網(wǎng)絡(luò)安全公司趨勢科技(Trend Micro)發(fā)現(xiàn)了名叫Confucius的網(wǎng)絡(luò)犯罪團伙最近進行的惡意活動。黑客們利用臭名昭著的以色列Pegasus(飛馬惡意軟件)誘餌發(fā)起了一場釣魚活動，欺騙用戶點擊下載數(shù)據(jù)盜竊代碼的惡意文件。

攻擊以一封干凈的電子郵件開始，其中包含從巴基斯坦合法報紙文章中復(fù)制的文字。兩天后，受害者收到一封新的電子郵件，其中包含冒充巴基斯坦軍方官員關(guān)于PegASUS間諜軟件的警告，其中包括一個cutt.ly鏈接到加密的Word文檔和一個解密密碼。

無論受害者采取什么行動，點擊其中任何一個鏈接都會下載Word文檔。如果目標人物輸入了電子郵件中的密碼，電腦屏幕上就會出現(xiàn)一個帶有宏的文檔。如果該特定機器上啟用了宏，下一步就是簡單地加載惡意代碼。一個名為skfk.txt的.NET DLL文件就會在臨時目錄中被創(chuàng)建，該文件包含文檔注釋欄的材料。PowerShell被用來將該文件加載到內(nèi)存中，并用于竊取數(shù)據(jù)。

簡單地說，當(dāng)列出的擴展名的MD5哈希值匹配時，該文件就會通過C&C服務(wù)器被檢索出來。沒有列出的文件被保存到同一C&C服務(wù)器的不同文件夾，使用機器名對應(yīng)用戶名字符串。

“Confucius”網(wǎng)絡(luò)犯罪團伙過去曾使用幾個文件竊取工具對巴基斯坦軍隊進行網(wǎng)絡(luò)間諜攻擊。開發(fā)者在創(chuàng)建惡意文件時使用創(chuàng)新技術(shù)，其中一些技術(shù)包括使用加密文件來防止自動分析，或?qū)⒂泻Υa隱藏在評論部分。