伊朗关联黑客冒充阿曼外交部针对政府实体

网络安全研究人员发现了一起复杂的、与伊朗有关的鱼叉式网络钓鱼活动，该活动利用阿曼外交部在巴黎的被入侵邮箱，向全球政府实体投递恶意载荷。

分析人员将该活动归因于"Homeland Justice"组织，据信该组织与伊朗情报和安全部（MOIS）有关联。通过利用被盗的外交通信、编码宏和分层规避技术，此次攻击活动凸显了在地缘政治紧张局势加剧背景下，区域间谍活动的新一轮推进。

带有恶意宏的外交诱饵

攻击者通过劫持阿曼外交部在巴黎的官方电子邮件账户发起攻击，发送看似包含紧急多因素认证（MFA）通知的邮件。收件人包括大使馆、领事馆和国际组织，被敦促"启用内容"以查看据称合法的Word文档。

这些附件中嵌入了一个VBA宏释放器，该释放器从隐藏在表单控件中的三位数序列重建二进制载荷。

文档打开时，宏执行一个四部分链：

• 延迟和反分析：嵌套循环例程（laylay）触发数千次无操作迭代，延迟沙箱和动态分析环境。
• 载荷解码：函数（dddd）将用户表单TextBox控件中的三位数字解析为ASCII字符，重新创建恶意软件可执行文件的二进制文件。
• 隐蔽释放和执行：解码后的载荷被写入C:\Users\Public\Documents\ManagerProc.log（一个看似无害的日志文件），并通过带有错误抑制的Shell命令隐藏启动。
• 持久性和清理：进一步的延迟确保进程安静完成，宏的简单错误处理程序隐藏任何故障。

此执行链展示了经典的基于宏的投递方式，但使用数字编码和故意延迟提升了其隐蔽性，使攻击者能够绕过标准电子邮件安全过滤器和沙箱检查。

全球区域间谍活动

取证审查发现从104个独特的阿曼外交部地址发送了270封鱼叉式钓鱼邮件，表明该活动范围广泛。基础设施日志显示使用了约旦的NordVPN出口节点来掩盖消息的真实来源。目标遍布全球六个区域：

• 欧洲：10个国家，73个独特地址
• 非洲：12个国家，30个地址
• 亚洲：7个国家，25个地址
• 中东：7个国家，20个地址
• 美洲：11个国家，35个地址
• 国际组织：10个机构，12个地址

欧洲是主要焦点，而非洲使团也面临严重针对性。包括联合国、 UNICEF、世界银行等著名多边组织，突显了攻击者对战略外交和人道主义网络的兴趣。

此外，时间点恰逢微妙的区域谈判，表明情报收集旨在影响或预测外交结果。

规避、侦察和下一阶段风险

被释放的可执行文件名为sysProcUpdate，展现出进一步的复杂性。它采用反分析方法（如自定义未处理异常过滤器和区段打包）使逆向工程复杂化。

一旦激活，恶意软件会收集主机元数据（用户名、计算机名、管理员状态），加密信息，并通过HTTPS POST发送到命令与控制服务器（https://screenai.online/Home/）。信标循环确保即使服务器无法访问也能持续尝试连接。

为维持立足点，sysProcUpdate将自身复制到C:\ProgramData\sysProcUpdate.exe，并修改Windows注册表中DNS缓存参数下的设置，可能为未来的横向移动创造条件。

攻击者对侦察的重视表明，这波初始攻击旨在绘制内部网络拓扑图并识别高价值系统，以供后续利用。

缓解建议

• 指标阻断：拒绝与screenai.online的通信，并隔离匹配已知哈希的文档（例如，携带sysProcUpdate载荷的文档）。
• 宏安全策略：默认禁用Office宏，并对任何启用的宏强制执行严格的签名要求。
• 网络监控：检查到未知或不寻常域的出站POST流量，并与内部用户活动关联。
• 注册表审计：定期验证关键DNS和TCP/IP注册表键是否存在未经授权的修改。
• VPN流量分析：标记通过不符合组织规范的节点（特别是位于未受影响区域的出口节点）的VPN登录突然激增。

通过结合强大的电子邮件过滤、主动网络防御和用户培训以识别欺骗性宏诱饵，组织可以阻止这种风格的鱼叉式网络钓鱼，并限制对手建立隐蔽访问以进行间谍活动或破坏的能力。

入侵指标（IoCs）