關(guān)鍵詞

黑客組織

威脅研究人員發(fā)現(xiàn)與伊朗黑客組織Infy（又名波斯王子）相關(guān)的新活動，距該組織上次針對瑞典、荷蘭和土耳其受害者已過去近五年。安全公司 SafeBreach 研究副總裁 Tomer Bar 向《黑客新聞》提供的技術(shù)分析報告中表示："波斯王子的活動規(guī)模遠(yuǎn)超我們最初預(yù)期，這個威脅組織仍然活躍且危險。"

歷史悠久的APT組織

根據(jù) Palo Alto Networks Unit 42 于2016年5月發(fā)布的報告（由 Bar 與研究員 Simon Conant 共同撰寫），Infy 是最古老的高級持續(xù)性威脅（APT）組織之一，其早期活動可追溯至2004年12月。與其他伊朗組織如迷人小貓（Charming Kitten）、泥漿（MuddyWater）和石油鉆機（OilRig）不同，該組織一直保持低調(diào)。其攻擊主要利用兩種惡意軟件：名為 Foudre 的下載器和受害者分析工具，用于投放第二階段植入程序 Tonnerre 以竊取高價值設(shè)備數(shù)據(jù)。據(jù)評估，F(xiàn)oudre 通過釣魚郵件傳播。

最新攻擊活動

SafeBreach 最新發(fā)現(xiàn)顯示，該組織使用升級版 Foudre（34版）和 Tonnerre（12-18版及50版）針對伊朗、伊拉克、土耳其、印度、加拿大及歐洲受害者發(fā)起隱蔽攻擊。最新版 Tonnerre 于2025年9月被發(fā)現(xiàn)。攻擊鏈已從包含宏的 Excel 文件轉(zhuǎn)變?yōu)樵谖臋n中嵌入可執(zhí)行文件來安裝 Foudre。該組織最顯著的特點是使用域名生成算法（DGA）增強其命令控制（C2）基礎(chǔ)設(shè)施的韌性。

Foudre 和 Tonnerre 會通過下載 RSA 簽名文件驗證 C2 域名真實性，隨后使用公鑰解密并與本地存儲的驗證文件比對。SafeBreach 分析發(fā)現(xiàn) C2 服務(wù)器上存在名為"key"的驗證目錄，以及存儲通信日志和竊取文件的文件夾。Bar 指出："Foudre 每日下載威脅行為者用 RSA 私鑰加密的專屬簽名文件，再通過內(nèi)嵌公鑰驗證域名合法性，請求格式為：'https:// <域名> /key/ <域名> <年份后兩位> <年內(nèi)第幾天> .sig'"

C2 服務(wù)器還存在用途暫未明確的"download"目錄，疑似用于下載新版本。而最新版 Tonnerre 新增通過 C2 服務(wù)器聯(lián)系 Telegram 群組（波斯語名"???????"意為"自豪"）的機制，該群組包含兩個成員：可能用于發(fā)令和收集數(shù)據(jù)的機器人"@ttestro1bot"，以及用戶"@ehsan8999100"。值得注意的是，相關(guān) Telegram 群組信息存儲在 C2 服務(wù)器"t"目錄下的"tga.adr"文件中，且僅針對特定受害者 GUID 列表觸發(fā)下載。

歷史攻擊變種

SafeBreach 還發(fā)現(xiàn)2017至2020年間攻擊活動中使用的舊版變種：

• 偽裝成 Amaq 新聞查找器的 Foudre 版本

• 通過 Foudre 24版 DLL 下載的 MaxPinner 木馬新變種（用于監(jiān)視 Telegram 內(nèi)容）

• 與 Amaq 新聞查找器相似的 Deep Freeze 惡意軟件變種

• 名為 Rugissement 的未知惡意軟件

SafeBreach 強調(diào)："盡管波斯王子組織在2022年看似沉寂，實則相反。我們持續(xù)研究發(fā)現(xiàn)這個多產(chǎn)而隱秘的組織在過去三年中的活動細(xì)節(jié)、C2服務(wù)器及惡意軟件變種。"此次披露恰逢 DomainTools 對迷人小貓泄密數(shù)據(jù)的分析顯示，該黑客組織運作模式更似政府部門，以"文書精度開展間諜活動"，并被揭露為 Moses Staff 背后的操控者。該公司指出："APT35 這個負(fù)責(zé)德黑蘭長期憑證釣魚行動的管理機器，也運作著支撐 Moses Staff 勒索軟件表演的后勤系統(tǒng)。這些所謂的黑客活動分子與政府網(wǎng)絡(luò)部門不僅共享工具和目標(biāo)，還使用同一套應(yīng)付賬款系統(tǒng)。其宣傳部門與間諜部門實為同一工作流程的兩個產(chǎn)物——相同內(nèi)部票務(wù)制度下的不同'項目'。"

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！