資安威脅趨勢 - 攻擊者鎖定中東組織散播冒牌的資安廠商SSL VPN軟體程式
一、摘要
資安業者趨勢科技揭露偽裝成Palo Alto Networks旗下SSL VPN服務GlobalProtect的惡意程式，其鎖定中東組織而來，並意圖竊取內部資料，以及遠端執行PowerShell命令，進而滲透受害組織的網路環境。一旦使用者執行駭客提供的安裝程式setup.exe，將會部署惡意程式GlobalProtect.exe，以及組態設定元件RTime.conf、ApProcessId.conf，於安裝完成後惡意程式會啟動Beacon機制，向攻擊者回報。
二、存在風險
遠距辦公已是近幾年的新常態，許多公司和組織的員工會透過SSL VPN服務存取內部環境系統，因此攻擊者企圖提供這類系統的應用程式，並散布惡意程式，從而入侵企業。
資安業者趨勢科技揭露偽裝成Palo Alto Networks旗下SSL VPN服務GlobalProtect的惡意程式，其鎖定中東組織而來，並意圖竊取內部資料，以及遠端執行PowerShell命令，進而滲透受害組織的網路環境。
攻擊者先透過釣魚郵件引誘使用者點擊，並安裝名為setup.exe的惡意程式，一旦開始執行就會安裝假的Palo Alto GlobalProtect，其主要元素除包含惡意程式外，也包含 RTime.conf 和 ApProcessId.conf，其檔案將會放置在C:\\Users\(UserName)\AppData\Local\Programs\PaloAlto\.並於安裝完畢後主動連線惡意網域step[1-6]-[dsktoProcessId].tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast[.]fun。
IoC：
- 79B38C4BE5AC888E38EC5F21AC3710F3D0936A72
- 72CDD3856A3FFD530DB50E0F48E71F089858E44F
- hxxp://94.131[.]108.78:7118/B/hi/
- hxxp://94.131[.]108.78:7118/B/desktop/
- 94.131.108.78
- portal[.]sharjahconnect.online
- tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
- step1-{dsktoProcessId}.tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
- step2-{dsktoProcessId}.tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
- step3-{dsktoProcessId}.tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
- step4-{dsktoProcessId}.tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
- step5-{dsktoProcessId}.tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
- step6-{dsktoProcessId}.tdyfbwxngpmixjiqtjjote3k9qwc31dsx.oast.fun
