新發現！俄羅斯APT組織Turla 正搭載已有十年之久惡意軟體佈建新後門

俄羅斯網路駭客組織Turla近期被發現重新註冊了至少三個與已有十年歷史的 Andromeda 惡意軟體相關的舊網域，向烏克蘭目標派發自己的偵察和監視工具。

Mandiant 公司表示，Turla Team APT（也被 Mandiant 命名為 UNC4210）控制了三個網域，這些網域曾是 Andromeda 已失效的C2 基礎架構的一部分。這些網域連接到受感染的系統，並派送後門QuietCanary及偵查工具Kopiluwak。

Andromeda 是一種現成的商業惡意軟體，至少可以追溯到 2013 年，它透由受感染的 USB 破壞系統。Mandiant 表示，Turla 團隊與 Andromeda 背後的團隊之間沒有任何關係，但Turla選擇 Andromeda 網域並使用它們向 Andromeda 受害者散播惡意軟體，這樣的攻擊鏈顯得非常新穎。

Andromeda 的緩慢傳播使攻擊者可免費奪取對受感染系統的控制權。

駭客爭奪受感染設備，竊取資料或使用相同的漏洞感染系統並覆蓋以前的病毒也曾發生過。如今，網絡犯罪分子更有動力破壞系統，在地下論壇和黑市隨時都可以買到這些受感染的機器或存取這些系統的憑證，作為初始存取權限的有效攻擊載體。

Andromeda攻擊始於 2021 年 12 月，當時受感染的 USB被插入烏克蘭組織的系統，一名員工無意中點擊了惡意連接。Mandiant 表示，網絡攻擊使用 Andromeda 版本感染了系統，該版本於 2013 年 3 月首次被掃毒軟體 VirusTotal 發現。

Mandiant 於 2022 年 9 月首次檢測到該攻擊。根據MITRE ATT&CK 頁面，Turla 是一個總部位於俄羅斯的威脅組織，但在近二十年的時間裡，它已將大約 45 個國家/地區的各種組織作為目標。

儘管 Andromeda 已經很老了，而且現今已不太可能投入使用，但仍有很多受害者。當使用者將乾淨的 USB 插入已經感染的系統時，新的 USB 可能會被感染並繼續傳播。

Mandiant 僅觀察到 Turla 控制的服務器在短時間內處於活動狀態，通常是幾天，停機時間長達數週。攻擊者試圖通過分析系統來確定最有效的目標，然後只攻擊其中的少數系統，從而盡可能地保持隱蔽。

Turla Team 的行動強調了消除攻擊媒介和響應事件的重要性，即使它們優先級數很低。企業組織應該注意環境中的 USB 設備，並儘可能阻止員工使用。這一事件還應該引起人們對環境中存在哪些長期惡意軟體感染的重視。


本文轉載自DarkReading。