Cobalt恶意组织是一个对于会计进行攻击的 *** 诈骗组织，自2016年至今一直活跃性。该恶意组织关键对金融机构启动攻击，尝试浏览金融机构的內部互联网并对接比较敏感部件，比如ATM操纵 *** 服务器或储蓄卡解决系统软件。虽然欧州特警组织在2018年拘捕了Cobalt恶意组织的领导人员，但该恶意组织依然活跃性迄今。

Check Point Research近期发觉了Cobalt组织的一次恶意主题活动，此次恶意主题活动是以白俄罗斯的一家金融机构为总体目标，纯手工 *** 了一个含有该金融机构标志的恶意文件，具备极强的欺骗性。值得一提的是，该文件自身能够从金融机构的官网下载到，那样就更提升了文件的欺骗性，使潜在性受害人不容易觉得这是一个异常的文件。在这篇文章内容中，大家将对本次攻击的详细感柒链开展剖析，并深入分析此次攻击全过程。

鱼饵文件

我们在Kassa Nova金融机构的主题活动网址上发觉了一个恶意文件，从而逐渐对本次攻击深入调查。依据其叙述，该网址朝向群众和坐落于白俄罗斯的中小型企业出示金融理财产品和服务项目。

恶意文件被代管在金融机构的文本文档储存库文件，非常容易与合理合法文本文档互相搞混：

在下载并运作后，该文本文档以德语表明鱼饵信息内容，规定受害人开启其內容。在文本文档的文章正文中，附加有Kassa Nova的LOGO，这类 *** 钓鱼的 *** 非常容易诱发受害人运作内嵌式的恶意宏。

鱼饵文本文档（MD5：7f0f3689b728d12a00ca258c689af034）：

在客户启用宏后，就逐渐一个多环节的感柒链，最后下载并实行Cobalt Strike信标，为攻击者出示在总体目标组织内的出发点。

感柒链：

大家都知道，很多威协组织都是会在攻击中应用通用性的渗入检测工具，Cobalt恶意组织也是这般。这类作法不但能够为恶意组织节省很多的开发设计時间，并且还会继续让科学研究工作人员更难精准定位到实际的恶意组织真实身份。

搞混后的宏代码：

恶意宏

一旦客户点一下“启用宏”（Enable Macros）的按键后，Document_Open宏作用将由Word全自动开启。攻击者所应用的编码历经比较严重搞混，自变量名字好像是随机生成的。在编码中，包括任意英语单词组成的注解。

恶意宏的功效是将XSL文件载入到本地磁盘C:\\Windows\\Temp\\aA3jY9HP.xsl上，并应用被称作“Squibly Two”的实行技术性来运作该文件。

应用WMIC实行Jscript的Shell：

该技术性应用合理合法的WMIC应用工具，攻击者只必须运作下列指令，就可以从XSL文件启用Jscript或VBScript编码：

wmic os get /format:[XSL_FILE_PATH]

在大家的实例中，XSL文件中包括Jscript编码，该编码从虚拟服务器详细地址下载下一阶段的可实行文件，运作该文件，并最后删掉XSL文件，进而无痕迹。

XSL文件中置入的Jscript的精彩片段：

代管下一阶段Payload的域名是myovs[.]de，属于Otto Schmidt，它是一家法国媒体公司，关键朝向税收、商业服务和企业法律法规销售市场。显而易见，该企业的网址在攻击前也遭受了侵入。

Payload剖析

大家下载的“file.exe”Payload是早已签字的可实行文件，该文件具备Sectigo的合理资格证书。

下载的Payload具备签字，MD5为a26722fc7e5886b5a273239cddfe755f：

可实行文件与185.61.149[.]186/rpc开展通讯，进而下载并破译Cobalt Strike信标。接着，信标与同一IP地址的下述URL开展通讯：

非常值得关心的是，该通讯类似查询Office 365 Outlook日历经传出的合理合法要求。根据检索这一与众不同要求的题目，大家发觉了一个名叫“Malleable C2 Profiles”的GitHub新项目，该新项目出示了能效仿各种各样通讯方式的“配备文件”，能够应用这种配备文件来仿真模拟合理合法服务项目、已经知道恶意手机软件大家族，乃至是APT组织。

那样的仿真模拟 *** ，能够做为躲避检验和从受感柒系统软件中泄漏数据信息的合理方式，而不容易造成猜疑，由于监管互联网的工作人员很可能会将那样的报警视作是合理合法的Office 365总流量。

Cobalt恶意组织启动攻击的直接证据

在本次攻击主题活动中，存有与Central Asian金融机构关联的Cobalt Strike信标，这样一来就将猜疑的恶意组织缩减到一个十分小的范畴。可是，现阶段依然必须大量直接证据，才可以证实Cobalt恶意组织是本次主题活动的幕后人。

在对可实行文件开展剖析的全过程中，我们可以根据查询“Rich Headers”来深入了解开发者（或恶意组织）用以编译程序可实行文件的专用工具。

有时候，我们可以依据开发工具的信息内容推测样版是不是有可能来自同一个威协个人行为者。同样恶意手机软件变异的好几个编译程序版本号通常很有可能会应用同样的编译程序自然环境。

Payload编解码后的Rich Headers（应用PE-bear）：

大家运用这类技术性寻找相近的文件，最后可以发觉很多类似的Cobalt Strike载入专用工具。大家对载入专用工具的逻辑性开展较为，最后证实了大家的假定，这种样版的确存有关联性。