俄罗斯 APT28 黑客组织针对能源与政策机构发起凭证窃取行动
HackerNews 编译，转载请注明出处： 俄罗斯国家支持的黑客组织近日被指参与了一系列新的凭证窃取攻击，目标包括土耳其一家能源与核研究机构的相关人员，以及一家欧洲智库、北马其顿和乌兹别克斯坦相关组织的员工。 Recorded Future旗下的Insikt Group表示：”攻击中使用了土耳其语及针对特定地区的诱饵材料，这表明BlueDelta（即APT28）通过定制内容来提升其对特定专业和地理目标群体的可信度。这些目标选择反映出该组织持续对能源研究、国防合作以及与俄罗斯情报重点相关的政府通信网络保持兴趣。” 网络安全公司将攻击描述为：在2025年2月和9月，针对一小部分特定受害者发起攻击。该行动利用仿冒Microsoft Outlook Web Access（OWA）、Google和Sophos VPN门户等流行服务的虚假登录页面。该攻击的特别之处在于：受害者在虚假登录页输入凭证后，会被重定向至合法网站，从而避免引起任何警觉。攻击活动还被发现大量使用Webhook[.]site、InfinityFree、Byet Internet Services和ngrok等服务来托管钓鱼页面、窃取数据并实现重定向。 为增加可信度，攻击者据称使用了合法的PDF诱饵文件，包括一份海湾研究中心发布的与2025年6月伊朗-以色列战争相关的出版物，以及一份由气候变化智库ECCO于2025年7月发布的呼吁达成新地中海协议的简报。 攻击链始于包含短链接的钓鱼邮件。点击后，受害者会被重定向至托管在webhook[.]site上的另一个链接，该链接会短暂显示诱饵文档约两秒，然后重定向至第二个托管着仿冒Microsoft OWA登录页面的webhook[.]site链接。该页面包含一个隐藏的HTML表单元素，用于存储webhook[.]site URL，并利用JavaScript发送”页面已打开”信号、将提交的凭证传输到webhook端点，最终重定向回托管在真实网站上的PDF文档。 此外，还观察到APT28发起的另外三起攻击活动： 2025年6月活动：部署模仿Sophos VPN密码重置页面的凭证窃取页面，利用InfinityFree提供的基础设施窃取表单中输入的用户凭证，并将受害者重定向至一家未具名的欧盟智库的合法Sophos VPN门户。 2025年9月活动：使用托管在InfinityFree域名上的凭证窃取页面，虚假警告用户密码已过期，诱骗其输入凭证，并重定向至与北马其顿共和国某军事组织和乌兹别克斯坦某IT集成商相关的合法登录页面。 2025年4月活动：使用托管在Byet Internet Services上的虚假Google密码重置页面收集受害者凭证，并将其窃取至一个ngrok URL。 报告总结道：”BlueDelta持续滥用合法的互联网服务基础设施，表明该组织仍然依赖一次性服务来托管和传输凭证数据。这些攻击活动凸显了GRU（俄罗斯联邦武装部队总参谋部情报总局）将持续的凭证窃取作为一种低成本、高收益的信息收集方法，以支持俄罗斯的情报目标。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文