年度盘点 | 2020重大网络安全事件 · 政府篇

2020年1月16日，韩国安全厂商称发现了借助“朝鲜中央委员会全体会议”、“2020年东京残奥会”等话题传播的恶意木马，并根据木马特点判断为 Konni 组织使用。研究发现，此次捕获的两份恶意文档作者均为“Georgy Toloraaya”，内部标准代码页为韩文，投递的木马与 Konni 组织常用木马框架基本一致，且均会通过 FTP 回传窃取数据，因此将此次活动归因为该组织。此外，Unit42 于2020年1月23日公布了 Konni 组织在2019年期间针对美国政府发起的多次钓鱼攻击，攻击手法及投放木马与近期攻击活动吻合。

参考链接：

以色列国防军发言人透露，以色列国防军和以色列安全局近期联合打击了一起 Hamas 组织针对以色列士兵的网络攻击活动。攻击程序伪装成 GrixyApp、ZatuApp 和 Catch＆See 约会应用程序，攻击者在 Facebook、Instagram、WhatsApp 和 Telegram 平台上向以色列士兵发送消息，诱使他们下载恶意程序。一旦下载并执行了恶意程序，它会提示一个错误，说明设备无法支持，应用程序将自动卸载，而实际上应用程序并没有卸载，只是隐藏了图标。该恶意软件收集关键设备信息（IMSI 和电话号码、已安装的应用程序、存储信息），然后将收集到的数据全部发送给 C2 服务器。这些恶意软件还会注册为设备管理员，并请求访问设备的相机、日历、位置、SMS 数据，联系人列表和浏览器历史记录的权限。最危险的是，该恶意软件还具有下载和执行远程 .dex 文件扩展其恶意功能的能力。

在这轮攻击活动中使用的战术、技术和程序（TTP）与以前 APT-C-23 攻击中使用的类似，安全人员最终将其归因为 APT-C-23 组织。

参考链接：

2020年3月3日，业界厂商发布报告，称发现了美国中央情报局 CIA 攻击组织（APT-C-39）对中国关键领域长达 11 年的网络渗透攻击，经分析验证，此组织即 Lamberts 组织。3月5日，微步在线发布《CIA 下属网络间谍组织 Lamberts 相关木马分析》。Lamberts 攻击活动跨度从2008年9月至2019年6月，我国航空航天、科研机构、石油行业、大型互联网公司以及政府机构等多个单位遭到不同程度的攻击，受害者主要分布在北京、广东和浙江等地。此外，通过情报关联，发现 CIA 前雇员 Joshua Adam Schulte 曾直接参与研发了网络武器 Vault7，且攻击时间吻合，进一步证明攻击来源为 CIA。

参考链接：

https://mp.weixin.qq.com/s/fvLtqf9z0atCuNoOYg3hAg

隶属于俄罗斯安全情报部门的 APT 组织 Gamaredon 近年来一直针对乌克兰境内军、政、法、外交等领域展开攻击，存在明显的军事和政治攻击意图，Gamaredon 一直在原有的技术基础上为攻击的隐蔽性做优化演变，以及为攻击目的需求做工具完善。

参考链接：

https://x.threatbook.cn/nodev4/vb4/article?threatInfoID=2800

2020年8月27日，微步情报局监测发现白象 APT 组织对我国进行网络攻击的鱼叉网络攻击样本。投递诱饵文件名为“中印边境争端.docx”，攻击载荷通过利用 CVE-2017-0261 EPS 漏洞实现恶意软件释放执行，通过白利用侧加载、进程注入等技术之后执行 Badnews 后门特马，对目标用户进行窃密监听。与此同时，白象 APT 组织采用完全一致的攻击手法对巴基斯坦相关军政单位发动定向网络攻击。

“蔓灵花”组织自今年年初借疫情对我国相关政企目标发动攻击以来就异常活跃，从7月至今，该组织更是加大攻击规模和攻击频次，有针对性地攻击我国和巴基斯坦的多个组织、政府机构。近期国内安全公司对“蔓灵花”此次大规模攻击进行了披露，与以往的 APT 攻击手法不同，本次采用多种社会工程学攻击手段对目标受害者的邮箱进行钓鱼攻击，针对部分重点目标还会投递伪装成会议文件或软件的恶意载荷。在本次攻击活动中还发现，“蔓灵花”首次利用 LNK 文件作为攻击入口，从远程获取 MSI 文件执行，最终释放执行 .NET 恶意软件窃取受害者机器敏感信息。

FBI 和 CISA 联合发布警报称，俄罗斯 APT 组织 Berserk Bear 攻击美国政府并窃取了数据。Berserk Bear又称 Energetic Bear、TeamSpy、Dragonfly、Havex、Crouching Yeti、Koala，至少从2020年9月开始，以美国数十个州、地方、部落和领土（SLTT）的政府和航空网络为目标，试图入侵多个 SLTT 组织，已成功入侵网络基础设施。截至2020年10月1日，至少从两台受害者服务器中窃取了数据，包括敏感的网络配置和密码、标准操作程序（SOP）、IT 指令、供应商和采购信息、打印访问徽章。但目前尚无任何信息表明该 APT 组织有意破坏了任何航空、教育、选举或政府运作。

https://us-cert.cisa.gov/ncas/alerts/aa20-296a

最近，美国大选投票开始。在围绕选举进行的虚假信息调查中，Trustwave SpiderLabs 团队发现了包含美国选民和消费者的详细信息的庞大数据库在多个黑客论坛上出售。美国选民数据库的卖方声称该数据库包含1.86亿条记录，如果属实，则意味着它包含了美国几乎所有选民的信息。在选民数据库中找到的信息可用于进行有效的社会工程骗局和散布虚假信息可能会影响选举，尤其是在摇摆州。据称，美国消费者数据库包括2.45亿条记录，几乎相当于美国的全部人口。

# 2020全球重大网络安全事件盘点·能源篇

# 2020全球重大网络安全事件盘点·互联网篇

# 2020全球重大网络安全事件盘点·工控篇

“2020全球重大网络安全事件盘点·医疗&教育篇”将于下期发布，敬请持续关注。