事件背景与组织概况
近期，长期活跃于东欧地区的威胁组织 Ghostwriter（又称 UNC1151、FrostyNeighbor 等）再次发起针对乌克兰政府机构的定向攻击。该组织自 2016 年起便异常活跃，其攻击手段涵盖网络间谍活动与舆论影响，具有高度的组织成熟度与战术灵活性。
从我们的应急响应经验来看，Ghostwriter 表现出极强的“进化”特征。他们并不拘泥于单一漏洞，而是根据目标区域和业务环境不断迭代工具链，通过精心设计的诱饵文档和分阶段的载荷投递，试图最大程度规避安全检测。
攻击链分析与技术解析
此次针对乌克兰政府的攻击活动中，Ghostwriter 采用了极具针对性的地理围栏（Geofencing）技术。攻击者通过钓鱼邮件投递伪装成乌克兰电信公司（Ukrtelecom）的 PDF 文档。
这一攻击链的关键环节包括：
- 地理围栏验证：当受害者点击 PDF 中的链接时，攻击者服务器会首先校验访问者的 IP 地址。如果 IP 不属于乌克兰，服务器将返回一个无害的 PDF 文档，以此干扰安全研究人员的分析，实现“精准打击”。
- 多阶段投递：通过链接下载的 RAR 压缩包内含 JavaScript 载荷。执行后，一方面会弹出伪造的文档以迷惑用户，另一方面在后台静默运行 PicassoLoader 下载器。
- 主机指纹识别：下载器会持续收集受害者主机的特征信息，每 10 分钟向控制端汇报。攻击者会根据这些信息进行人工筛选，对于高价值目标，才会下发最终的 Cobalt Strike Beacon 载荷。
这一环节是很多企业容易忽视的：攻击者在通过脚本进行自动化的环境探测后，通过人工介入来判断目标是否具备进一步渗透的价值。这种“自动化+人工”的组合拳，显著提升了攻击的隐蔽性。
持续进化的威胁态势
除了 Ghostwriter，近期在乌克兰及周边地区，类似的攻击活动也呈现出常态化趋势。例如，Gamaredon 组织利用 RAR 压缩包投递 VBScript 下载器；而 BO Team 等组织则在针对俄罗斯的攻击中，展示了包括 ZeroSSH 后门在内的多种 Go 语言工具。
这些案例表明，威胁组织正通过不断更换载荷、利用特定行业（如会计系统、工业物流）的业务特点进行钓鱼，并利用反分析技术（如动态 CAPTCHA 或地理围栏）来对抗防御。
安全建议与 Solar 经验
针对此类高频且灵活的钓鱼攻击，Solar 应急响应团队建议企业采取以下防护措施：
- 加强邮件网关过滤：重点检查带有 RAR、ISO 或链接跳转的邮件附件，对来源不明的压缩包进行二次沙箱分析。
- 强化终端可见性：由于攻击者会进行主机指纹探测，企业应部署能够监控异常进程行为（如 JavaScript 频繁调用系统命令）的 EDR 系统，及时阻断 PicassoLoader 的运行。
- 实施零信任访问：由于攻击者常利用被窃取的邮箱凭据进行横向传播，建议对关键业务系统开启多因子认证（MFA），并限制对敏感邮件服务器的访问权限。
- 关注地理位置异常：对于有海外业务的机构，应建立基于地理位置的访问策略，对非预期来源的连接请求进行严格预警。
类似攻击近年来明显增加，企业应从“防御边界”转向“防御过程”，通过对攻击链的每个阶段进行细粒度监测，才能在复杂的网络威胁环境中保持韧性。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816
官网：www.solarsecurity.cn / www.sierting.com
