双尾蝎是一个长期针对中东地区的高级持续威胁组织,其最早于2017年被披露。近日,研究人员捕获到了该组织的一款新型恶意样本,其在使用经典武器库的同时,集成了最新的开源Android RAT武器库,借助SMS和FCM服务,实现了复合型的更强的远程控制功能。
APT-C-23(双尾蝎)又被称为AridViper 、Micropsia、FrozenCell、Desert Falcon,攻击范围主要为中东地区相关国家的教育机构、军事机构等重要领域。研究人员关联到了双尾蝎与之前攻击不太相同的活动,此次攻击行动直接把商业RAT伪装成Threema诱使用户点击打开,Threema是瑞士开发的一款付费的开源端到端加密即时通讯应用程序。
APT-C-23是一个讲阿拉伯语且具有政治动机的APT组织,与哈马斯(伊斯兰抵抗运动)有关,攻击活动主要针对中东讲阿拉伯语的个人。 研究人员最近发现了一项针对以色列个人的新的精心策划的活动,目标为在国防、执法、紧急服务和其他政府相关组织工作的知名官员。该攻击涉及一个虚假消息应用程序(称为VolatileVenom)、一个下载程序(称为Barbie Downloader)和一个后门程序(BarbWire Backdoor),目的疑似是为了进行间谍活动。活动初始感染链如下图:
双尾蝎(APT-C-23)是一个长期针对中东地区的高级持续威胁组织,最早于2017年被披露。研究人员捕获了该组织以Python构建的攻击样本,该类样本最早由国外厂商发现并命名为PyMICROPSIA。 简况PyMICROPSIA具有丰富的信息窃取和控制功能,功能包括:收集本机/外置驱动文件列表、进程信息压缩被盗信息及被盗文件/文件夹,并上传至C2截屏、录音、执行shell命令、重启、自更新payload下载与执行删除压缩文件、历史浏览记录以及配置文件 双尾蝎一直以来喜欢用演员或者编剧的名字来给变量进行命名,PyMICROPSIA也不例外,其对C2以及一些变量的命名,依旧延续了其使用人名的传统。而在流程方面,本次捕获的PyMICROPSIA首先连接google.com对网络联通性进行判断,只有在返回200的状态码后才会进行后续操作,否则一直循环连接,这样做可以对一些沙箱进行规避操作,进而导致沙箱误判。
双尾蝎组织(APT-C-23)是一个长期针对中东地区的高级威胁组织,最早于2017年被披露。至少自2016年5月起,持续针对巴勒斯坦教育机构、军事机构等重要领域进行网络间谍活动,窃取敏感信息。近日,研究人员发现了以巴勒斯坦地区选举话题为诱饵的攻击样本。 简况本次捕获的样本为RAR压缩的文件,其文件名翻译后为“大学的报告.docx.xz”。解压后里面包含一个伪装为Word图标的EXE文件,且具有较长的文件名,旨在不显示文件后缀。 样本执行后将从资源获取诱饵文档释放展示,诱饵文档内容主要是关于针对巴勒斯坦选举活动举行的地点商议,其中涉及到各方势力及强宗教信息。属于中东地区双尾蝎、Molerats等组织在攻击活动中的常用话题。
2021年9月,研究人员发现APT-C-23组织使用Android间谍软件针对中东地区用户的攻击活动。近日,该组织再次改进了其 Android 间谍软件,增强了功能,使其更隐蔽、更持久。 简况移动间谍软件名为VAMP,(又名FrozenCell、GnatSpy和Desert Scorpion),至少自 2017 年以来一直是 APT-C-23 组织的首选工具。新变种以应用程序的形式出现,声称可以在目标手机上安装更新。这些应用程序都没有托管在 Google Play 商店中,因此研究人员怀疑这些应用程序是通过 SMS 短信发送给特定用户的。间谍软件应用程序最初的图标如下图:
近日,研究人员发现 APT-C-23 (又名“双尾蝎”)组织使用 Android 恶意软件变种针对中东地区的用户,其分发机制是通过网络钓鱼或通过伪造的 Android 应用进行分发,此应用有一个与 Telegram 应用程序类似的图标,该恶意软件可以从受感染设备窃取敏感信息,例如联系人数据、短信数据和文件。 简况 APT-C-23 组织使用的恶意软件变体自称为Google_Play_Installer7080009821206716096,该应用欺骗用户,让其觉得该应用是与 Google Play 相关的 APK。
近日,研究人员捕获了APT-C-23的多起攻击样本,捕获的样本包括伪装成政治热点、教育相关的可执行文件诱饵,以及伪装成微软图像处理设备控制面板程序(ImagingDevices.exe),此类样本运行后,将会释放展示正常的诱饵以迷惑受害者,同时后门将继续在后台运行以窃取受害者计算机敏感信息。简况APT-C-23是一个长期针对中东地区的高级威胁组织,最早于2017年被披露。至少自2016年5月起,持续针对巴勒斯坦教育机构、军事机构等重要领域进行网络间谍活动,以窃取敏感信息为主的网络攻击组织,开展了有组织,有计划,有针对性的攻击。
近日,cado安全公司发现APT-C-23组织针对中东地区的最新间谍活动,旨在对目标进行监视。该组织通过语音转换软件伪装成女性,随后生成音频消息与目标对话,目的是发送带有恶意软件的视频以感染目标系统。APT-C-23组织的成员均为男性,该组织之前就通过冒充女性来诱骗目标安装恶意的应用程序,一旦下载了应用程序,它就能使攻击者完全控制手机:包括将文件传输到C2服务器,允许访问手机的数据、SMS消息、联系人、麦克风和相机等功能。研究人员在2020年审查该组织提供恶意软件的服务器时,由于配置错误,导致研究人员可访问该组织的攻击工具集,该工具集包含以下文件:
近日,研究人员捕获到多起APT-C-23(双尾蝎)组织利用选举话题针对巴勒斯坦国的攻击活动,当地时间1月15日,巴勒斯坦总统阿巴斯宣布了该国举行全面大选的日期。巴勒斯坦立法委员会选举、总统选举和巴勒斯坦全国委员会选举将分别于5月22日、7月31日和8月31日举行。在巴勒斯坦选举活动下,双尾蝎组织利用相关政治内容制作诱饵文档,针对特定目标受害者进行鱼叉式钓鱼攻击。攻击活动以“总统和领导层在选举中的立场以及有关法令的建议”和“开幕式和选举权”等选举相关时事热点为话题,对目标受害者进行鱼叉式钓鱼攻击。 诱饵内容截图