Operation Earth Kitsune 水坑攻擊駭入網站監控使用者系統

作者：編輯部 -2020 / 11 / 20

一項趨勢科技命名為 Operation Earth Kitsune 的水坑式攻擊行動正透過已遭駭入的網站來監控使用者系統。這起攻擊運用了 SLUB 和兩個新的惡意程式變種，專門攻擊 Google Chrome 和 Internet Explorer 瀏覽器的漏洞。

過去趨勢科技就曾發表過有關 SLUB 惡意程式攻擊行動的報告。在最新一份研究報告中，我們披露了一起採用最新惡意程式變種的水坑式攻擊行動。此惡意程式的命名由來是因為它之前的版本會利用 Slack 和 GitHub 兩項平台，只不過這次沒有，反倒是用了 Mattermost 這套很容易安裝在企業的開放原始碼網路聊天服務。

Operation Earth Kitsune 總共使用了五台幕後操縱 (C&C) 伺服器、七個惡意程式樣本以及四個新的漏洞，其目標是入侵網站來散布惡意程式。我們會對這起行動展開調查，最初是因為我們注意到 Korean American National Coordinating Council (韓裔美國人國家協調委員會，簡稱 KANCC) 的網站會將訪客重導至一個名為「Hanseattle」的網站。該網站會攻擊 Google Chrome 的一個漏洞 (CVE-2019-5782 )，這是一個經由 chromium 追蹤系統所披露的漏洞。經過深入追查之後，我們發現這起攻擊不僅會攻擊前述的 Chrome 漏洞，還會讓受害電腦感染三種不同的惡意程式樣本。

除此之外，這起行動也會攻擊一個 Internet Explorer 的漏洞 (CVE-2020-0674)。歹徒在攻擊 Chrome 漏洞時使用的是一段 shellcode，但在攻擊 Internet Explorer 漏洞時使用的是 PowerShell 載入器。但不論是 shellcode 或 PowerShell 腳本所植入的樣本，都會連線到相同的 C&C 伺服器。

除此之外，此行動還會攻擊其他漏洞，包括：CVE-2016-0189、CVE-2019-1458 以及我們之前的SLUB 相關報告中提到的漏洞。

前述受害網站的伺服器都是使用 GNUBoard Content Management System (CMS) 內容管理系統第 4 或第 5 版。

除了 SLUB 之外，此攻擊行動也使用了兩個我們命名為「dneSpy」和「agfSpy」的惡意程式變種。SLUB 在該行動中的用途是用來蒐集系統資訊並傳送給駭客，而這兩個變種的用途則是進一步控制受害使用者的電腦。趨勢認為這兩個惡意程式也是由 SLUB 的幕後集團所開發。