攻击平台主要包括 Windows 与Android:
其中针对windows的平台,其比较常见的手法有投放带有"*.exe"或"*.scr"文件后缀的释放者文件,在目标用户打开后释放对应的诱饵文档,并且释放下一步的侦查者...14个Windows恶意样本中,其诱饵文档的题材,政治类的样本数量有9个,教育类的样本数量有1个,科研类的样本数量有1个,未知类的样本数量有3个(注意:未知指得是其诱饵文档出现错误无法打开或者其内容属于无关内容...Meeting Agenda.pdf-pic85
但由于其塞入数据的错误导致该Meeting Agenda.pdf文件无法正常打开故此将该样本归因到未知类题材,之后的行为就和之前的如出一辙了,在此就不必多费笔墨...而根据追影小组的捕获的样本,我们发现在2017年到2018年的这段时间内该组织使用拥有白名单Shortcut.exe通过命令行的方式在自启动文件夹中添加指向自拷贝后的恶意文件的快捷方式。...而在本次活动中,该组织则采用调用CreateFile Windows API函数的方式在自启动文件夹中创建指向自拷贝后恶意文件的快捷方式以完成持久化存在
持久化方式的演进-pic119
(5).C&C