谢天

摘要 ：本文主要研究黑客组织最近一次使用apt黑客工具对某政府目标组织实施分析的过程及其技术细节，通过分析过程我们可以了解黑客最新的攻击技术手段并以此思考在防御端可以加强的方面， 这个APT活动代表了攻击技术的变化，APT活动在来年将继续增加，需要我们继续投入更多的精力进行分析和防御以保障国家的信息安全

关键词： APT攻击；钓鱼邮件；远程访问木马

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2017）05-0049-02

1 概述

最近某黑客组织开始使用称为ZeroT的新下载程序安装PlugX远程访问木马（RAT），并添加了Microsoft编译的HTML帮助（.chm）作为鱼叉式网络钓鱼电子邮件中提供的初始droppers之一，他们使用上述木马病毒对欧洲某国的政府目标进行了攻击，通过杀毒软件公司我拿到了样本并对其进行了分析，了解了APT攻击行为的交付细节，并描述了与此团体相关联的策略，技术和过程（TTP）的其他更改。

2 行动过程

在以前的活动中，该组织使用钓鱼网络钓鱼电子邮件，邮件附件使用Microsoft Word文档并利用CVE-2012-0158或用URL链接到RAR压缩的可执行文件。 虽然这些行为模式中的一些仍然继续，在2016年6月的新样本中观察到攻击者使用一种新型的拖放器提供以前未知的恶意软件，暂时命名为“ZeroT”。具体来说，CHM文件20160621.chm释放了第一个已知的ZeroT样本。Microsoft HTML帮助文件格式（CHM）用于一种软件文档格式，可能由HTML页面和其他压缩文件组成。 这个特定的CHM包含HTM文件和可执行文件。 HTM文件包含向用户显示的文本，并引用可执行文件svchost.exe。因此，打开CHM具有运行可执行文件的效果（UAC对话框如图1所示）。……