近期,酒店行业遭遇一波针对性强的Photo ZIP钓鱼攻击,攻击者利用Node.js植入实现持久化控制,本文详细分析攻击手法、防御建议及行业应对策略。
近期,微软威胁情报团队发现一个持续针对酒店行业的多阶段入侵活动,该活动自2026年4月以来在欧洲和亚洲多个组织中活跃。攻击者通过精心设计的Photo ZIP归档文件实现初始访问,这些文件包含伪装成图片的快捷方式文件(.lnk)。当用户点击这些文件时,会触发一系列攻击链,最终部署Node.js植入,实现持久化控制。 攻击者利用Calendly等合法服务进行身份洗白,通过多跳重定向链规避传统邮件认证检查。钓鱼邮件采用多语言诱饵,包括日本语、丹麦语和荷兰语,主题涉及客户投诉、床虫报告等,旨在引诱酒店前台人员点击恶意链接。 攻击链的核心是通过PowerShell下载器和Node.js植入实现持久化控制。
攻击者在PowerShell脚本中使用多种混淆技术,包括大整数解码、位运算和算术掩码,以规避静态检测。Node.js植入通过注册表Run和RunOnce键实现双重持久化,确保即使部分组件被阻止,仍能重新部署。 在防御方面,微软建议酒店行业组织重点关注照片主题的ZIP归档文件和伪装成图片的快捷方式文件。应加强PowerShell执行的监控,特别是涉及大整数解码、位运算和算术掩码的活动。此外,应警惕来自用户空间路径的Node.js执行,以及与临时路径相关的Defender排除操作。 该活动的持久化机制展示了攻击者的高级技术能力。
即使Defender阻止了初始PE有效负载,Node.js植入仍能通过注册表Run键保持活动,并重新下载和部署有效负载。因此,完整的修复需要同时移除注册表Run和RunOnce条目,以及Node.js运行时和相关.js文件。 微软Defender XDR提供了针对该活动的多层次检测和防御能力。通过结合进程、注册表、文件和网络电子数据,微软Defender可以识别植入活动,即使文件名、域名和脚本语法发生变化。此外,微软安全Copilot可以帮助调查和响应相关事件,并支持威胁情报驱动的防御策略。 对于酒店行业而言,该活动的发现凸显了加强网络安全防御的重要性。
组织应定期审查和更新安全策略,确保能够应对不断演变的威胁。通过采用多层次的防御策略,包括终端检测、网络监控和用户安全意识培训,可以有效降低遭受此类攻击的风险。 。
