關(guān)鍵詞

惡意軟件

朝鮮政府支持的黑客組織Kimsuky近期針對處方藥制藥企業(yè)發(fā)起定向攻擊，使用名為"White Life Science ERP Specification"的精心偽裝惡意文件。攻擊者通過偽造Excel文檔誘騙員工運行惡意代碼，從而悄無聲息地獲取受害者系統(tǒng)訪問權(quán)限。此次攻擊表明，高級威脅行為體仍在依賴簡單但有效的欺騙手段入侵敏感行業(yè)。

該惡意軟件以名為White Life Science ERP Specification.lnk的Windows快捷方式文件形式出現(xiàn)，其圖標被偽裝成Excel表格。當用戶打開這份看似普通的業(yè)務(wù)文檔時，一系列隱藏腳本將在后臺悄然運行，不留下任何可見感染痕跡。

攻擊手法分析

攻擊者偽裝成一家同時生產(chǎn)非處方藥和處方藥的制藥企業(yè)，使誘餌文檔對目標對象顯得專業(yè)可信。Wezard4u安全分析師發(fā)現(xiàn)，這個.lnk文件實質(zhì)上是多載荷容器，內(nèi)含誘餌Excel文件、PowerShell腳本、JavaScript文件以及Windows任務(wù)計劃程序XML文件，全部壓縮在一個23,079字節(jié)的快捷方式中。

執(zhí)行后，PowerShell會靜默提取并依次運行每個組件，使感染過程完全隱蔽。完整執(zhí)行鏈路徑為：LNK→XML→JavaScript→PowerShell，這種設(shè)計使得在單個階段檢測攻擊變得極為困難。

行業(yè)影響評估

此次攻擊影響重大，因為制藥行業(yè)存儲著敏感研究數(shù)據(jù)、患者記錄和專有藥物配方。Kimsuky長期以學(xué)術(shù)、政府和研究機構(gòu)為目標，此次行動標志著其向生命科學(xué)領(lǐng)域的明顯擴張。若攻擊成功，黑客可能竊取機密臨床數(shù)據(jù)或長期監(jiān)控內(nèi)部通訊。

安全團隊可通過以下文件特征進行檢測：

• 文件名：White Life Science ERP Specification.lnk

• MD5：5c3bf036ab8aadddb2428d27f3917b86

• SHA-1：e9c16aa2e322a65fc2621679ca8e7414ebcf89c0

• SHA-256：d4c184f4389d710c8aefe296486d4d3e430da609d86fa6289a8cea9fde4a1166

當受害者打開偽造Excel文件時，cmd.exe會通過SysWOW64路徑調(diào)用PowerShell，刻意在64位Windows系統(tǒng)上運行32位PowerShell版本，以此規(guī)避僅監(jiān)控64位進程的安全工具。

PowerShell腳本使用XOR 0xC7編碼解密內(nèi)嵌載荷，將其釋放到名為C:\sysconfigs的隱藏文件夾（該名稱酷似合法Windows系統(tǒng)目錄）。主要保存兩個關(guān)鍵文件：作為主載荷的opakib.ps1和作為JavaScript啟動器的copa08o.js。隨后，JavaScript文件被注冊為名為"Avast Secure Browser VPS Differential Update Ex"的計劃任務(wù)，偽裝成正常的瀏覽器更新進程。

激活后，opakib.ps1通過官方API連接Dropbox，將其轉(zhuǎn)為臨時命令控制服務(wù)器。它會收集受害者域名、用戶名、操作系統(tǒng)版本、公網(wǎng)IP地址和運行進程列表，使用RC4和Base64編碼后上傳至Dropbox。攻擊者隨后可將自定義命令文件放入Dropbox，由惡意軟件下載并在受感染機器上靜默執(zhí)行。

防護建議

制藥企業(yè)和安全團隊應(yīng)立即采取以下防護措施：

1. 在Windows設(shè)置中啟用文件擴展名顯示功能，避免.lnk文件被誤認為Excel文檔

2. 監(jiān)控并限制通過SysWOW64路徑執(zhí)行的PowerShell

3. 定期審計Windows計劃任務(wù)中的陌生條目

4. 標記企業(yè)網(wǎng)絡(luò)內(nèi)異常的Dropbox API連接

5. 將上述文件哈希值添加到終端檢測平臺，快速識別隔離受感染系統(tǒng)

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！