Check Point 正在跟踪这些活动。
Check Point 研究人员注意到，威胁行为者在此次活动中使用了各种自定义工具。这些工具的设计很容易被丢弃，因此很难将攻击与其他攻击或已知工具集联系起来。
操作模式
攻击始于针对关键组织内特定人员定制的鱼叉式网络钓鱼邮件。这些邮件诱使收件人打开一个 ZIP 文件，其中包含一个与邮件内容匹配的数字签名可执行文件和一个恶意 DLL 文件。该 DLL 文件会将“CurKeep”恶意软件引入系统。CurKeep 是一个 10KB 的后门程序，它能够建立持久性，将系统信息转发到命令与控制 (C2) 服务器，并等待进一步的指令。
除了 CurKeep 之外，该活动还部署了其他工具，例如 CurLu、CurCore 和 CurLog 加载器，每个工具都有不同的功能和感染机制。CurCore 的突出之处在于它可以创建文件、执行远程命令和操纵数据。
另一个独特的后门“StylerServ”充当被动监听程序，监控加密配置文件的特定端口。其确切用途尚未披露，但据推测是作为其他恶意软件组件的配置机制。
该活动利用各种样本和变体针对特定区域目标定制这些工具。这些已识别的工具可能只是涉及未被发现的工具和攻击方法的更广泛活动的一部分。
尽管这些工具具有多样性和定制性，但据称它们都连接到同一个基础设施，该基础设施之前与中国网络间谍组织 ToddyCat 有关。
其中一款值得注意的恶意软件是“Ninja Agent”，它具备文件管理和反向 shell 功能。
ToddyCat 还在这些攻击中部署了其他工具，如 LoFiSe、Cobalt Strike、DropBox Uploader 和被动 UDP 后门，表明其行动的广度和复杂性。
预防是关键因素
RELIANOID 提供尖端解决方案，旨在 预防并减轻复杂的网络威胁 就像在亚洲开展的“活着”运动一样。利用先进的威胁情报和自适应安全措施， RELIANOID的平台通过分析内容检查和阻止下载可执行文件来检测和阻止这些攻击中使用的各种一次性恶意软件。通过采用主动监控、行为分析和可定制的安全协议， RELIANOID 有效地加强网络和系统以抵御此类不断演变的网络入侵。 下载企业级负载均衡器 并享受站点可靠性体验。
相关博客文章
