数千工业组织的企业电子邮件账户失窃，被滥用进行下一次攻击

发布日期：2022-02-11

2021 年，卡巴斯基的工控安全专家注意到工控环境计算机上检出间谍软件的统计数据中存在部分异常。尽管这些攻击中使用的恶意软件都属于知名的商业间谍软件（如AgentTesla/Origin Logger、HawkEye、Noon/Formbook、Masslogger、Snake Keylogger、Azorult、Lokibot 等），但这些攻击的目标极其有限且每个样本的生命周期都非常短。如下图红色矩形所示：

恶意样本检出数量与发现时间

这些攻击的生命周期通常在 25 天左右，且攻击的计算机数量不超过 100 台。其中 40-45% 是工控环境下的计算机，其余为同一组织的其他 IT 基础设施。

在 2021 年上半年时，全球工控环境计算机上被检出的所有间谍软件样本约有 21.2% 也属于此类攻击的范畴。并且根据地域的不同，有多达六分之一的计算机受到此类攻击。

这些表现出“异常”的恶意样本，大多都使用基于 SMTP（而非 FTP/HTTP）的 C&C 信道进行单向数据传说，这意味攻击者的目标就是窃取数据。

异常样本与全部样本的对比

卡巴斯基认为，窃取的数据主要被攻击者用来在失陷组织内进行横向平移或者是用来攻击其他组织。攻击者会利用之前攻陷的组织的邮箱作为发起新攻击的 C&C 服务器。在同类攻击中，发现了大量的攻击都是通过伪装成难以检测的钓鱼邮件发起的。攻击者就滥用企业邮箱的联系人信任发起攻击，从一个工业企业传播到另一个工业企业。