Nobelium是一种合成化学元素，为了更好地纪念阿尔弗雷德·诺贝尔奖得主(Alfred Nobel)而取名，但它现阶段又拥有一层新的含意——被微软公司取名为先前启动过SolarWinds事情的背后进攻机构。SolarWinds事情称得上2020年最明显的供应链管理进攻事情，造成九家联邦政府组织和数家民营企业数据泄漏，美国国务院层面声称俄国对外开放情报站应是SolarWinds侵入事情承担，并立即公布多种对乌克兰的封禁对策。
最近，微软公司威胁情报核心(MSTIC)公布警示称，由NOBELIUM进行的规模性故意电子邮箱主题活动已经席卷。在这里主题活动中，NOBELIUM运用了正规的邮箱群发服务项目Constant Contact，将自身装扮成英国的某一开发设计机构，进而将故意连接分发送给各种各样机构和垂直行业。
活动介绍
本次规模性电子邮箱主题活动使用了Constant Contact推送故意连接，总体目标受害人点一下钓鱼邮件中的故意连接后便会被注入故意文档，该文件用以派发一个被称作 NativeZone 的侧门。这类侧门可以使后面的故意主题活动变成很有可能，从盗取数据信息到横着挪动感柒互联网上的别的电子计算机等。
本次主题活动最开始逐渐于2021年1月28日，那时候网络攻击好像在开展初期侦查，运用Firebase URL来纪录点一下的总体目标，且未观测到故意合理负荷。伴随着時间的变化，Nobelium尝试根据额外在鱼叉式钓鱼攻击电子邮箱中的HTML文件来毁坏系统软件，假如接受者打开了HTML配件，则HTML中的内嵌式JavaScript编码会将一个ISO文件载入硬盘，并诱发总体目标客户开启。
在全部三月期内，都是有相近的鱼叉式钓鱼攻击主题活动被检验到，NOBELIUM也会依据预期目标对HTML文本文档开展对应改动。MSTIC表明，网络攻击会在HTML文本文档中编号ISO，ISO中的RTF文本文档带有故意Cobalt Strike Beacon DLL编号。网络攻击将用一个URL取代HTML，前面一种偏向的诈骗网站中包括蒙骗总体目标机构的ISO文件。
ISO合理负荷
如上所述，合理负荷是根据ISO文件传输的。开启ISO文件时，他们的组装方法很像外界控制器或网络驱动器。网络攻击可以将器皿布署到自然环境中，以推动实行或躲避防御力。有时候她们会布署一个新的器皿来实行与特殊印象或布署有关的过程，例如实行或免费下载恶意程序的过程。在其它状况下，网络攻击很有可能布署一个沒有配备互联网标准、客户限定等的新器皿，以绕开自然环境中原有的防御力。
在这样的情况下，快捷方式图标文档(.lnk)将实行随附的DLL，这将造成在服务器上实行Cobalt Strike Beacons。特别注意的是，DLL是隐藏文件，Cobalt Strike Beacons根据端口号443向通话网络攻击的基础设施建设。
行为演化
传送方法并并不是这一场活动中唯一的演化要素。在一次更具有系统性的伤害中，网络攻击沒有传送ISO合理负荷，但客户点一下超链接后，Web服务端将对总体目标机器设备实行剖析。假如总体目标机器设备是苹果iOS设备，客户将被跳转到另一个由NOBELIUM操纵的网络服务器，那边给予了对0 day系统漏洞CVE-2021-1879的漏洞检测。
在四月份的进攻行为中，网络攻击终止了对Firebase的应用，而且不会再追踪客户，她们的技术性转为了在HTML文本文档中对ISO开展编号。如今，合理负荷根据应用api.ipify.org服务项目将总体目标服务器的详细资料储存在远程电脑上，网络攻击有时候会对指定的内部结构Active Directory域开展查验，假如鉴别出出现意外的自然环境，这种域将停止故意过程的实行。
最新资讯
5月25日，NOBELIUM行为产生了显著的更新，网络攻击看准了150好几个机构中的大概3,000个私人帐户，总体目标受害人最少遍布 24 个我国，坐落于国外的结构遭受的进攻较多，最少有 1/4 的总体目标机构参加了全球发展趋势、人道主义精神和公民权利工作中。因为此行为中派发的电子邮箱总数巨大，绝大多数都被电子邮件探测系统软件封禁并被标识为垃圾短信，但仍将会有一部分受害人有没有中招。合理负荷取得成功布署后，NOBELIUM 可以不断浏览受传染的设备，并可以开展后期的故意主题活动，例如横着挪动、数据泄漏或安裝别的恶意程序。
IOC
MSTIC 给予了一份来源于 2021 年 5 月 25 日进行的规模性进攻主题活动的侵入指标值目录。MSTIC 强调，现阶段NOBELIUM的进攻依然活跃性，后面主题活动很有可能产生变化，不可将这种指标值视作详细出去。
图1.Malwarebytes 在进攻前检验到 Cobalt Strike 负荷
图2.Malwarebytes还阻拦了域 theyardservice.com
文中翻譯自：https://blog.malwarebytes.com/threat-analysis/2021/05/solarwinds-attackers-launch-new-campaign/倘若转截，请标明全文详细地址。