微软威胁情报中心 (MSTIC) 称，SolarWinds 供应链攻击幕后的俄罗斯黑客组织瞄准全球各政府机构，发动钓鱼攻击活动。
MSTIC 披露称，“本周我们发现威胁行动者 Nobelium 攻击各政府机构、智库、咨询机构和非政府组织机构。这波攻击针对位于150多个不同组织机构的3000多份邮件账户。虽然遭受攻击范围最广的是位于美国的组织机构，但受害者至少遍布24个国家。”
利用USAID 邮件营销账户发送钓鱼邮件
微软称这起攻击的幕后黑手是 Nobelium，可能受俄罗斯政府支持，它利用 USAID 受陷的 Constant Contact 账户（合法的邮件营销服务）发送钓鱼邮件。
这起攻击活动始于2021年1月，慢慢形成一系列攻击活动，在本周关于 USAID 主题的钓鱼活动中达到高潮。
网络安全公司 Volexity 发布报告，基于该组织在2018年使用的技术，将这起钓鱼活动和俄罗斯对外情报局 (SVR) 的操纵者（被称为 APT29、Cozy Bear 和 The Dukes）。
Nobelium 组织的感染链和恶意软件交付技术在这些攻击活动中在发展，攻击者将包含 HTML 附件的鱼叉式钓鱼活动信息将 ISO 文件释放到受害者的硬盘驱动中。
之后，受害者被诱骗打开其中的文件，执行捆绑在该文件中或存储在 ISO 图像中的 DLL，将 Cobalt Strike Beacon 加载在系统上。
微软指出，“如果受攻击设备是 Apple iOS 设备，则用户被重定向到受 NOBELIUM 控制下的另一台服务器，从而利用已修复 0day (CVE-2021-1879) 的exploit。成功部署这些 payload 可使 NOBELIUM 实现对已受陷系统的可持续访问权限。之后，成功执行这些恶意payload 可使 NOBELIUM 组织进行横向移动、数据提取和恶意软件交付等操作。”
SolarWinds 黑客
2020年12月，SolarWinds 网络管理公司遭网络攻击，使攻击者发动针对该公司客户的供应链攻击活动。
SolarWinds 事件幕后黑客针对客户群发动攻击，包括美国财富500强公司中的至少425家企业、美国十大通信公司、美国陆军所有分支、五角大楼、NASA、NSA、邮政服务、司法部以及美国总统办公室。
今年3月份，SolarWinds 称SolarWinds 供应链攻击至少花费350万美元，下一个财务期间可能会造成更多成本。其幕后黑手被称为 Nobelium（微软）、NC2452（火眼）、StellarParticle (CrowdStrike)、SolarStorm (Palo Alto Unit 42) 和 Dark Halo (Volexity)。
美国政府正式指责俄罗斯对外情报局（被称为 APT29、The Dukes 或 Cozy Bear）为幕后黑手，执行“大规模网络间谍活动”。今年2月份，微软表示，SolarWinds 黑客从数量有限的 Azure、Intune 和 Exchange 组件中下载了源代码。
具体报告可见：https://www.microsoft.com/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/
原文链接
https://www.bleepingcomputer.com/news/security/microsoft-russian-svr-hackers-target-govt-agencies-from-24-countries/
声明：本文来自代码卫士，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
