繼2017年捕獲APT組織“寄生獸”并跟蹤長達半年之后，騰訊御見威脅情報中心再次發現“寄生獸”最新危險行動：首創利用漏洞感染Office文檔，已嚴重威脅內外網分離的保密網絡安全。

據悉，“寄生獸”組織作案手法巧妙，行蹤詭秘，極難被安全軟件檢測到。該組織的木馬主要以插件形式工作，可針對不同人群釋放不同功能插件，常見危害行為包括獲取用戶可移動設備中的文檔，下載應用程序拓展DLL文件并執行，記錄上傳用戶按鍵和屏幕信息及獲取用戶本地郵箱、瀏覽器存儲的密碼等等。目前，騰訊御界高級威脅檢測系統已經可以檢測并阻斷該輪攻擊的連接行為。

經騰訊御見威脅情報中心分析發現，“寄生獸”組織主要針對特定目標執行精準的魚叉攻擊，其擅長將木馬代碼隱藏在多個開源軟件代碼中，如putty、openssl、zlib等常用軟件工具，植入木馬后的工具和正常版本差別微小，極難分辨。

值得關注的是，此次“寄生獸”組織開發的木馬針對目標計算機移動存儲介質（U盤、移動硬盤等）設計了特別的入侵方案：木馬發現目標U盤存在Office文檔時，會首先將這些文檔轉換為RTF格式，再捆綁利用高危漏洞觸發的攻擊木馬。

這種作法是“寄生獸”APT組織的首創，是針對內外網分離的隔離網絡特別開發的攻擊方式——當用戶使用U盤等移動存儲設備在內外網中交換數據時，文檔將被植入木馬，當內網其他用戶打開被感染木馬的Office文件，木馬就會悄無聲息地潛入內網中。

針對此類攻擊行為，企業用戶可使用騰訊御界高級威脅檢測系統進行全面防御。御界高級威脅檢測系統是基于騰訊安全反病毒實驗室的安全能力、依托騰訊在云和端的海量數據，研發出的獨特威脅情報和惡意檢測模型系統。憑借基于行為的防護和智能模型兩大核心能力，可高效檢測未知威脅，并通過對企業內外網邊界處網絡流量的分析，感知漏洞的利用和攻擊。通過部署御界高級威脅檢測系統，可及時感知惡意流量，檢測釣魚網址和遠控服務器地址在企業網絡中的訪問情況，保護企業網絡安全。

此外，騰訊御見威脅情報中心提醒廣大政府、企業用戶，務必特別警惕各類APT組織威脅，切勿隨意打開來歷不明的郵件及其附件；連接使用U盤等可移動設備之前，可使用專業安全軟件進行掃描檢測；安裝騰訊御界高級威脅檢測系統等安全軟件，可有效抵御大部分的網絡攻擊。