事件
邮件标题为“《주요기사》 김정은원수님께서 이란이슬람공화국 제1부대통령에게 조전을 보내시였다”，翻译成中文为“《主要新闻》元帅向伊朗伊斯兰共和国第一副总统致电”，邮件正文内容如下：
中文翻译如下:
攻击者以半岛某国的视角向伊朗因意外事故去世的总统表示哀悼，邮件正文中还引用了某个报纸网站的文章链接。通过对0day触发代码进行解密，我们最终确认攻击者归属于我们多次在年报中[1][2]提到的APT-Q-15组织。
技术细节
当受害者在特定情境下打开邮件时瞬间触发利用代码，将Cookie上传到C2服务器上，攻击者可以快速的获取受害邮箱中的联系人和所有邮件。由于收件人被删除，我们无法得知具体的受害信息。但是APT-Q-15和APT37作为两个同一语种不同地区的威胁行为团体，攻击目标互为镜像。
|
威胁团体画像 |
APT37 |
APT-Q-15 |
|
攻击目标 |
中韩贸易人员和在中朝鲜人 |
中朝贸易人员和在韩国的中国企业 |
|
攻击手法 |
通用鱼叉 |
0day鱼叉 |
|
攻击节奏 |
持续社工寻求长期控制 |
攻击周期短，使用0day快速获取数据 |
|
TTP水平 |
多段下载者，部分手法模仿APT-Q-15 |
首次使用多种类型的新技术绕过杀软 |
目前移动端杀毒软件的用户安装率呈下降趋势，针对该平台的高级威胁变得越来越难以检测。然而，与过去相比，针对移动端的攻击需求和攻击频率呈现上升趋势，这将不可避免地扩大攻防之间的差距。
红雨滴沙箱介绍
总结
IOC
参考链接
[2].https://ti.qianxin.com/uploads/2023/03/20/396eaf4482e610119ce0cdcd7526c945.pdf
点击阅读原文至ALPHA 7.0
即刻助力威胁研判
原文始发于微信公众号（奇安信威胁情报中心）：沙箱捕获！APT-Q-15利用地缘政治话题投递0day利用邮件
