据观察，与俄罗斯有关联的 APT29 威胁行为体在利用恶意远程桌面协议（RDP）配置文件进行网络攻击时，重新使用了合法的红队攻击方法。
趋势科技在一份报告中称，这一活动的目标是政府和武装部队、智库、学术研究人员和乌克兰实体，需要采用 Black Hills Information Security 曾在 2022 年记录的 “流氓 RDP ”技术。
研究人员费克-哈克博德（Feike Hacquebord）和斯蒂芬-希尔特（Stephen Hilt）说：“这种技术的受害者会将其机器的部分控制权交给攻击者，从而可能导致数据泄露和恶意软件安装。”
网络安全公司正在追踪这个名为 “Earth Koshchei ”的威胁组织，并称该组织早在 2024 年 8 月 7 日至 8 日就开始了活动的准备工作。乌克兰计算机应急响应小组（CERT-UA）、微软和亚马逊网络服务（AWS）也在 10 月份对 RDP 活动进行了关注。
鱼叉式网络钓鱼电子邮件旨在欺骗收件人启动附在邮件中的恶意 RDP 配置文件，使他们的机器通过该组织的 193 个 RDP 中继站之一连接到国外的 RDP 服务器。据估计，一天之内就有 200 名知名受害者成为攻击目标，这表明了该活动的规模。
Black Hill 概述的攻击方法需要在实际由对手控制的 RDP 服务器前使用一个名为 PyRDP 的开源项目（被描述为基于 Python 的 “中间怪兽（MitM）工具和库）”，以最大限度地降低被发现的风险。
这样，当受害者从电子邮件中打开代号为 HUSTLECON 的 RDP 文件时，就会向 PyRDP 中转站发起一个向外的 RDP 连接，然后将会话重定向到恶意服务器。
研究人员说：“建立连接后，流氓服务器会模仿合法 RDP 服务器的行为，并利用会话开展各种恶意活动。主要的攻击载体包括攻击者在受害者的机器上部署恶意脚本或更改系统设置。”
除此之外，PyRDP 代理服务器还能让攻击者访问受害者的系统、执行文件操作和注入恶意有效载荷。攻击的最终结果是，威胁者利用被入侵的 RDP 会话，通过代理服务器外泄敏感数据，包括凭证和其他专有信息。
值得注意的是，这种攻击是通过恶意配置文件进行数据收集的，无需部署任何定制恶意软件，从而使威胁行为者能够在不被察觉的情况下进行攻击。
另一个值得一提的特点是使用匿名层（如 TOR 出口节点）来控制 RDP 服务器，以及使用住宅代理提供商和商业 VPN 服务来访问合法的邮件服务器，这些服务器被用来发送鱼叉式网络钓鱼电子邮件。
研究人员补充说：“PyRDP 等工具可以拦截和操纵 RDP 连接，从而增强攻击效果。PyRDP可以自动抓取受害者重定向的共享驱动器，并将其内容保存在攻击者机器的本地，从而实现无缝数据外渗。”
“Earth Koshchei 在间谍活动中不断使用新方法。他们不仅密切关注有助于他们获得初始访问权的新旧漏洞，还关注红色团队开发的方法和工具。”
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容