俄罗斯APT组织Earth Koshchei在复杂的RDP攻击中使用红队工具

红队为组织加强安全防御提供了必要的工具和测试方法。网络犯罪分子和高级持续性威胁 (APT) 参与者密切关注红队开发的新方法和工具，他们可能会将其用于恶意目的。

2024 年 10 月，趋势科技跟踪的名为 Earth Koshchei 的 APT 组织（也称为 APT29 和 Midnight Blizzard）可能对众多目标使用了流氓远程桌面协议 (RDP) 攻击方法。这种方法早在 2022 年就由Black Hills Information Security 详细描述过。这种攻击技术称为“流氓 RDP”，涉及 RDP 中继、流氓 RDP 服务器和恶意 RDP 配置文件。这种技术的受害者会将其机器的部分控制权交给攻击者，这可能会导致数据泄露和恶意软件安装。

10 月 22 日，Earth Koshchei 的恶意 RDP 活动达到顶峰，当时鱼叉式网络钓鱼电子邮件被发送给政府和武装部队、智库、学术研究人员和乌克兰目标。这些电子邮件旨在欺骗收件人使用邮件中附带的恶意 RDP 配置文件。打开后，此 RDP 配置文件将指示目标计算机尝试通过 Earth Koshchei 设置的 193 个 RDP 中继之一连接到外部 RDP 服务器。

尽管许多目标组织可能已阻止传出的 RDP 连接，但在某些情况下，RDP 连接仍可能未被阻止；例如，在家庭办公环境或安全措施不太严格的组织中。在攻击设置中，还可以使用非标准端口进行 RDP 中继，从而避开防火墙规则。我们认为，在鱼叉式网络钓鱼电子邮件浪潮之前，曾发生过早期的、非常有针对性的、几乎听不见的活动，这些活动于 10 月 22 日突然结束，最终以一声巨响结束。

微软和亚马逊公开将恶意 RDP 活动归咎于 Midnight Blizzard 和 APT29，我们将其追踪为 Earth Koshchei。虽然我们无法高度自信地将之归咎于 Earth Koshchei，但我们注意到他们在活动中使用了一些典型的策略、技术和程序 (TTP)，我们可以大大扩展微软和Cert-UA迄今为止公开的入侵指标 (IOC) 。

据美国和英国执法部门称， Earth Koshchei 背后的威胁组织据称由俄罗斯对外情报局 (SVR) 资助。Earth Koshchei 的特点是多年来持续以西方国家的外交、军事、能源、电信和 IT 公司为目标，其动机被认为主要是间谍活动。Earth Koshchei 以调整其 TTP 而闻名，过去曾部署过多种技术，如密码喷洒、暴力破解休眠账户和水坑攻击。

在趋势科技的全球威胁情报中，我们发现恶意 RDP 鱼叉式网络钓鱼电子邮件已发送给许多目标，包括军方、外交部、乌克兰的目标和学术研究人员。RDP 活动的规模非常庞大：我们在一天内看到的高调目标数量（约 200 个）与另一个 APT 组织（如 Pawn Storm）在几周内的目标数量大致相同。这并不是 Earth Koshchei 第一次与大规模鱼叉式网络钓鱼活动有关：2021 年 5 月，他们还向数千个个人账户发送了鱼叉式网络钓鱼电子邮件。

早在 8 月 7 日至 8 日，攻击者就开始着手准备此次攻击，当时他们开始注册域名，这些域名的名称表明这些域名将用于攻击与澳大利亚和乌克兰政府有关系的目标。最后一个域名于 10 月 20 日注册，显然是针对与荷兰外交部有联系的组织。在此期间，攻击者注册了近 200 个域名，其中许多域名都表明了攻击者的目标。

本报告旨在详细解释 Earth Koshchei 的 RDP 活动发生了什么，如何使用先前发布的红队方法，描述活动的规模以及使用了哪些匿名层。特别是，我们讨论了攻击的基础设施：我们发现了 193 个被积极用于针对各种组织的域名和 34 个流氓 RDP 后端服务器。在我们的评估中，这 193 个域名充当了 34 个后端的代理，这些后端看起来像是 Earth Koshchei 真正的流氓 RDP 服务器。我们已经看到证据表明，一些疑似流氓 RDP 后端服务器与一些 RDP 中继相结合，在 10 月 18 日至 21 日期间被用于两个军事组织和一个云提供商的数据泄露。

恶意 RDP 配置文件：从红队工具到有针对性的攻击

我们调查了发送给欧洲一位学术研究人员的 RDP 配置文件之一。该文件指定了要联系的远程服务器：eu-south-2-aws[.]zero-trust[.​​]solutions。虽然主机名表明这是一个合法的 Amazon Web Services (AWS) 服务器，但它由 Earth Koshchei 控制。该配置会重定向所有本地驱动器、打印机、COM 端口、智能卡和剪贴板，从而允许远程访问受害者的本地计算机。显然，这可被用于数据泄露。成功建立连接后，将执行名为AWS Secure Storage Connection Stability Test v24091285697854的远程应用程序。在我们进行分析时，远程服务器已经关闭，因此我们无法检查此远程应用程序将执行什么操作。