GhostCall恶意软件活动
网络安全研究人员发现了一项针对 Web3 和区块链领域的复杂攻击活动，该活动被追踪为 GhostCall。此次行动是与朝鲜有关联的名为 SnatchCrypto 的更广泛计划的一部分，该计划至少从 2017 年就开始活跃。此次威胁归因于 Lazarus Group 的子集群 BlueNoroff，该集群还有多个别名，包括 APT38、CageyChameleon、CryptoCore、Genie Spider、Nickel Gladstone、Sapphire Sleet 和 Stardust Chollima。
该攻击活动的受害者已在日本、意大利、法国、新加坡、土耳其、西班牙、瑞典、印度和香港的多台 macOS 主机上被发现。
目录
复杂的社会工程和网络钓鱼技术
GhostCall 主要针对科技公司和风险投资公司高管的 macOS 设备。攻击者通过 Telegram 等平台直接联系目标用户，邀请他们参加在类似 Zoom 的钓鱼网站上举办的投资相关会议。
攻击的关键方面：
- 受害者接听的虚假电话中包含的是其他受害者的真实录音，而不是深度伪造的录音。
- 通话过程中，恶意脚本会提示用户“更新”Zoom或Teams。
- 该脚本下载 ZIP 文件，从而在宿主上启动多阶段感染链。
该攻击活动自 2023 年年中开始活跃，很可能是在 RustBucket 攻击活动之后，该活动标志着该组织战略转向以 macOS 为目标的攻击。随后部署的恶意软件家族包括 KANDYKORN、ObjCShellz 和 TodoSwift。
欺骗性的虚假 Zoom 和 Teams 页面
目标用户一旦进入 GhostCall 钓鱼页面，最初会看到一个看似正在进行的通话，但很快就会触发错误信息。该信息提示用户下载 Zoom 或 Teams 软件开发工具包 (SDK) 才能继续通话。
- 在 macOS 系统中，点击“立即更新”会下载恶意 AppleScript 脚本。
- 在 Windows 系统中，攻击者利用ClickFix 技术执行 PowerShell 命令。
- 攻击者会跟踪用户与虚假网站的每一次互动，从而监控受害者的行为。
该活动随后从 Zoom 扩展到 Microsoft Teams，利用 TeamsFx SDK 下载继续传播病毒。
恶意软件和感染链
无论使用何种平台，AppleScript 都会安装伪造的 Zoom 或 Teams 应用，并下载 DownTroy，后者会从密码管理器中窃取密码，并安装具有 root 权限的其他恶意软件。GhostCall 利用八种不同的攻击链，其中包括：
ZoomClutch / TeamsClutch – 基于 Swift 的植入程序，伪装成 Zoom 或 Teams；提示输入系统密码以进行数据外泄。
DownTroy v1 – 基于 Go 的下载器启动基于 AppleScript 的 DownTroy 来下载额外的脚本，直到重启。
CosmicDoor – C++ 加载器 (GillyInjector) 注入 Nim 后门；能够破坏性地擦除文件；下载 SilentSiphon。
RooTroy – Nimcore 加载器注入 Go 后门，用于设备侦察和恶意软件执行。
RealTimeTroy – Nimcore 加载器注入 Go 后门；通过 WSS 协议进行文件和系统控制通信。
SneakMain – 通过 Nimcore 加载器执行的 Nim 有效载荷，用于运行额外的 AppleScript 命令。
DownTroy v2 – CoreKitAgent dropper 启动基于 AppleScript 的 DownTroy (NimDoor) 来检索其他脚本。
SysPhon – 源自 RustBucket 的 C++ 下载器；用于侦察和二进制文件检索。
此外，SilentSiphon还会从以下来源收集敏感数据：
- 苹果备忘录、Telegram、网页浏览器扩展程序、密码管理器
- 开发者和云平台：GitHub、GitLab、Bitbucket、npm、Yarn、Python pip、RubyGems、Rust cargo、.NET NuGet、AWS、Google Cloud、Microsoft Azure、Oracle Cloud、Akamai、Linode、DigitalOcean、Vercel、Cloudflare、Netlify、Stripe、Firebase、Twilio、CircleCI、Pulumi、HashiCorp
- 区块链平台：Sui、Solana、NEAR、Aptos、Algorand
- 系统工具：Docker、Kubernetes、OpenAI
通过伪造会议进行侦察
虚假会议中的视频流由攻击者录制，而参会者的个人资料图片则来自 LinkedIn、Crunchbase 或 X（Twitter）等专业社交网络。部分图片经过 GPT-4o 增强处理，使社交工程骗局更具真实感。
GhostCall 事件体现了针对 Web3 和风险投资领域高管的网络威胁的演变，它结合了先进的社会工程学、跨平台恶意软件和复杂的数据窃取技术。保持警惕并采取多层防御措施对于应对这些与朝鲜有关的攻击至关重要。
