LoptikMod恶意软件
一项归因于 DoNot APT 组织的新攻击活动浮出水面，展示了其使用名为 LoptikMod 的隐秘且持久的恶意软件。该工具已被用于针对欧洲外交部的定向攻击，进一步表明该组织已将重点转向南亚以外的地区。
目录
已知威胁行为者，且影响范围不断扩大
此次攻击活动与 DoNot 团队有关，该团队是一个复杂的高级持续性威胁 (APT) 组织，拥有多个别名，包括 APT-C-35、Mint Tempest、Origami Elephant、SECTOR02 和 Viceroy Tiger。该组织的活动至少可以追溯到 2016 年，有记录显示其曾针对政府机构、外交部、国防实体和非政府组织发动攻击，尤其是在南亚和欧洲。
从历史上看，DoNot APT 曾使用定制恶意软件，特别是 YTY 和 GEdit，通常通过鱼叉式网络钓鱼活动和恶意文档附件进行部署。
引诱目标：以网络钓鱼为切入点
攻击始于一封伪装成合法可信的欺骗性钓鱼邮件。这些邮件通过 Gmail 账户发送，冒充国防官员，邮件主题提到了意大利国防武官访问孟加拉国达卡的消息。值得注意的是，这些邮件采用 HTML 格式，并使用 UTF-8 编码，以正确显示“é”等特殊字符，从而增强了其真实性。
电子邮件中嵌入的 Google Drive 链接会引导用户下载一个 RAR 压缩包。该压缩包包含一个旨在模仿 PDF 文件的恶意可执行文件。打开后，该可执行文件会启动 LoptikMod 的部署。LoptikMod 是一种远程访问木马 (RAT)，至少自 2018 年以来一直由 DoNot APT 独家运营。
LoptikMod恶意软件内部
一旦执行，LoptikMod 就会利用计划任务嵌入到主机系统中，以实现持久化。然后，它会连接到远程命令与控制 (C2) 服务器，执行各种恶意活动。这些活动包括：
- 将系统信息发回给攻击者
- 接收并执行附加命令
- 下载额外的恶意模块
- 泄露敏感数据
为了规避检测并阻碍取证分析，LoptikMod 使用了反虚拟机 (VM) 技术和 ASCII 混淆技术，使安全研究人员难以解析其全部功能。此外，它确保每个设备在任何时候都只运行一个实例，从而防止内部冲突并降低检测的可能性。
当前竞选状态和基础设施
虽然 LoptikMod 本身功能强大且持久，但最近一次攻击中涉及的 C2 服务器目前处于非活动状态。这种非活动状态可能意味着基础设施已被暂时下线、永久关闭或被新的、未被发现的服务器取代。
服务器的非活动状态限制了研究人员分析受感染端点和攻击者之间交换的确切命令和数据的能力。
战略转变迹象：聚焦欧洲目标
DoNot APT 的最新活动显示出演变的迹象。尽管该组织传统上专注于南亚利益，但最近的行动表明其对欧洲外交情报（尤其是与南亚相关的情报）的兴趣日益浓厚。
这一转变可能表明其行动能力增强，情报目标也更加雄心勃勃。该组织的幕僚可能正在寻求了解西方的外交战略、国防政策以及与南亚的国际合作。
关键要点
为了有效缓解此类攻击，组织应首先培训员工识别网络钓鱼攻击，即使邮件看似合法。同样重要的是持续监控系统是否存在任何异常行为，例如意外的计划任务或与陌生服务器的出站连接，这些都可能预示着系统遭到入侵。
此外，实施沙盒和行为分析工具有助于在可疑可执行文件造成危害之前检测并清除它们。保持系统全面修补并整合最新的威胁情报源，可确保已知漏洞得到及时修复。最后，对网络进行分段可以显著降低恶意软件横向传播的风险，从而更有效地遏制潜在的漏洞。
结论：保持警惕至关重要
DoNot APT 组织在欧洲网络间谍活动中部署 LoptikMod，这充分表明了威胁形势的不断演变。随着 APT 组织不断增强其工具并扩大攻击范围，尤其是针对高价值外交资产，各组织必须保持警惕，并积极主动地开展网络安全防御。
