信息來源：51CTO

最近一個高級持續(xù)性威脅(APT)組織一直在對中國澳門的豪華酒店開展魚叉式釣魚攻擊活動，其目的是為了破壞它們的網(wǎng)絡設施并竊取那些住在度假村的有高知名度的客人的敏感數(shù)據(jù)。這些被攻擊的酒店就包括了路環(huán)度假村和永利皇宮。

Trellix的一份威脅研究報告大致確定韓國的DarkHotel APT組織是這些攻擊背后的罪魁禍首。

研究人員說，此次魚叉式網(wǎng)絡釣魚攻擊活動始于11月末，犯罪分子將一些載有惡意Excel宏文件的電子郵件發(fā)送到了可以訪問酒店網(wǎng)絡的管理層的郵箱中，其中就包括了人力資源和辦公室經(jīng)理。

在其中的一次攻擊中，釣魚郵件在12月7日發(fā)送到了17家不同的酒店中，并偽造該郵件是由澳門政府旅游局發(fā)出的，其攻擊目的在于收集這些酒店所住用戶的信息。這些郵件要求收件人打開一個標有 "旅客查詢 "的Excel附件文件。

Trellix公司的威脅研究人員說，電子郵件的內容要求用戶打開附件中的文件，并回信說明這些人是否住在酒店里?該郵件的署名是旅游局檢查處。

研究人員懷疑DarkHotel竊取數(shù)據(jù)計劃在未來進行攻擊

報告說，Trellix大致能夠將這些攻擊歸咎于DarkHotel組織，因為他們的指揮和控制服務器(C2)的IP地址以前曾與該組織有過聯(lián)系;DarkHotel經(jīng)常以酒店為攻擊目標，并且在C2中發(fā)現(xiàn)的設置模式與已知的DarkHotel的活動模式非常相符。

Trellix團隊說，我們目前對此還沒有一個很高的確信度，因為這個IP地址在被公開曝光后仍然活躍了相當長的一段時間，而且該IP地址還進行了其他的與該威脅無關的網(wǎng)絡攻擊。這些觀察結果使得我們在調查歸因方面更加的謹慎。

Trellix團隊解釋說，用戶一旦打開了該文件，這些惡意的宏代碼就會與C2服務器建立聯(lián)系，開始從酒店網(wǎng)絡中滲透竊取數(shù)據(jù)。

Trellix在報告中補充說，進行惡意攻擊的命令和控制服務器曾經(jīng)試圖冒充密克羅尼西亞聯(lián)邦合法政府網(wǎng)站的域名。然而，真正的密克羅尼西亞網(wǎng)站域名是'fsmgov.org'。

Trellix團隊說，他們懷疑攻擊者只是在收集數(shù)據(jù)，以便日后進行利用。

Trellix研究人員報告說，在研究了目標酒店的活動議程后，我們確實發(fā)現(xiàn)了多個威脅行為者可能會感興趣的會議，例如，一家酒店正在舉辦國際環(huán)境論壇和國際貿易與投資博覽會，這兩個活動都會吸引潛在的間諜活動攻擊。

該團隊說，魚叉式網(wǎng)絡釣魚活動于1月18日停止。

由于COVID-19的流行停止了會議

也就是說，由于COVID-19的大流行取消或推遲了這些活動，這才給了執(zhí)法部門時間去抓獲嫌疑人。到2021年12月，澳門治安警察局收到了警察局網(wǎng)絡安全事件警報和應急中心的通知，一個治安警察局官方網(wǎng)頁的域名被用來傳播惡意軟件以及實施非法行為。

Trellix報告補充說，犯罪分子除了對酒店進行攻擊以外，其他的犯罪活動都用了同一個C2 IP地址，據(jù)研究該C2可能是由DarkHotel所控制，他們曾經(jīng)用了一個具有欺騙性的Collab.Land釣魚頁面去攻擊MetaMask加密貨幣用戶。

DarkHotel組織長期以來一直以中國用戶為攻擊目標。2020年4月，該APT組織對中國虛擬私人網(wǎng)絡(VPN)服務提供商SangFor進行了攻擊，該服務提供商被大量的機構所使用。據(jù)報道，到該月第一周結束時，至少已經(jīng)有200個端點被入侵。

大約在同一時間，在COVID-19大流行開始時，DarkHotel就以世界衛(wèi)生組織的系統(tǒng)為攻擊目標。

像這樣的攻擊足以表明，存儲在酒店網(wǎng)絡中的數(shù)據(jù)對威脅者來說是多么有吸引力。Trellix團隊建議，酒店經(jīng)營者應該認識到，網(wǎng)絡安全需要覆蓋到生活的各個方面。Trellix補充說，旅行者同樣需要采取適當?shù)陌踩A防措施。

報告說，建議旅行者只攜帶有限的必要的設備，并且保持安全系統(tǒng)及時更新，在使用酒店Wi-Fi時盡量使用VPN服務。

本文翻譯自：https://threatpost.com/darkhotel-apt-wynn-macao-hotels/178989/