神秘组织利用WinRAR最新漏洞，俄方政府再遭网络攻击

最近，安恒猎影实验室在日常的网络狩猎中成功捕获了多个针对俄罗斯、白俄罗斯政府及国防部门的攻击样本。通过仔细的样本分析和追溯，我们发现这些攻击事件共享相同的攻击组件和模式，因此我们确定该类攻击背后的幕后黑手为同一组织。鉴于该组织攻击手法的独特性，我们将该组织命名为“骷髅狼”(Skeleton Wolf)，猎影实验室内部追踪代号为“APT-LY-1008”。

根据此次捕获的攻击样本我们发现“骷髅狼”组织具有以下特征：

1. 目前已发现的该组织攻击目标包括俄罗斯、白俄罗斯的政府、国防部门。

2. 使用WinRAR最新漏洞(CVE-2023-38831)执行恶意指令，具有很强的隐蔽性。

3. 最终加载基于Mythic平台的Athena后门，该后门支持执行各类恶意指令。

如仿冒“俄罗斯工业和贸易部”下发通知，具体内容与俄罗斯国防部相关

该组织使用的攻击样本具有高度的一致性，下图展示了其主要攻击流程：

东欧地区一直以来都是地缘政治竞争的焦点，俄乌战争更加剧了各个国家间的冲突，网络空间的冲突作为现实冲突的延续，往往更加激烈且难以察觉。“骷髅狼”组织具有高度专业化的技术水平，不仅擅长制作精良的诱饵，并且能够成熟地利用最新漏洞，同时使用专业的渗透测试平台，极有可能代表着国家级或高度组织规模的攻击团队。

此外这也是我们第一次发现APT组织攻击者使用基于Mythic平台的后门进行攻击，Mythic平台是一个功能强大的工具，其操作相对简单，具备多款强大的后门工具，这使得攻击者能够轻松进行高度复杂的攻击操作。同时，Mythic平台具有很高的可定制性，不得不怀疑，这个攻击组织在未来的攻击中可能会采用其他不同的后门工具。