關(guān)鍵詞

惡意軟件

Seqrite實(shí)驗(yàn)室的安全研究人員發(fā)現(xiàn)了一項(xiàng)名為"Operation IconCat"的攻擊行動(dòng)，攻擊者使用偽裝成合法安全工具的惡意文檔針對以色列組織實(shí)施攻擊。

攻擊活動(dòng)概況

該攻擊始于2025年11月，已成功入侵信息技術(shù)、人力資源服務(wù)和軟件開發(fā)等多個(gè)行業(yè)的公司。攻擊的核心在于心理欺騙：攻擊者制作仿冒Check Point和SentinelOne等知名殺毒軟件廠商的虛假文檔。當(dāng)受害者打開這些偽裝文件時(shí)，會(huì)在不知情的情況下下載隱藏在知名品牌背后的惡意軟件。這項(xiàng)行動(dòng)展示了社會(huì)工程學(xué)與技術(shù)手段相結(jié)合如何繞過傳統(tǒng)安全防御。

雙重攻擊鏈

Operation IconCat包含兩條不同的攻擊鏈，采用相似戰(zhàn)術(shù)但部署不同惡意軟件變種。

第一條攻擊鏈?zhǔn)褂肞DF文件進(jìn)行文檔投遞，第二條則使用包含隱藏編程代碼的Word文檔。Seqrite分析師通過分析2025年11月16日和17日來自以色列的可疑文件上傳，在第二段內(nèi)容后識(shí)別出了這些惡意軟件。

第一波攻擊詳情

第一波攻擊涉及名為help.pdf的PDF文件，偽裝成Check Point安全掃描器手冊。該文檔指示用戶從Dropbox下載名為"Security Scanner"的工具（密碼為"cloudstar"），文件中包含如何運(yùn)行安全掃描的詳細(xì)說明，并配有逼真的截圖。這個(gè)PDF是部署PYTRIC惡意軟件的入口點(diǎn)，該惡意軟件基于Python并使用PyInstaller技術(shù)打包。

PYTRIC惡意軟件能力

PYTRIC具備超出典型惡意軟件行為的危險(xiǎn)能力。分析顯示它包含掃描整個(gè)系統(tǒng)文件、檢查管理員權(quán)限以及執(zhí)行擦除系統(tǒng)數(shù)據(jù)和刪除備份等破壞性操作的功能。該惡意軟件通過名為Backup2040的Telegram機(jī)器人進(jìn)行通信，使攻擊者能夠遠(yuǎn)程控制受感染機(jī)器。這種組合表明攻擊者不僅意圖竊取信息，還計(jì)劃完全銷毀數(shù)據(jù)。

第二波攻擊詳情

第二波攻擊采用類似模式，但使用名為RUSTRIC的基于Rust語言的植入程序。魚叉式釣魚郵件冒充以色列合法人力資源公司L.M. Group，使用偽造域名l-m.co.il。郵件附件包含帶有隱藏宏的損壞Word文檔，這些宏會(huì)提取并執(zhí)行最終有效載荷。

RUSTRIC展示了高級(jí)偵察能力，能夠檢測28種不同殺毒軟件的存在，包括Quick Heal、CrowdStrike和Kaspersky。通過Windows Management Instrumentation執(zhí)行后，它會(huì)運(yùn)行系統(tǒng)命令識(shí)別受感染計(jì)算機(jī)并建立與攻擊者控制服務(wù)器的連接。

安全團(tuán)隊(duì)?wèi)?yīng)將這兩項(xiàng)攻擊活動(dòng)視為需要立即調(diào)查和修復(fù)的高優(yōu)先級(jí)威脅。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！