事件
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/0-1721348894.png)
邮件标题为“《주요기사》 김정은원수님께서 이란이슬람공화국 제1부대통령에게 조전을 보내시였다”,翻译成中文为“《主要新闻》元帅向伊朗伊斯兰共和国第一副总统致电”,邮件正文内容如下:
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/0-1721348896.png)
中文翻译如下:
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/5-1721348899.png)
攻击者以半岛某国的视角向伊朗因意外事故去世的总统表示哀悼,邮件正文中还引用了某个报纸网站的文章链接。通过对0day触发代码进行解密,我们最终确认攻击者归属于我们多次在年报中[1][2]提到的APT-Q-15组织。
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/2-1721348902.png)
技术细节
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/3-1721348904.png)
当受害者在特定情境下打开邮件时瞬间触发利用代码,将Cookie上传到C2服务器上,攻击者可以快速的获取受害邮箱中的联系人和所有邮件。由于收件人被删除,我们无法得知具体的受害信息。但是APT-Q-15和APT37作为两个同一语种不同地区的威胁行为团体,攻击目标互为镜像。
威胁团体画像 |
APT37 |
APT-Q-15 |
攻击目标 |
中韩贸易人员和在中朝鲜人 |
中朝贸易人员和在韩国的中国企业 |
攻击手法 |
通用鱼叉 |
0day鱼叉 |
攻击节奏 |
持续社工寻求长期控制 |
攻击周期短,使用0day快速获取数据 |
TTP水平 |
多段下载者,部分手法模仿APT-Q-15 |
首次使用多种类型的新技术绕过杀软 |
目前移动端杀毒软件的用户安装率呈下降趋势,针对该平台的高级威胁变得越来越难以检测。然而,与过去相比,针对移动端的攻击需求和攻击频率呈现上升趋势,这将不可避免地扩大攻防之间的差距。
红雨滴沙箱介绍
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/10-1721348907.png)
总结
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/6-1721348909.png)
IOC
参考链接
[2].https://ti.qianxin.com/uploads/2023/03/20/396eaf4482e610119ce0cdcd7526c945.pdf
![沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件 沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/6-1721348912.gif)
点击阅读原文至ALPHA 7.0
即刻助力威胁研判
原文始发于微信公众号(奇安信威胁情报中心):沙箱捕获!APT-Q-15利用地缘政治话题投递0day利用邮件