APT29组织针对欧盟国家及其外交系统（包括波兰驻美国大使的外交系统）发起了新的攻击活动。此特定活动的感染媒介是包含武器化文档的有针对性的网络钓鱼电子邮件。恶意文档包含一个指向 HTML 文件下载的链接。

从 2023 年 2 月中旬开始，APT29组织针对与欧盟委员会成员相关的多个电子邮件地址展开鱼叉式网络钓鱼活动。该攻击涉及分发恶意 .iso 映像，其中包含VaporRage下载程序的新样本。一旦执行，恶意软件就会利用Notion API部署Cobalt Strike信标。针对欧盟委员会的攻击的执行流程如下图：

俄罗斯APT29间谍组织利用了一个称为 "凭证漫游"的Windows功能，对欧洲外交实体发起攻击。APT29组织在受害者网络内处于活动状态的短时间内，针对Active Directory系统执行了大量具有非典型属性的 LDAP 查询。查询的 LDAP 属性与通常的凭证信息收集有关，还包含Active Directory鲜为人知的功能的一部分：凭据漫游。凭据漫游是在 Windows Server 2003 SP1 中引入的，允许用户以安全的方式在Windows域的不同工作站中访问他们的凭证（即私钥和证书）。

EnvyScout是俄罗斯APT29组织使用的恶意软件，通过HTML文件释放包含后续恶意载荷的ISO文件。近期，研究人员捕获到EnvyScout攻击样本，该样本释放的ISO文件中包含LNK文件以及设置了文件隐藏属性的PE文件，通过LNK文件启动其中的正常EXE，进而以侧加载方式执行恶意DLL。恶意DLL利用团队协作通信服务Slack作为C&C信道，获取后续载荷并执行。邮件与PDF均使用意大利语，内容是要求机构部门人员完成COVID-19疫苗接种的通知，钓鱼邮件使用意大利政府域名进行伪装，因此可以认为此次攻击目标位于意大利。样本攻击流程如下所示：

俄罗斯APT29组织（又名Nobelium或Cozy Bear）发起了一项新的网络钓鱼活动，该活动利用Google Drive和Dropbox等云存储服务在受感染的系统上传递恶意负载。在2022年5月至2022年6月期间，该活动针对多个西方外交使团，活动中的诱饵表明，攻击者的目标是外国驻葡萄牙大使馆和外国驻巴西大使馆。钓鱼文档中的链接指向面向 Internet 的 Web 服务器，该服务器托管名为Agenda.html的文件，该文件为EnvyScout，用于进一步感染目标。活动概览如下图：

Cozy Bear组织又名Nobelium、APT29、The Dukes，是一个俄罗斯APT组织，主要针对西方政府和相关组织，特别关注政府、外交官、政治和智库部门。研究人员分析了几个与Cozy Bear相关的鱼叉式网络钓鱼活动，这些活动通过签名软件（如Adobe 套件）和合法的 Web服务（如Dropbox）作为命令和控制(C&C) 的通信载体，以规避自动分析软件的检测。

近日，研究人员披露了一个Nobelium组织的样本，文档伪装成以色列大使馆的文件，原始名称为“Ambassador_Absense.docx”。打开文档并激活内容时，会启动 HTA 脚本，调用一段 JS，该脚本具有解密并运行可执行库的功能。启动后，恶意代码会收集系统的数据，并将详细信息发送到远程服务器。

2022年5月3日，研究人员发布报告，介绍了俄罗斯国家支持的APT组织 NOBELIUM（APT29组织）使用的SOLARDEFLECTION基础设施。SOLARDEFLECTION C2 广泛使用仿冒域名，倾向于效仿各种媒体、新闻和技术提供商。潜在有害的域名注册和域名抢注可能导致鱼叉式网络钓鱼活动或重定向，从而对公司的品牌或员工构成更高的风险。

俄罗斯APT29组织（又名Cozy Bear 或 Nobelium）正针对外交官和政府实体发起网络钓鱼活动。电子邮件伪装成与各个大使馆相关的行政通知，滥用 Atlassian Trello 和其他合法的云服务平台来进行C2通信。 邮件包含一个名为 ROOTSAW（又名EnvyScout）的 HTML dropper 附件，当打开该附件时，会在目标系统上传递并执行一个名为 BEATDROP 的下载器。APT29组织还使用了一个名为 BOOMMIC（又名VaporRage）的工具，用于在环境中建立立足点并提升权限，以进行横向移动和对主机的广泛侦察。2022年2月该组织在后续操作中从BEATDROP转向使用基于C++的加载程序“BEACON”。BEATDROP的执行链如下：

1月27日，研究人员披露了StellarParticle活动的攻击细节，该活动与APT29组织有关。在最新的调查活动中，研究人员在受害者系统上发现了 GoldMax 的Linux版本变体和 TrailBlazer 恶意软件。这两种威胁至少自 2019 年年中以来就已在 StellarParticle 活动中使用，但在两年后的事件响应调查中才被发现。 简况APT29组织也被称为 CozyBear、The Dukes 和 Yttrium，该组织已经开展网络间谍活动超过 12 年。研究人员对于 StellarParticle 活动利用的新颖策略和技术进行了分析。这些技术包括：