新聞

資安業者Symantec公布調查，揭露俄羅斯駭客組織APT28攻擊兩個北約成員國的執法機關、海軍造船企業及軍用飛機引擎製造商。其中，造船企業遭植入HookEdge後門，攻擊者取得帳號認證資料，並利用受害電腦主動連向外部伺服器，建立SSH反向通道，以便從外部存取企業內網。

海軍造船企業遭入侵始於一封夾帶惡意Word文件的電子郵件，在員工開啟附件後，文件內的巨集程式啟動HookEdge後門，後門利用隱藏在螢幕範圍外的Microsoft Edge瀏覽器連接webhook.site服務，接收攻擊指令並回傳執行結果。HookEdge今年8月由資安業者Recorded Future首次揭露，APT28則被美國政府認定為隸屬俄羅斯軍事情報總局的駭客組織。

植入後門後，攻擊者先測試受害電腦能否連接Dropbox、Google、微軟及Mega等外部服務，並蒐集系統與網路資訊。Symantec研判，攻擊者可能藉此確認可用的對外連線管道，以決定後續下載惡意程式或傳出資料的方式。

取得受害電腦控制權後，攻擊者將後門改為連接自行控制的伺服器，並放入SSH私密金鑰，利用Windows內建工具建立反向通道，讓攻擊者能透過受害電腦，從外部存取企業內網。研究人員也發現攻擊者查詢內部主機名稱、使用者權限及系統資訊，但沒有確認已成功登入其他內部主機。

攻擊者利用PowerShell在受害電腦建立本機網路服務，誘使Windows進行NTLM身分驗證，取得驗證過程中交換的資訊，用來嘗試破解密碼，或轉送至其他系統冒用身分完成驗證。攻擊者還部署一款名為ld.exe的惡意載入工具，利用執行時提供的金鑰，在記憶體中解密並執行其他程式。不過，Symantec未取得遭加密的檔案，無法確認後續程式的用途。

至於同樣遭到攻擊的執法機關及軍用飛機引擎製造商，Symantec僅確認出現HookEdge相關活動，未進一步說明入侵細節。